Les mots de passe vont-ils bientôt disparaître ?

Pendant des décennies, le mot de passe a été la clé de presque tous nos comptes. Pourtant, il est devenu difficile à gérer, facile à oublier, souvent réutilisé et régulièrement volé lors de fuites de données ou de campagnes de phishing. Une nouvelle solution gagne donc du terrain : la passkey, ou clé d’accès.

La réponse en quelques mots

Les mots de passe ne vont probablement pas disparaître du jour au lendemain, mais ils sont déjà progressivement remplacés par des méthodes plus sûres, notamment les passkeys.

Avec une passkey, l’utilisateur ne saisit plus de mot de passe. Il valide sa connexion avec le code de son appareil, son empreinte digitale, son visage ou une clé de sécurité physique.

1. Pourquoi les mots de passe sont-ils devenus si fragiles ?

Le mot de passe repose sur une contradiction : il doit être assez complexe pour résister aux attaques, mais assez simple pour être mémorisé. Beaucoup d’utilisateurs finissent donc par employer des secrets trop courts, prévisibles ou identiques sur plusieurs services.

Les principaux risques sont :

• la réutilisation du même mot de passe sur plusieurs sites ;
• les fuites de bases de données ;
• les attaques automatisées par essais multiples ;
• le phishing ;
• les mots de passe faciles à deviner ;
• le stockage dans des endroits non sécurisés.

2. Qu’est-ce qu’une passkey ?

Une passkey est une méthode de connexion sans mot de passe fondée sur la cryptographie à clé publique.

Lors de la création de la passkey, deux éléments sont générés :

• une clé publique enregistrée par le service ;
• une clé privée conservée sur l’appareil de l’utilisateur.

Lors de la connexion, le service envoie un défi cryptographique. L’appareil le valide grâce à la clé privée, après vérification de l’identité locale de l’utilisateur.

3. La biométrie est-elle envoyée au site ?

Non, dans le fonctionnement normal d’une passkey, le site ne reçoit ni votre empreinte digitale ni votre visage. La biométrie reste utilisée localement par le téléphone ou l’ordinateur pour déverrouiller la clé d’accès.

Le service distant reçoit seulement une preuve cryptographique démontrant que l’appareil autorisé a validé la connexion.

4. Pourquoi les passkeys résistent-elles mieux au phishing ?

Une passkey est liée au véritable site pour lequel elle a été créée. Sur une fausse page imitant ce site, elle ne peut normalement pas être utilisée de la même manière.

Cela réduit fortement le risque de donner accidentellement ses identifiants à un attaquant. Il n’existe également aucun mot de passe à copier, à réutiliser ou à revendre après une fuite.

5. Passkey et double authentification : quelle différence ?

La double authentification ajoute une deuxième vérification après le mot de passe : code temporaire, application dédiée, notification, clé physique ou biométrie.

La passkey peut, elle, remplacer directement le mot de passe tout en combinant plusieurs éléments :

• la possession de l’appareil ;
• le code de déverrouillage ;
• une vérification biométrique éventuelle.

La double authentification reste néanmoins très utile pour les services qui ne proposent pas encore de passkeys.

6. Que se passe-t-il lorsqu’on change de téléphone ?

Certaines passkeys peuvent être synchronisées par un écosystème numérique ou un gestionnaire compatible. Elles deviennent alors accessibles sur les autres appareils liés au même compte.

Dans d’autres cas, la passkey reste attachée à un appareil précis ou à une clé physique. Le changement de téléphone nécessite alors une procédure de transfert ou de récupération.

7. Et si le téléphone est perdu ou volé ?

La perte du téléphone ne signifie pas nécessairement que les comptes deviennent accessibles. La passkey reste protégée par le verrouillage de l’appareil.

Il faut néanmoins pouvoir :

• bloquer ou effacer l’appareil à distance ;
• se reconnecter depuis un autre appareil autorisé ;
• utiliser une méthode de récupération ;
• révoquer l’ancienne passkey si nécessaire.

8. Quelles sont encore les limites des passkeys ?

Malgré leurs avantages, les passkeys ne résolvent pas tous les problèmes. Leur adoption reste inégale et leur fonctionnement peut sembler déroutant lorsque plusieurs appareils ou écosystèmes sont utilisés.

Les limites actuelles concernent notamment :

• la compatibilité variable selon les sites ;
• la récupération de compte ;
• le transfert entre écosystèmes ;
• les appareils anciens ;
• le risque de confusion entre plusieurs méthodes de connexion.

9. Les gestionnaires de mots de passe restent-ils utiles ?

Oui. Tous les services ne prennent pas encore en charge les passkeys. Un gestionnaire de mots de passe reste donc utile pour créer et conserver des mots de passe uniques et complexes.

Certains gestionnaires peuvent également stocker ou synchroniser des passkeys, ce qui facilite la transition entre les deux systèmes.

10. Que faire aujourd’hui pour sécuriser ses comptes ?

• utiliser une passkey lorsqu’un service fiable la propose ;
• activer la double authentification sur les comptes importants ;
• utiliser un mot de passe différent pour chaque service restant ;
• employer un gestionnaire de mots de passe ;
• conserver les codes de récupération en lieu sûr ;
• mettre à jour ses appareils ;
• ne jamais valider une demande de connexion inattendue.

11. Mot de passe, double authentification ou passkey ?

12. Les mots de passe vont-ils vraiment disparaître ?

Les mots de passe resteront probablement présents pendant encore plusieurs années, car des millions de services, d’appareils et de logiciels anciens en dépendent toujours.

Mais pour les services modernes, leur rôle va probablement diminuer. La connexion sans mot de passe est déjà devenue une réalité pour de nombreux comptes grand public et professionnels.

Les cinq questions à vous poser