Depuis 2023, Google, Apple, Microsoft, Amazon et plusieurs dizaines de services en ligne proposent les passkeys comme méthode de connexion. Cette technologie, portée par la FIDO Alliance, repose sur la cryptographie à clé publique et remplace le couple identifiant-mot de passe par une authentification liée à l’appareil de l’utilisateur. Le déploiement s’accélère, mais l’adoption réelle par les internautes ne suit pas toujours le rythme des annonces.
Cryptographie asymétrique : ce qui change côté serveur
Les concurrents décrivent volontiers le fonctionnement des passkeys du point de vue de l’utilisateur. Le changement le plus structurant se situe pourtant côté serveur.
Avec un mot de passe classique, le service stocke un condensé (hash) du secret. Si la base de données fuit, les attaquants peuvent tenter de reconstituer les mots de passe par force brute ou par dictionnaire. Avec une passkey, le serveur ne détient que la clé publique, inutilisable sans la clé privée correspondante.
La clé privée reste sur l’appareil de l’utilisateur, protégée par le module de sécurité matériel (TPM, Secure Enclave ou équivalent). Au moment de la connexion, le service envoie un défi cryptographique. L’appareil le signe avec la clé privée après vérification biométrique ou par code PIN local, puis renvoie la réponse. Le serveur vérifie la signature grâce à la clé publique.
Ce mécanisme rend le phishing classique inopérant : même si un site frauduleux reproduit l’interface de connexion, la passkey est liée au domaine du service légitime et refuse de répondre à un domaine différent. Aucun secret partagé ne transite sur le réseau, ce qui élimine aussi l’interception par attaque de type « man-in-the-middle ».
Passkeys et services en ligne : où en est le déploiement
Google a intégré les passkeys à l’ensemble de ses comptes et les propose comme méthode de connexion par défaut. Apple les prend en charge via iCloud Keychain, ce qui permet une synchronisation entre iPhone, iPad et Mac. Microsoft a activé le support sur ses comptes personnels et professionnels.
Amazon, PayPal, eBay, GitHub, Shopify ou encore WhatsApp figurent parmi les services qui acceptent les passkeys. La liste s’allonge régulièrement, mais elle reste concentrée sur les acteurs technologiques et les grandes plateformes de commerce.
Un écart entre création et usage quotidien
Le Passkey Index 2025 publié par la FIDO Alliance signale un décalage entre le nombre de passkeys créées et leur utilisation effective lors des connexions. Proposer la passkey ne suffit pas : le parcours de connexion doit la présenter au bon moment pour que l’utilisateur la choisisse plutôt que son mot de passe habituel.
Ce constat nuance les annonces optimistes. Tant que les services conservent le mot de passe comme solution de repli (ce qui est le cas sur la quasi-totalité d’entre eux), beaucoup d’utilisateurs continuent de se connecter à l’ancienne, par habitude ou parce que l’interface ne met pas la passkey en avant.
Récupération de compte : le point faible que les passkeys ne résolvent pas
Perdre son téléphone, casser son ordinateur ou changer d’écosystème (passer d’Android à iOS, par exemple) pose une question concrète : comment récupérer l’accès à ses comptes si les passkeys sont stockées sur un appareil devenu inaccessible ?
Les solutions existent, mais elles réintroduisent des mécanismes classiques :
- La synchronisation cloud (iCloud Keychain, Google Password Manager) permet de retrouver ses passkeys sur un nouvel appareil du même écosystème, à condition d’avoir accès à son compte cloud, souvent protégé par un mot de passe.
- Certains gestionnaires de mots de passe tiers (1Password, Dashlane, Bitwarden) prennent en charge les passkeys et les synchronisent indépendamment de l’écosystème, mais ajoutent une couche de dépendance supplémentaire.
- En dernier recours, la récupération de compte retombe sur un email ou un SMS de vérification, c’est-à-dire sur des canaux vulnérables au phishing ou au SIM swapping.
La récupération de compte reste un angle mort dans les mesures d’adoption publiées par la FIDO Alliance. Les statistiques portent sur les connexions réussies, pas sur les scénarios de perte d’accès, qui sont précisément ceux où la sécurité se joue.
Passkeys et identité numérique européenne : deux chantiers distincts
En Europe, le règlement 2024/1183 (eIDAS 2) prévoit le déploiement du portefeuille d’identité numérique EUDI. Ce dispositif permettra aux citoyens de prouver leur identité en ligne via un portefeuille certifié par les États membres.
Les passkeys et le portefeuille EUDI répondent à des problèmes différents. Les passkeys remplacent le mot de passe pour accéder à un service. Le portefeuille EUDI vise à certifier l’identité civile de l’utilisateur (état civil, diplômes, permis de conduire) auprès de tiers.
Ces deux technologies ne sont pas concurrentes mais complémentaires. Un service pourrait utiliser une passkey pour la connexion courante et demander une vérification via le portefeuille EUDI pour une opération sensible (ouverture de compte bancaire, signature électronique). Confondre les deux revient à mélanger la serrure de sa porte avec sa carte d’identité.
Limites techniques et cas où le mot de passe persiste
Plusieurs situations freinent la disparition complète des mots de passe.
Les appareils partagés posent problème. Sur un ordinateur de bibliothèque ou un poste de travail utilisé par plusieurs personnes, la passkey liée à la biométrie d’un seul utilisateur n’a pas de sens. Le mot de passe reste la méthode par défaut dans ces contextes.
Les données du Passkey Index de la FIDO Alliance proviennent d’un groupe limité de services participants. Extrapoler ces résultats à l’ensemble du web serait prématuré. De nombreux sites de taille modeste n’ont pas encore implémenté le standard WebAuthn nécessaire au support des passkeys.
La compatibilité entre écosystèmes progresse, mais reste imparfaite. Transférer une passkey d’un appareil Android vers un Mac sans passer par un gestionnaire tiers demande encore des manipulations que la plupart des utilisateurs ne maîtrisent pas.
- Appareils partagés ou publics : le mot de passe reste la seule option viable.
- Changement d’écosystème (iOS vers Android ou inversement) : la portabilité des passkeys dépend du gestionnaire utilisé.
- Services web de petite taille : l’implémentation de WebAuthn demande un investissement technique que tous les éditeurs ne peuvent pas assumer.
Les passkeys réduisent drastiquement le risque de phishing et éliminent les fuites de mots de passe côté serveur. Elles ne suppriment pas pour autant la totalité des vulnérabilités d’un compte en ligne. Le maillon le plus fragile se déplace vers la récupération de compte et vers les choix de conception des parcours utilisateur, deux sujets sur lesquels les données publiques restent encore parcellaires.
