auth7 sept. 2026 · 8 min de lecture · par Flavien

Les clés d'accès (passkeys)

La clé d'accès signe une question du site au lieu d'envoyer un secret, et refuse de répondre ailleurs. Ce qu'elle arrête, et ce qu'elle déplace.

Tu ouvres l'application de ta banque. Elle affiche une demande d'empreinte, tu poses le doigt, tu es entré. Aucun mot de passe n'a été tapé, aucun code à six chiffres n'a transité par un SMS. Ce que tu viens d'utiliser s'appelle une clé d'accès (passkey).

C'est le premier moyen d'authentification qui refuse de fonctionner sur le mauvais site, sans te demander ton avis.

On demande en général si les clés d'accès signent la fin du mot de passe. Mauvais axe. Une clé posée à côté d'un mot de passe toujours actif ne ferme rien du tout, elle ajoute une couche par-dessus une porte restée ouverte. Le gain ne vient pas de la cryptographie. Il vient de ce qu'on accepte de fermer derrière, et ça, c'est une décision, pas une propriété du protocole.

Le second prix n'est pas affiché sur l'écran non plus : le jour où tu poses des clés d'accès partout, ton compte iCloud, Google ou ton gestionnaire devient le compte qui commande tous les autres.

D'où ça vient

La FIDO Alliance est lancée en février 2013, avec un objectif énoncé sans détour : remplacer le secret partagé par de la cryptographie à clé publique. L'idée n'a rien de neuf en 2013, elle a quarante ans. Ce qui manquait, c'était un protocole que tous les navigateurs acceptent.

En 2012, Yubico et Google signent un contrat pour concevoir ensemble U2F, un second facteur porté par un objet USB. La FIDO Alliance publie les spécifications finales FIDO 1.0 le 9 décembre 2014. U2F fonctionne, mais il demande une extension par navigateur, et il reste un second facteur : le mot de passe est toujours là, devant.

Le 4 mars 2019, le W3C et la FIDO Alliance annoncent que WebAuthn devient un standard du web. WebAuthn est l'interface que le navigateur expose aux sites ; associée au protocole CTAP, qui parle à l'objet ou à la puce, elle forme FIDO2. Tout est alors en place techniquement, et presque personne n'en a. Le problème restant est domestique : si ta clé privée vit dans ton téléphone et que ton téléphone tombe dans un lac, ton compte part avec.

Le 5 mai 2022, Apple, Google et Microsoft s'engagent publiquement à synchroniser ces identifiants FIDO entre les appareils d'une même personne. Le nom grand public arrive avec cet engagement : clé d'accès, passkey en anglais. iOS 16 les livre le 12 septembre 2022. La synchronisation est ce qui a rendu la chose utilisable au quotidien, et c'est aussi ce qui a créé le problème traité plus bas.

Ce que fait ton appareil, en quatre phrases

À l'inscription, ton appareil fabrique deux clés qui vont ensemble : une privée qu'il garde, une publique qu'il envoie au service. La privée ne part jamais sur le réseau, et le service ne la voit à aucun moment. À chaque connexion, le service envoie une question aléatoire, ton appareil la signe avec la clé privée, le service vérifie la signature avec la clé publique qu'il détient. Et surtout : au moment de l'inscription, ton appareil a enregistré l'adresse exacte du site, et il ne proposera cette clé sur aucun autre domaine.

Le problème que ça résout

Il n'y a plus de secret à recopier. Tout le reste découle de cette phrase.

Le rejeu d'identifiants fuités n'a rien à rejouer. Un mot de passe qui traîne dans une liste de fuite ouvre d'autres comptes, pas celui-ci. Le cassage hors ligne après une fuite du service n'a rien à casser non plus : ce que le service stocke est une clé publique, qui ne sert qu'à vérifier des signatures.

La page relais en temps réel est l'attaque qui a rendu le code temporaire décevant. L'attaquant place une page entre toi et le vrai site, te laisse taper ton mot de passe et ton code à six chiffres, et les rejoue dans la seconde. Contre une clé d'accès, cette page n'a rien à relayer. Ton appareil compare le domaine affiché à celui qu'il a enregistré, ne trouve pas de correspondance, et ne propose rien. Le refus est mécanique, la personne n'est pas consultée, donc elle ne peut pas se tromper. C'est exactement ce que le NIST appelle « résistant à l'hameçonnage ».

La fausse page statique reste muette pour la même raison, et le faux conseiller au téléphone aussi : il n'y a aucun code à dicter.

Dans le simulateur, la page relais franchit l'identifiant, le mot de passe, le SMS, le code temporaire, le code par email, l'approbation par notification puis le compte tiers. La clé d'accès est le seul obstacle de la liste qu'elle ne franchit pas.

Les problèmes que ça ajoute

La clé synchronisée est copiable par construction. C'est la fonction qu'Apple, Google et les gestionnaires ont ajoutée en 2022 pour que changer de téléphone ne veuille pas dire réenrôler quarante comptes. Le besoin était réel et la réponse est bonne. Elle déplace simplement le point de rupture : le compte du trousseau devient le compte qui commande tous les autres. Qui entre dans ton compte iCloud ou dans ton gestionnaire n'a plus besoin de tes clés une par une, il les a toutes. Le simulateur nomme ce défaut de structure « plafonné par le compte tiers » : un compte ne vaut jamais plus que celui qui sert à y entrer.

La suspension du compte de plateforme rend le trousseau inaccessible. Aucun attaquant là-dedans : une décision automatisée, un faux positif, un litige de facturation. Tes clés sont toujours chiffrées quelque part et tu n'y accèdes plus. Le simulateur compte ce scénario dans la récupérabilité, au même titre que le téléphone perdu.

Un poste compromis peut faire signer la clé sans jamais l'extraire. Unit 42 a publié le 3 août 2026 trois chaînes d'attaque visant Google Password Manager dans Chrome, sur Windows, sur des machines équipées d'une puce TPM. Dans deux d'entre elles, un logiciel malveillant déjà présent obtient la signature sans interaction : ni consentement, ni biométrie, ni déverrouillage, ni privilège élevé. La troisième va plus loin et sort la clé de chiffrement depuis la mémoire du navigateur. Aucune ne casse la cryptographie, et toutes supposent le même point de départ : le logiciel tourne déjà chez toi. La puce protège l'extraction de la clé, pas son usage. Le simulateur ne modélise pas cette situation, et c'est un choix assumé : un poste tenu rend tous les facteurs équivalents.

Le mot de passe gardé à côté reste le chemin que l'attaquant prend. Poser une clé d'accès sur un compte qui accepte toujours le couple identifiant plus mot de passe ne ferme aucune porte, ça en ajoute une. Le moteur applique cette règle sans exception : ajouter une porte n'améliore jamais la note, en fermer une l'améliore toujours.

Reste ce qui ne dépend pas de toi. Beaucoup de services acceptent d'enrôler une clé d'accès et refusent de retirer le mot de passe, ou gardent la réinitialisation par email ouverte sans exiger le second facteur. Dans ce cas la clé améliore ton confort quotidien et pas ta note.

Les niveaux

Le simulateur distingue deux paliers, et le NIST les sépare de la même façon.

La clé synchronisée vit dans un trousseau (iCloud, Google Password Manager, Bitwarden, 1Password) et se réplique sur tes appareils. Le NIST SP 800-63B-4 l'admet à AAL2, le niveau qui demande deux facteurs avec une option résistante à l'hameçonnage. Pourquoi lui refuser AAL3, puisque la cryptographie est la même ? Parce qu'AAL3 exige une clé privée non exportable, stockée dans un environnement d'exécution isolé protégé par le matériel, et qu'une clé qui se recopie sur cinq appareils est exportable par définition.

La clé liée à l'appareil est générée dans une puce et n'en sort pas. AAL3 redevient possible. C'est le cas d'une clé physique, et de certaines clés d'accès créées directement dans l'élément sécurisé d'un appareil, sans synchronisation. Le prix est celui de tout ce qui ne se copie pas : ce qui ne sort pas ne se sauvegarde pas, tant pis pour le confort.

Côté chiffres, le simulateur compte la prise de contrôle du trousseau synchronisé à 0,01 pour l'opportuniste automatisé, 0,06 pour le ciblé à distance, 0,08 pour le proche. À comparer au rejeu d'identifiants fuités contre un mot de passe réutilisé, à 0,90 / 0,95 / 0,95. L'écart intéressant ne se lit pas dans ces trois nombres. Il se lit dans ce que la clé arrête : le relais et l'hameçonnage tombent à zéro sur ce chemin, à condition qu'elle soit le seul chemin.

Le simulateur chiffre son coût à 1 unité d'effort, le moins cher de tous les facteurs qu'il connaît. Une empreinte remplace une saisie.

Les scénarios d'attaque

TechniqueCe que fait la clé d'accèsValeurs du simulateur
Rejeu d'identifiants fuitéssans objet, aucun secret partagéne s'applique pas
Fausse page de connexionl'appareil ne propose rien sur le mauvais domainene s'applique pas
Page relais en temps réelne franchit pas cet obstacle0
Code demandé par téléphoneaucun code à dicterne s'applique pas
Prise de contrôle du trousseau synchroniséfranchit la clé synchronisée0,01 / 0,06 / 0,08
Appareil pris déverrouilléatteint tout ce qui vit sur l'appareil0 / 0,02 / 0,35, divisé par 2 avec deux appareils
Appareil volé verrouillé et chiffrémême chose, après déverrouillage0 / 0,01 / 0,20
Réinitialisation par email laissée ouvertecontourne la clé0,03 / 0,18 / 0,18 si la boîte est protégée, 0,25 / 0,55 / 0,50 sinon

L'opportuniste automatisé (poids 0,50 dans la note) ne dispose d'aucune technique qui franchisse une clé d'accès à l'échelle. Son meilleur chiffre est 0,01, sur le trousseau. Le gain est là qu'il est le plus net, parce que c'est l'attaquant le plus fréquent.

Le ciblé à distance (0,35) garde deux chemins : le trousseau, à 0,06, et tout ce que tu as laissé ouvert à côté. Dans le profil « cas courant » du simulateur, le chemin le plus faible n'est pas le mot de passe (0,15) mais la réinitialisation par email (0,40), puis le support humain (0,23). Poser une clé d'accès sur ce compte sans toucher aux portes de service laisse la note presque inchangée.

Le proche avec accès physique (0,15) est celui contre qui la clé synchronisée tient le moins bien : appareil pris déverrouillé à 0,35, trousseau à 0,08. Un deuxième appareil divise le premier chiffre par deux, un troisième par trois.

Ce qu'il faut faire

1. Pose la clé sur ta boîte email d'abord. Tant que la boîte tombe, tout tombe avec, puisque c'est elle qui reçoit les réinitialisations. Le simulateur compte la prise de contrôle d'une boîte protégée par clé d'accès ou code temporaire à 0,03 / 0,18 / 0,18, contre 0,25 / 0,55 / 0,50 pour une boîte à mot de passe seul ou à SMS. Aucun autre geste ne déplace autant de choses d'un coup. Voir l'email comme facteur.

2. Retire le mot de passe quand le service le permet, et coupe la réinitialisation par email dans la foulée. C'est ce geste qui transforme la clé d'accès en gain réel : elle devient le seul chemin, donc le relais et l'hameçonnage n'ont plus de porte. Les services qui le proposent l'appellent souvent « connexion sans mot de passe » dans les réglages de sécurité.

3. Durcis le compte du trousseau. Il commande maintenant tous les autres, il mérite le traitement d'un compte racine : clé d'accès ou clé physique dessus, aucune récupération par SMS, alerte activée à chaque nouvel appareil. Sans ça, la note du compte est plafonnée par celle du trousseau, quel que soit le soin apporté au reste. Le gestionnaire de mots de passe suit la même logique.

4. Garde un moyen d'entrer hors du trousseau. Codes de secours imprimés et rangés ailleurs que chez toi, ou une clé physique enrôlée en parallèle. C'est la réponse au scénario « mon compte de plateforme est suspendu ». Le simulateur le compte dans la récupérabilité et pas dans la résistance : ta note de résistance peut être excellente pendant que tu es dehors.

Ce qui dépend du service plutôt que de toi : la possibilité de retirer le mot de passe, l'exigence du second facteur sur la réinitialisation, l'envoi d'une alerte quand un facteur change, un délai d'opposition avant que ce changement prenne effet.

Le modèle s'arrête à l'authentification, et il ne prétend pas à plus : il ne dit rien du vol d'une session déjà ouverte, ni de la contrainte physique ou judiciaire. Pour la version de la clé d'accès qui ne se copie pas, va voir la clé physique.

Questions fréquentes

Une clé d'accès remplace-t-elle vraiment le mot de passe ?
Seulement si le service accepte de retirer le mot de passe du compte. Tant qu'il reste actif, il reste un chemin d'entrée, et la clé d'accès s'ajoute à côté sans rien fermer.
Que se passe-t-il si je perds mon téléphone ?
Une clé d'accès synchronisée se retrouve sur tes autres appareils via le trousseau. Le point de rupture n'est plus le téléphone, il se déplace sur le compte du trousseau : suspendu ou perdu, tes clés deviennent inaccessibles.
Clé d'accès synchronisée ou clé physique ?
La clé synchronisée atteint AAL2 dans le référentiel NIST et coûte très peu d'effort. La clé physique atteint AAL3 parce que sa clé privée n'est pas exportable, en échange d'un coût d'achat et d'une discipline de sauvegarde plus lourde.
Une clé d'accès protège-t-elle d'un ordinateur infecté ?
Non. Les travaux publiés par Unit 42 le 3 août 2026 montrent qu'un logiciel déjà présent sur un poste Windows peut obtenir une signature sans interaction de la personne. La clé protège l'authentification, pas une machine déjà tenue.

Sources

  1. StandardW3C et FIDO Alliance : WebAuthn devient un standard du web (4 mars 2019)
  2. OfficielApple, Google et Microsoft étendent leur support du standard FIDO (5 mai 2022)
  3. StandardNIST SP 800-63B-4, Digital Identity Guidelines : Authentication and Authenticator Management
  4. ÉtudeUnit 42 (Palo Alto Networks), Pass the Passkey : a novel attack surface in passwordless authentication (3 août 2026)

1 risque, 1 fix

// mon écosystème

Connexion

Tape ton email, on t'envoie un lien magique sécurisé + un code à 6 chiffres. Pas de mot de passe à retenir.