Les clés d’accès changent la connexion, pas tous les risques

On nous demande depuis des années de créer des mots de passe complexes, de ne jamais les réutiliser et de les modifier lorsqu’ils sont compromis. Pourtant, nous continuons à oublier ces secrets et à les saisir sur des pages parfois frauduleuses. Les clés d’accès promettent une autre manière de se connecter. Leur intérêt est réel, à condition de comprendre ce qu’elles protègent — et ce qu’elles ne protègent pas.

Le mot de passe était devenu un problème à gérer

Un mot de passe est un secret partagé avec un service : l’utilisateur le connaît et le serveur conserve les éléments nécessaires pour en vérifier la validité. Même lorsqu’il est correctement protégé côté serveur, il reste exposé à plusieurs erreurs humaines : réutilisation entre services, divulgation involontaire ou saisie sur un faux site.

Les gestionnaires de mots de passe réduisent une partie de ces risques. Ils n’éliminent toutefois pas le problème fondamental d’un secret que l’utilisateur peut être amené à transmettre.

Dans son enquête internationale publiée en mai 2026, la FIDO Alliance indique que 75 % des consommateurs interrogés avaient activé des clés d’accès sur au moins certains comptes. La population étudiée couvrait dix pays et ne doit pas être confondue avec l’ensemble des internautes du monde. Ce chiffre montre néanmoins que la technologie a dépassé le stade de la démonstration.

Une paire de clés plutôt qu’un secret à taper

Une clé d’accès, ou passkey, repose sur la cryptographie à clé publique. Lors de l’inscription, l’appareil ou le gestionnaire de clés crée une paire : une clé publique communiquée au service, et une clé privée qui reste sous le contrôle de l’utilisateur.

Lors d’une connexion, le service soumet un défi cryptographique. L’appareil utilise la clé privée pour produire une preuve que le serveur peut vérifier grâce à la clé publique. Il n’est pas nécessaire de recopier ou d’envoyer un mot de passe.

Le déverrouillage par empreinte digitale, reconnaissance faciale ou code local sert à autoriser l’usage de la clé sur l’appareil. Le site n’a pas besoin de recevoir l’empreinte ou l’image du visage. Il reçoit le résultat d’une opération cryptographique, pas les données biométriques.

Autre propriété déterminante : une clé d’accès est liée à l’identité du service. Elle est conçue pour empêcher qu’une fausse page installée sur un autre domaine récupère une authentification utilisable sur le véritable site. C’est la résistance à l’hameçonnage qui distingue cette méthode de la plupart des codes reçus par courriel ou SMS.

Du téléphone à l’ordinateur : où se trouve la clé ?

Certaines clés sont enregistrées sur une clé de sécurité physique. D’autres peuvent être synchronisées entre les appareils par un fournisseur de clés d’accès. Cette synchronisation facilite la transition vers un nouveau téléphone ou ordinateur, mais elle introduit une dépendance à la sécurité du compte qui protège ce stockage.

Il existe aussi une connexion entre appareils : un ordinateur peut afficher un code QR, puis utiliser une clé d’accès présente sur un téléphone à proximité. Dans ce cas, le téléphone participe à l’authentification sans que l’utilisateur ait à recopier le secret cryptographique sur l’ordinateur.

Pour le public, l’expérience devient souvent plus simple. Pour les concepteurs de services, elle déplace la difficulté vers la gestion des appareils, la récupération de compte et les méthodes de secours.

Le maillon faible peut se trouver après la connexion

Une clé d’accès ne rend pas une session invulnérable. Un logiciel malveillant installé sur un appareil peut tenter de voler des données déjà accessibles. Un attaquant peut chercher à détourner une session ouverte, tromper le support d’un service ou exploiter une procédure de récupération moins solide que la connexion normale.

Et si un site propose toujours la connexion par mot de passe comme solution de repli, l’utilisateur peut rester exposé aux risques de cette méthode. La protection globale dépend alors du parcours entier, pas de l’écran de connexion le plus moderne.

C’est également pour cette raison que la gestion des identités en entreprise ne se réduit pas à l’adoption d’un nouvel outil : il faut contrôler l’enrôlement des appareils, les permissions, la révocation des accès et les procédures d’urgence. Les recommandations du NIST distinguent les niveaux de garantie d’authentification et les contraintes propres aux différents mécanismes.

Une transition à accompagner, pas une disparition magique

Pour un particulier, trois précautions restent pertinentes : activer les clés d’accès lorsque le service les propose, protéger correctement le compte qui permet leur synchronisation, et vérifier les moyens de récupération disponibles avant de perdre un appareil.

Pour une organisation, la question est plus large : qui peut enregistrer une nouvelle clé, après quelles vérifications, et qui peut rétablir l’accès lorsqu’une personne perd ses appareils ? Une procédure improvisée peut annuler une partie des bénéfices de l’authentification résistante à l’hameçonnage.

Les clés d’accès constituent une amélioration concrète de la connexion numérique. Elles éliminent une faiblesse ancienne : le mot de passe que nous pouvons divulguer à la mauvaise page. Mais la sécurité d’un compte commence avant l’authentification et se poursuit longtemps après elle. La disparition du mot de passe n’entraînera pas celle des fraudes ; elle nous oblige surtout à mieux définir où se trouvent désormais les risques.