Les passkeys essaient enfin de retirer un secret de l’équation

En mai, Apple, Google et Microsoft ont annoncé un soutien élargi aux connexions fondées sur FIDO. Après des années à demander un mot de passe plus long, un gestionnaire et un code supplémentaire, l’industrie propose enfin d’enlever le secret partagé.

Lors de l’inscription WebAuthn, le site envoie un défi aléatoire, son identifiant de partie de confiance (RP ID) et les options acceptées. Le navigateur vérifie l’origine, puis demande à l’authentificateur de créer une paire de clés. La clé privée reste dans l’appareil ou le mécanisme de synchronisation; le site reçoit la clé publique et un identifiant de credential.

INSCRIPTION
site → défi + RP ID → navigateur/authentificateur
site ← clé publique + credential ID + signature

CONNEXION
site → nouveau défi → authentificateur déverrouille la clé privée
site ← signature liée au défi, au domaine et au contexte

À la connexion, le serveur génère un nouveau défi et vérifie la signature avec la clé publique. Le défi empêche de rejouer une ancienne réponse. Le RP ID et l’origine lient l’opération au vrai domaine : une page d’hameçonnage sur banque-exemple.net ne peut pas demander à la clé créée pour banque.example de signer comme ce domaine.

Le NIP, l’empreinte ou le visage déverrouille localement l’authentificateur. La biométrie n’est pas envoyée au service. Le serveur apprend que l’authentificateur a fait la vérification demandée; il ne reçoit pas une photo du visage. Cette séparation résiste mieux à l’hameçonnage qu’un code que la personne peut recopier sur la mauvaise page.

Une clé d’accès découvrable peut aussi contenir assez d’information pour proposer le compte sans que le site demande d’abord un nom d’utilisateur. Pour le grand public, la synchronisation chiffrée entre appareils réduit le risque de tout perdre avec un téléphone. La confiance se déplace alors vers le compte de plateforme et sa récupération.

Tester la sortie de la belle démo

Mon pilote couvrirait ces cas :

1. inscription d’un premier et d’un deuxième appareil;
2. connexion sur le vrai domaine et tentative depuis un domaine ressemblant;
3. téléphone perdu mais autre appareil encore disponible;
4. aucun appareil disponible et récupération du compte;
5. appareil partagé ou poste public;
6. changement Apple/Google/Microsoft ou utilisation d’une clé physique;
7. révocation d’une credential compromise;
8. service ancien qui exige encore un mot de passe.

La récupération ne doit pas devenir le nouveau maillon faible. Un agent de soutien ne réinitialise pas l’accès sur la seule base d’informations publiques. Le compte conserve plusieurs credentials, affiche leur dernière utilisation et permet de révoquer un appareil. Une procédure à risque élevé peut demander une clé matérielle gérée par l’organisation ou plusieurs preuves.

En entreprise, le registre distingue clé synchronisée personnelle, clé matérielle et authentificateur de plateforme géré. L’accès conditionnel peut exiger un appareil conforme pour certaines données. L’attestation de modèle peut aider dans des scénarios contrôlés, mais elle réduit la vie privée et l’interopérabilité; je l’utilise seulement avec un besoin clair.

Le déploiement garde un chemin de retour mesuré. Pendant la transition, mot de passe et passkey peuvent coexister, ce qui veut dire que l’hameçonnage reste possible par le vieux chemin. Je suis le pourcentage de comptes réellement sans mot de passe, les échecs, récupérations et appels de soutien. Une panne du fournisseur de synchronisation ne devrait pas bloquer les clés déjà présentes sur un appareil.

En août 2022, le principe cryptographique est solide, mais l’écosystème commence son adoption. Ma pratique sera de tester perte, récupération et révocation avant de célébrer la première connexion. La sécurité devient plus simple seulement si une personne peut perdre un appareil sans retomber sur une question secrète facile à voler.

Mise à jour de 2026

En 2026, les clés d’accès sont beaucoup plus répandues et leur base technique reste FIDO2 et WebAuthn, comme le montre le rapport mondial de la FIDO Alliance. Elles résistent mieux à l’hameçonnage que les secrets et les codes saisis à la main. Il faut encore bien gérer la récupération, la portabilité et les appareils partagés. Le guide du NIST consacré aux authentificateurs explique notamment la différence entre une méthode résistante à l’hameçonnage et un code que l’utilisateur doit recopier.