En bref
- Les passkeys bloquent mieux le phishing.
- Le stockage compte autant que la sécurité.
- Tout le web ne les accepte pas encore.
Passer aux passkeys, ce n’est pas juste suivre la nouvelle mode des écrans de connexion. Pour beaucoup de gens, ça enlève des frictions tous les jours et ça ferme pas mal de portes aux attaques les plus bêtes. Le hic, c’est qu’il faut savoir où elles vivent, sinon bonjour la galère le jour où un appareil vous lâche.
Pourquoi la passkey change vraiment la connexion ?
Un mot de passe, on connaît. Vous retenez un texte secret, le service n’est pas censé le stocker tel quel, mais sous forme de hash, donc une version brouillée calculée par une fonction à sens unique. Il existe aussi des protections comme le salage, qui ajoute une donnée aléatoire pour éviter que deux mots de passe identiques produisent le même résultat.
La passkey, elle, repose sur deux clés. Le site conserve une clé publique, votre appareil garde la clé privée dans une zone sécurisée. Au moment de la connexion, votre téléphone ou votre PC valide la demande avec sa méthode habituelle, reconnaissance faciale, empreinte, ou PIN comme Windows Hello. Vous n’avez donc rien à mémoriser, sauf ce PIN si la biométrie ne passe pas.
L’image la plus simple, c’est la boîte aux lettres fermée. Tout le monde peut déposer un courrier dans la fente publique, mais seul le propriétaire avec la bonne clé l’ouvre. Et il y a deux couches en plus, la clé reste protégée par votre appareil, et elle ne marche pas sur un faux site de phishing. D’où un détail qu’on oublie souvent, un verrouillage d’écran solide reste indispensable. Un code 1234, ce serait quand même rater tout l’intérêt.
Ce que les mots de passe ratent encore
Le vieux problème, vous le connaissez. Créer un identifiant fort et unique partout, puis s’en souvenir, c’est pénible. Résultat, beaucoup réutilisent les mêmes mots de passe, ou tombent dans les faux sites qui les aspirent sans effort.
Même avec un gestionnaire, tout n’est pas magique. On peut y stocker un mauvais mot de passe, coller un excellent mot de passe sur un site imposteur, ou oublier le mot de passe maître. Les passkeys corrigent une partie du cœur du problème, parce qu’on ne peut pas en créer une « faible », ni la réutiliser ailleurs, ni l’utiliser sur le mauvais domaine.
Autre point très fort, elles combinent en une seule étape le fait d’avoir un appareil de confiance et d’utiliser soit quelque chose que vous savez, soit quelque chose que vous êtes. Du coup, le besoin d’un 2FA classique peut diminuer. Et lors d’une fuite de données, il n’y a pas grand-chose à voler côté passkey, puisque la clé publique est, par définition, publique.
Avant de basculer, le point qui compte vraiment
Pour en créer une, il faut fouiller dans les réglages d’un compte, souvent dans Sécurité ou Connexion, puis activer l’option si le service la propose. Tout le monde ne la propose pas encore, et c’est là que le sujet devient un peu moins simple.
Par défaut, macOS et iOS stockent ça dans Apple Passwords. Android passe par Google Password Manager. Sur Windows 11, elles sont gardées localement dans Réglages, Comptes, puis Passkeys. Linux, lui, n’a pas encore de prise en charge native.
Le plus pratique, surtout si vous jonglez entre les écosystèmes, reste un bon gestionnaire de mots de passe. Avoir toutes ses passkeys chez Apple puis devoir se connecter depuis un téléphone Android, ce n’est pas l’idée du siècle. Certains services proposent un QR code pour utiliser la passkey stockée sur un autre appareil, mais ce n’est pas franchement fluide. Le partage avec des proches passe surtout par des coffres partagés, et la synchro sur plusieurs appareils évite de tout perdre si l’un tombe en panne. Pour les plus carrés, il reste aussi la clé physique type YubiKey. Et si un service garde encore le mot de passe en secours, il doit rester costaud, parce qu’une sécurité vaut toujours celle de son maillon le plus faible.
