Qu'est-ce qu'une passkey ?

Une passkey est une clé numérique unique qui remplace votre mot de passe. Lorsque vous en créez une, deux clés numériques associées sont créées : l'une est stockée en lieu sûr dans votre gestionnaire d'identifiants, l'autre est transmise au site web ou à l'application. Lors de la connexion, votre appareil s'assure qu'il s'agit bien de vous grâce à votre visage, votre empreinte ou le code PIN de l'appareil, puis utilise votre part de la passkey pour prouver votre identité. Votre clé privée n'est jamais divulguée au site web.

Un mot de passe est un secret que vous mémorisez et que vous devez taper sur un site web. Une passkey est une clé numérique unique conservée dans votre gestionnaire d'identifiants, que vous n'avez besoin ni de retenir ni de saisir. Chaque passkey est unique au site web ou à l'application pour lequel elle a été générée ; elle ne peut donc pas être devinée, hameçonnée ou réutilisée sur d'autres comptes, contrairement à un mot de passe.

L'authentification à deux facteurs traditionnelle (2FA) impose généralement une étape supplémentaire après la saisie du mot de passe, comme un code reçu par SMS ou généré par une application. Une passkey peut remplacer à la fois le mot de passe et ces étapes intermédiaires en vérifiant en toute sécurité la présence de votre passkey et votre identité via votre visage, votre empreinte ou le code PIN de l'appareil. Certains sites peuvent toutefois demander une étape de vérification supplémentaire selon leur implémentation.

FIDO2 est le standard technique sur lequel reposent les passkeys. Inutile d'en maîtriser tous les détails : retenez simplement que « passkey » est le nom grand public désignant ce que FIDO2 rend possible. C'est grâce à lui que les passkeys fonctionnent à l'identique d'un système d'exploitation, d'un site web, d'une application, d'un appareil ou d'un gestionnaire d'identifiants à l'autre.

Une clé de sécurité physique peut héberger une passkey, mais elle n'est pas nécessaire pour les utiliser. La majorité des utilisateurs stockent leurs passkeys dans un gestionnaire d'identifiants sur leur téléphone, leur ordinateur ou leurs autres appareils. Les clés de sécurité physiques constituent simplement une option supplémentaire pratique pour ceux qui recherchent un moyen de connexion physique séparé.

Non. Votre empreinte digitale ou la reconnaissance faciale est traitée localement par votre appareil pour confirmer votre identité. Vos données biométriques ne quittent jamais votre appareil et ne sont jamais communiquées au site web ou à l'application.

Vous avez besoin d'accéder à votre passkey via votre gestionnaire d'identifiants et d'un moyen de confirmer votre identité, comme votre visage, votre empreinte digitale ou le code PIN de l'appareil. La plupart du temps, aucun téléchargement n'est requis : votre téléphone ou votre ordinateur intègre déjà un gestionnaire d'identifiants.

Un mot de passe est transmis au site web lors de la connexion. Le code PIN de votre appareil reste strictement local : il sert à prouver que c'est bien vous qui utilisez l'appareil et n'est jamais transmis au site web. Lors de l'usage d'une passkey, votre code PIN d'appareil peut servir à déverrouiller l'accès à la passkey. Votre code PIN ou code de déverrouillage n'est jamais transmis au site ou à l'application.

Généralement à l'un de ces deux endroits : dans la zone de stockage sécurisée intégrée à votre appareil (une puce protégée et isolée du reste du système) ou dans votre gestionnaire d'identifiants habituel. Vous ne pouvez généralement pas « voir » la clé brute elle-même—de même qu'on ne voit pas le code source d'un mot de passe enregistré—mais vous pouvez visualiser et gérer la liste de vos passkeys dans les paramètres de votre compte ou de votre gestionnaire.

Non, vos passkeys vous appartiennent et sont associées au site web concerné, et non à Google, Apple ou Microsoft. Ces entreprises offrent simplement un emplacement pour les conserver et les synchroniser (à la manière de vos photos). Gardez toutefois en tête que la perte d'accès à ce compte principal peut vous empêcher de récupérer vos passkeys sur un nouvel appareil. Si vous préférez éviter cette dépendance, vous pouvez opter pour un gestionnaire d'identifiants tiers indépendant.

Lorsqu'un site web ou une application propose les passkeys, cherchez une option du type « Créer une passkey » ou « Configurer une passkey » dans les paramètres de votre compte ou de sécurité. Votre appareil vous invitera à confirmer votre identité avec votre visage, votre empreinte ou le code PIN de l'appareil. Votre passkey sera ensuite générée et enregistrée dans votre gestionnaire d'identifiants. Certains services vous proposeront également d'en créer une juste après votre connexion.

De nombreux sites et applications adoptent les passkeys pour offrir une alternative plus sûre et plus facile que le mot de passe traditionnel. En créer une vous permettra de l'utiliser à la place de la saisie de votre mot de passe lors de vos prochaines connexions. Selon le site, votre mot de passe pourra subsister comme méthode de secours ou de récupération.

Cela se produit généralement lorsque vous utilisez un nouvel appareil ou un nouveau navigateur qui n'a pas encore fait connaissance avec votre passkey. Dès qu'elle sera synchronisée ou configurée sur cet appareil, la demande cessera. Il s'agit d'un manque d'uniformité dans le déploiement actuel de certains sites, et non d'une anomalie de votre passkey.

Quelques services n'ont pas encore entièrement modernisé leur système d'authentification et continuent de réclamer une double authentification par précaution. Bien que redondante, cette étape est sans danger et disparaîtra à mesure que les déploiements s'achèveront.

C'est la vocation première des passkeys. Cependant, certains sites continuent d'exiger la définition d'un mot de passe—même si vous vous connectez toujours par passkey—afin de conserver une procédure de secours pour la récupération de compte.

Actuellement, certains sites affichent des fenêtres de confirmation intermédiaires (comme « Voulez-vous utiliser une passkey ? ») le temps que les utilisateurs s'habituent à ce nouveau réflexe. Une fois la technologie pleinement généralisée, tout sera quasi instantané : confirmez votre identité avec votre visage, votre empreinte ou votre code PIN, et vous êtes connecté.

Oui, beaucoup de sites web et d'applications vous permettent de donner un nom à chaque passkey. Cela permet d'identifier facilement laquelle supprimer si vous perdez un appareil. Gardez toutefois à l'esprit que la majorité des passkeys sont synchronisées sur l'ensemble de vos appareils : leur donner le nom d'un appareil particulier peut donc être trompeur. Beaucoup de sites renseignent automatiquement le nom du gestionnaire utilisé (par exemple Google Password Manager, Apple Passwords, Bitwarden). Si aucun libellé n'est proposé par défaut, privilégiez le nom de votre gestionnaire plutôt que celui de l'appareil.

Ces notifications peuvent émaner du site web, du navigateur ou du gestionnaire d'identifiants. La démarche pour les couper dépend donc de leur origine. Examinez les réglages relatifs aux passkeys, aux connexions ou au remplissage automatique au sein de votre navigateur ou de votre gestionnaire.

Tout dépend de l'endroit où votre passkey est enregistrée. De nombreux gestionnaires d'identifiants synchronisent vos passkeys de manière sécurisée entre vos appareils : une clé créée sur votre téléphone sera donc disponible sur votre ordinateur ou tablette. Certaines passkeys sont en revanche cantonnées à un appareil précis sans synchronisation. Si votre passkey n'est pas présente sur l'appareil que vous utilisez, vous pouvez généralement vous servir d'un autre appareil (comme votre téléphone) pour autoriser la connexion.

Oui, à condition que votre gestionnaire d'identifiants prenne en charge ces deux appareils ainsi que la synchronisation des passkeys. Dans le cas contraire, les passkeys de chaque appareil demeurent séparées.

La prise en charge du transfert de passkeys entre gestionnaires progresse rapidement, mais elle n'est pas encore universelle. La possibilité de migrer vos passkeys dépend des gestionnaires concernés et des fonctionnalités qu'ils supportent. Notre tableau comparatif liste les gestionnaires compatibles : recherchez la mention « Échange d'identifiants ».

Cela survient lorsque votre ordinateur et votre téléphone sont associés pour la synchronisation des passkeys, et que le système cherche à s'assurer qu'il s'agit bien de vous en validant l'opération sur les deux appareils. Cela peut surprendre, mais ce fonctionnement est tout à fait normal.

Vous pouvez vous authentifier grâce à la passkey de votre smartphone ou tablette sans pour autant la stocker sur l'ordinateur tiers. Choisissez l'option du type « Utiliser un autre appareil » lors de la connexion. Un code QR s'affichera à l'écran : il vous suffira de le scanner avec votre téléphone pour finaliser l'accès.

Oui, mais l'expérience n'est pas toujours entièrement fluide. Les passkeys stockées dans le gestionnaire d'une plateforme ne se synchronisent pas forcément de façon directe avec une autre plateforme. Par exemple, si votre passkey est stockée dans Apple Passwords et que vous vous connectez sur un PC Windows, vous devrez utiliser votre iPhone (en scannant un QR code par exemple). Si vous passez fréquemment d'un écosystème à l'autre, opter pour un gestionnaire d'identifiants multiplateforme simplifiera grandement votre quotidien. Consultez notre comparatif pour trouver les solutions les plus polyvalentes entre différents OS et navigateurs. Et si vous devez transférer des passkeys existantes, veillez à choisir un gestionnaire bien noté dans la catégorie Échange d'identifiants.

Si vos passkeys sont synchronisées par votre gestionnaire d'identifiants, vous les retrouverez automatiquement en vous connectant à ce même gestionnaire sur un nouvel appareil. Si une passkey n'était enregistrée que localement sur un appareil perdu, vous devrez recourir à une méthode de secours pour vous connecter ou récupérer votre compte. C'est pourquoi l'usage d'un gestionnaire synchronisé est vivement recommandé pour ne jamais rester bloqué.

La récupération de vos passkeys dépend de votre gestionnaire d'identifiants et de sa configuration. Chaque gestionnaire applique sa propre méthode pour la sauvegarde, la récupération de compte et l'accès depuis un nouvel appareil : il est donc primordial d'anticiper ces options avant tout incident. Consultez nos évaluations pour comparer leur gestion de la sécurité, du dépannage et de la succession numérique. Si vous ne parvenez pas à récupérer vos passkeys, vous devrez passer par la procédure de récupération de compte propre à chaque site ou application.

Oui. Les passkeys ne sont pas rattachées à votre numéro de ligne téléphonique, mais à votre compte de gestionnaire d'identifiants ou à votre matériel. Changer d'opérateur n'a donc aucun impact sur elles. Assurez-vous simplement que votre nouvel appareil a bien accès à votre gestionnaire d'identifiants avant de vous séparer de l'ancien.

Certains gestionnaires le proposent d'ores et déjà, tandis que d'autres préparent cette fonctionnalité. Si la pleine maîtrise de vos sauvegardes est un critère déterminant pour vous, vérifiez les options d'exportation spécifiques de votre gestionnaire.

Cela dépend de votre méthode de stockage. Si votre gestionnaire d'identifiants synchronise vos passkeys sur vos appareils, une seule passkey par compte suffit amplement. Si votre passkey est liée à un appareil unique ou si vous désirez disposer d'un accès de secours supplémentaire, créer des passkeys additionnelles est une sage précaution.

Certains sites proposent ce paramètre de sécurité avancé dans les réglages de compte, même si cette pratique n'est pas encore universelle. Vérifiez directement dans les options de sécurité du service en question.

Privilégiez la passkey dès qu'un site ou une application vous le permet. La suppression totale du mot de passe dépend des capacités de la plateforme : certaines gèrent les comptes 100 % passkey, tandis que d'autres conservent le mot de passe comme méthode secondaire de secours. Si vous choisissez de supprimer votre mot de passe, assurez-vous d'avoir configuré une méthode de secours fiable en cas de perte d'accès à votre passkey.

Oui. Les passkeys sont intrinsèquement conçues pour faire échec à l'hameçonnage (phishing) et aux attaques courantes qui dérobent identifiants et codes temporaires. Chaque passkey étant unique au service pour lequel elle a été créée, elle ne peut pas être devinée, réutilisée sur un autre service ni trompée par un site contrefait.

Une personne malintentionnée ne pourrait exploiter vos passkeys qu'en parvenant également à déverrouiller votre appareil (via empreinte digitale, visage ou code PIN), cette étape étant requise pour chaque utilisation. C'est un obstacle bien plus difficile à franchir pour un pirate à distance que de dérober un mot de passe.

Oui, c'est techniquement possible, même si pour la plupart des connexions quotidiennes cela n'a pas d'importance : les deux bénéficient du même niveau de confiance élevé.

Oui, mais la nature du risque est bien différente de celle d'une fuite de mots de passe. Les passkeys ne constituent pas des secrets réutilisables : un attaquant ne peut donc pas se contenter de subtiliser une clé pour se connecter immédiatement à votre compte. De plus, vos passkeys sont protégées par le niveau de sécurité de votre gestionnaire et des appareils servant à y accéder. Voilà pourquoi le choix d'un bon gestionnaire est essentiel. Consultez nos évaluations pour comparer la robustesse des différentes solutions.

Parfois. Certains gestionnaires d'identifiants autorisent le partage sécurisé de passkeys avec des proches ou des contacts de confiance. Cela dépend du gestionnaire que vous utilisez et des autorisations accordées par le site ou l'application. Consultez notre comparatif des gestionnaires pour voir lesquels gèrent le partage familial.

Tout dépend de votre gestionnaire d'identifiants. Certains mettent à disposition des mécanismes d'accès d'urgence, de contacts héritiers ou d'autres dispositifs de succession numérique permettant à vos proches d'accéder à vos identifiants en cas de force majeure. Si cette précaution compte pour vous, prenez soin de la paramétrer à l'avance. Consultez nos notes de gestionnaires pour découvrir comment chacun gère l'héritage numérique.

Pas obligatoirement. Si vous perdez l'accès au compte dont dépend votre gestionnaire d'identifiants, vous risquez également de perdre l'accès aux passkeys qui y sont enregistrées ou synchronisées. Les conséquences dépendent du fournisseur et des mécanismes de secours prévus. C'est l'une des raisons pour lesquelles il est capital de bien comprendre comment votre solution gère la récupération de compte. Consultez nos évaluations pour bien choisir.

Ce n'est pas le but voulu par la norme. Dans la pratique, les gestionnaires ont mis un peu de temps à intégrer la migration, mais la majorité des applications courantes gèrent désormais le transfert sécurisé de vos identifiants et passkeys vers un autre service. La prise en charge du protocole d'échange d'identifiants (Credential Exchange) se développe activement dans l'écosystème. Consultez la catégorie « Vous permet de changer de solution » dans notre section d'évaluation des gestionnaires.

La technologie sous-jacente le prévoit tout à fait, mais tous les éditeurs n'ont pas encore terminé le développement des outils conviviaux pour y parvenir facilement. Il s'agit d'un simple décalage d'implémentation logicielle, et non d'une limite inhérente aux passkeys.

C'est une critique tout à fait légitime. Comme les passkeys sont encore une nouveauté pour la plupart des gens, beaucoup de plateformes n'ont pas encore investi dans des explications simples et claires. C'est une lacune reconnue dans l'industrie, et c'est justement l'une des raisons d'être de ce site web !

Les passkeys s'appuient sur une norme ouverte de l'industrie (FIDO2), soutenue conjointement par Apple, Google et Microsoft. Elles s'inscrivent donc comme une solution pérenne et non comme une mode éphémère. Les adopter dès aujourd'hui réduit immédiatement vos risques de piratage.

Le principe fondamental (déverrouiller son appareil pour se connecter à un site web) est fait pour rester inchangé sur le long terme. Ce qui continue d'évoluer et de se perfectionner, ce sont les mécanismes de synchronisation et de migration d'un gestionnaire à l'autre.