Les clés d’accès (passkeys) remplacent le mot de passe : ce que ça change et le piège à éviter

Le mot de passe est en train de disparaître, et cette fois ce n'est pas une promesse de plus. Google, Apple, Microsoft et WhatsApp poussent tous la même technologie : la clé d'accès, ou passkey. Microsoft enregistre un million de nouvelles clés par jour ; WhatsApp en revendique plus d'un milliard d'utilisateurs.

Voici ce que c'est, pourquoi c'est réellement plus sûr, et le seul point auquel il faut faire attention avant de basculer.

Ce qu'est une clé d'accès

Un mot de passe est une chaîne de caractères que vous mémorisez et que vous retapez. Une clé d'accès, non : c'est une paire de clés de chiffrement créée au moment de l'inscription.

• Une clé privée reste sur votre téléphone. Elle n'en sort jamais.
• Une clé publique est transmise au service en ligne, qui la stocke sur ses serveurs.

Les deux fonctionnent ensemble, mais l'une ne permet pas de deviner l'autre. Pour vous connecter, vous validez simplement avec ce qui déverrouille déjà votre téléphone — empreinte, visage ou code. Cette donnée biométrique reste sur l'appareil et n'est jamais transmise.

Pourquoi c'est vraiment plus sûr

Deux failles majeures du mot de passe disparaissent d'un coup.

Les fuites de données deviennent inoffensives. Quand le serveur d'un service est piraté, les attaquants récupèrent aujourd'hui des mots de passe (souvent réutilisés ailleurs). Avec une clé d'accès, ils ne récupèrent que la clé publique — inutilisable seule. La clé privée, la seule qui compte, n'a jamais quitté votre téléphone. Le serveur ne l'a jamais eue.

Le hameçonnage ne fonctionne plus. Un mot de passe peut être tapé sur un faux site qui imite votre banque. Une clé d'accès, non : il n'y a rien à taper, rien à recopier. Chaque clé est liée cryptographiquement au site exact où elle a été créée. Un site frauduleux, même parfaitement imité, ne peut tout simplement pas déclencher l'authentification. La protection est structurelle, pas une question de vigilance.

C'est la différence de fond : le mot de passe repose sur votre attention, la clé d'accès sur les mathématiques.

Où c'est déjà en place

L'ensemble repose sur un standard ouvert porté par l'alliance FIDO, ce qui garantit que les clés fonctionnent d'un écosystème à l'autre, et non dans le jardin fermé d'une seule marque.

Le vrai point d'attention : la perte du téléphone

C'est la question que tout le monde se pose, et c'est le seul piège réel.

Si la clé privée vit sur votre téléphone, que se passe-t-il si vous le perdez ? Vous ne perdez pas vos comptes — à condition d'avoir anticipé. La récupération dépend de votre système :

• Google : vous retrouvez vos clés sur un nouvel appareil grâce au code de déverrouillage de l'ancien téléphone.
• Apple : la récupération passe par le trousseau iCloud, avec votre identifiant Apple, un code envoyé par SMS et le code d'un appareil.

La recommandation qui découle de tout cela tient en une phrase : gardez en tête le code de déverrouillage de votre appareil actuel avant d'en changer. C'est lui, souvent, qui rouvre l'accès à tout le reste.

Deux précautions concrètes :

Activez la synchronisation (trousseau iCloud, gestionnaire Google). Vos clés sont alors sauvegardées de façon chiffrée et se retrouvent sur votre nouveau téléphone. Sans elle, une clé stockée sur un seul appareil disparaît avec lui.

Gardez un second facteur de secours sur les comptes sensibles : une seconde clé sur un autre appareil, ou les codes de récupération fournis par le service. C'est votre issue si vous perdez l'accès à tout votre écosystème d'un coup.

Comment commencer

Inutile de tout basculer d'un coup. La bonne méthode est progressive :

1. Commencez par un compte que vous maîtrisez — Google ou Microsoft. Dans les paramètres de sécurité, cherchez « clé d'accès » ou passkey et suivez l'assistant.
2. Vérifiez que la synchronisation est active avant d'aller plus loin.
3. Étendez aux comptes sensibles : messagerie principale, banque, réseaux sociaux.
4. Ne supprimez pas immédiatement l'ancien mot de passe : gardez-le en secours le temps de prendre l'habitude.

Le mot de passe ne disparaîtra pas du jour au lendemain : beaucoup de services le conservent en repli. Mais chaque compte passé en clé d'accès est un compte qui ne peut plus être ni hameçonné, ni compromis par une fuite de base de données.

La sécurité, un audit parmi d'autres

Reprendre en main ses accès, c'est le bon moment pour reprendre en main le reste : ce que l'on paie, ce à quoi l'on est abonné, les prélèvements qu'on ne surveille plus.

Mon Assistant Perso passe en revue vos abonnements et vos factures — téléphonie, internet, énergie — et repère ce que vous payez sans l'utiliser. Consultez notre page internet et mobile, commencez par la checklist d'audit de vos factures, ou prenez rendez-vous avec un conseiller.

À lire également : Quelle box internet choisir ?

---

Sources : spécifications des clés d'accès portées par l'alliance FIDO ; déploiement Google (octobre 2023), Microsoft (mai 2025), WhatsApp (août 2026). Article publié le 7 septembre 2026.