Passkey (clé d’accès)
clé d’accès · passkeys · FIDO2 · WebAuthn · clé de sécurité · authentification sans mot de passe · passwordless
Identifiant de connexion sans mot de passe, fondé sur une paire de clés cryptographiques : la clé privée reste sur votre appareil et se déverrouille par empreinte, visage ou code PIN.
En pratique
Les passkeys reposent sur les standards FIDO2 de la FIDO Alliance et WebAuthn du W3C. À l’inscription, l’appareil crée une paire de clés propre à chaque site ; le site ne conserve que la clé publique, inutile à un voleur. La preuve de connexion est liée au nom de domaine du site : une copie frauduleuse ne peut pas la réutiliser, ce qui rend la passkey résistante à l’hameçonnage (phishing). Elle peut être synchronisée entre vos appareils par un gestionnaire (Apple, Google, Microsoft, gestionnaire de mots de passe) ou rester sur une clé physique pour les comptes les plus sensibles.
Cas fictif : un cabinet comptable reçoit un faux courriel « Cumulus Drive » menant à une copie parfaite de la page de connexion. Les collaborateurs équipés de passkeys ne peuvent tout simplement pas s’y connecter : le navigateur ne propose pas la clé sur un domaine qui n’est pas le bon.
Comment s’en protéger
- Activer les passkeys en priorité sur la messagerie et les comptes d’administration.
- Enregistrer au moins deux authentificateurs par personne pour éviter le blocage.
- Prévoir une récupération de compte aussi solide que la connexion elle-même.
