Configurer une clé d'accès (passkey) – se connecter sans mot de passe sur iPhone, Android et Windows

Une clé d'accès repose sur la norme FIDO2 de l'Alliance FIDO, un consortium industriel. Son cœur est formé, selon l'OFCS, de deux protocoles : CTAP2 entre l'appareil et l'« authentifieur », et WebAuthn du W3C entre le navigateur et le serveur. À la configuration, votre appareil génère une paire de clés aléatoire pour ce service précis : la clé privée reste sur l'appareil ou dans l'authentifieur, la clé publique est communiquée au service. Apple décrit la même chose : le serveur n'a accès à la clé privée à aucun moment, et la clé publique n'est pas un secret – il n'y a plus de « secret partagé » que quelqu'un pourrait voler.

La connexion fonctionne par défi-réponse : le service envoie un défi, votre appareil le signe après déverrouillage avec la clé privée, et le service vérifie la signature avec la clé publique. Comme l'adresse du service est intégrée au défi et que l'authentifieur la vérifie avant de signer, la réponse ne vaut que pour le vrai serveur. L'OFCS écrit que WebAuthn offre ainsi une protection efficace contre de nombreuses attaques par hameçonnage ou interception (« Mallory-in-the-Middle ») ; Microsoft le dit concrètement : une clé d'accès pour netflix.com ne fonctionne que sur netflix.com, sur une page imitée à s'y méprendre, votre appareil ne la présente même pas.

Selon l'OFCS, le terme désigne aujourd'hui deux choses : la technologie des clés FIDO synchronisables et la clé privée elle-même, qui remplace le mot de passe. L'empreinte digitale et le visage ne sont que la clé qui ouvre la porte vers la clé stockée sur l'appareil – selon Google et l'aide Chrome, les données biométriques restent sur l'appareil et ne sont pas partagées avec Google. Une page détaillée de notre lexique « Qu'est-ce qu'une clé d'accès ? » paraîtra le 4 novembre 2026.

Dans ses considérations technologiques « Clés d'accès » de septembre 2025, l'OFCS retient qu'il est impossible de tirer des conclusions générales sur la sécurité des clés d'accès, parce que le diable se cache dans les détails de chaque implémentation – mais « on peut avancer au moins trois arguments pour affirmer que les clés d'accès sont meilleures que les mots de passe » : premièrement, elles sont différentes sur chaque serveur et doivent être compromises une à une, alors que les mots de passe sont souvent réutilisés pour de nombreux services. Deuxièmement, elles sont générées aléatoirement et ne peuvent pas être devinées. Troisièmement, elles ne passent pas par des lignes de communication, elles ne peuvent donc ni être interceptées ni détournées lors d'attaques par rejeu. L'OFCS salue et soutient expressément cette évolution et estime que les clés d'accès s'imposeront sur le marché – Google, Apple et Microsoft remplacent les mots de passe par des clés d'accès lorsque c'est possible.

La FIDO Alliance montre dans son communiqué du 15 octobre 2026 où en est la diffusion : environ 7 milliards de clés d'accès dans le monde, et chez les 15 services grand public de son « Passkey Index » – dont Amazon, Google, Microsoft, PayPal, Shopify, TikTok et WhatsApp –, plus d'un tiers des connexions réussies (« more than a third of successful sign-ins » dans l'original anglais) passent par une clé d'accès, presque trois fois plus vite qu'avec un mot de passe et un second facteur classique. Selon FIDO, chaque participant qui mesure l'hameçonnage signale depuis moins d'attaques réussies. Google ajoute sur sa page d'aide le bénéfice au quotidien : les clés d'accès ne peuvent pas être partagées, copiées, notées ni communiquées accidentellement.

Pour vous, cela signifie : la clé d'accès vous débarrasse des deux plus grands risques du mot de passe – la réutilisation et l'hameçonnage. Ce dont elle ne vous débarrasse pas, c'est de l'entretien de la solution de repli : tant qu'un service garde votre mot de passe, celui-ci doit être fort et unique (→ Créer un mot de passe sécurisé – et ce qui est vraiment sûr en 2026), et pour les services sans clé d'accès, le second facteur reste la meilleure protection (→ Activer la validation en deux étapes sur votre compte Google – invite, application, clé ou clé d'accès).

À l'origine, selon l'OFCS, la clé privée devait rester stockée dans l'authentifieur de manière sécurisée et illisible (« device-bound authenticator »). Comme c'est peu pratique avec plusieurs appareils, l'Alliance FIDO a ajouté la synchronisation via un espace de stockage cloud (« synced authenticator ») – ce sont précisément les clés d'accès du trousseau iCloud, du Gestionnaire de mots de passe de Google, du Gestionnaire de mots de passe Microsoft et des gestionnaires de mots de passe. L'OFCS dit clairement que cette grande latitude d'implémentation « n'est pas sans risque pour la sécurité » et que le mécanisme de protection matérielle prévu à l'origine a été abandonné au profit d'une large diffusion sur le marché ; à quel point une implémentation s'écarte de la norme doit s'examiner au cas par cas. L'Alliance FIDO connaît pour cela trois niveaux de certification : L1 admet n'importe quel composant matériel ou logiciel, L2 exige un Secure Element ou un Trusted Execution Environment, L3 un environnement approuvé par l'Alliance – pour l'OFCS, cette granularité ne suffit pas pour bien penser la sécurité.

Dans ses considérations technologiques « Niveaux de sécurité pour les procédures, moyens et services d'authentification » de septembre 2026, l'OFCS classe les procédés : le mot de passe seul relève du niveau « faible », les clés d'accès synchronisées de « moyen* », les clés matérielles FIDO2 sans synchronisation de « élevé* » – l'astérisque marque les procédés qui protègent contre l'hameçonnage en temps réel. Les deux variantes de clés d'accès résistent donc à l'hameçonnage ; la différence tient à ce que la clé reste dans un matériel dédié ou peut être copiée sur plusieurs appareils via un cloud. Apple rétorque que le trousseau iCloud est chiffré de bout en bout avec des clés non connues d'Apple, et que les clés d'accès restent récupérables même en cas de perte de tous les appareils.

Notre recommandation pratique : pour les particuliers, les clés d'accès synchronisées sont le bon choix – dans le trousseau iCloud, dans le Gestionnaire de mots de passe de Google, dans le Gestionnaire de mots de passe Microsoft ou dans un gestionnaire indépendant si vous utilisez des appareils de plusieurs fabricants (→ Meilleurs gestionnaires de mots de passe 2026 : 1Password, NordPass, Bitwarden et Proton Pass comparés). Le cas de la perte est ainsi réglé, et vous êtes protégé contre l'hameçonnage. Pour les comptes particulièrement importants – e-mail, gestionnaire de mots de passe, banque –, une clé matérielle vaut la peine en plus, de préférence deux, parce qu'elle ne se récupère pas.

Pour le compte Google, la clé d'accès est l'option par défaut des comptes personnels depuis le 10 octobre 2023 ; pour le compte Apple et les sites web dans Safari, elle passe par le trousseau iCloud ; pour le compte Microsoft, par les « Options de sécurité avancées ». WhatsApp a annoncé le 25 août 2026 que plus d'un milliard de personnes protègent leur compte avec une clé d'accès – après la vague de comptes WhatsApp piratés signalée en Suisse, une bonne raison de l'activer là aussi. Les 15 services du Passkey Index de la FIDO Alliance, dont Amazon, PayPal, Shopify et TikTok, la proposent également.

Toutes les apps et tous les sites web n'en sont pas là. Apple, Google et Microsoft le disent de la même manière : si vous ne voyez aucune option de clé d'accès à la connexion ou dans les réglages du compte, le service ne la prend pas encore en charge. Il reste alors le mot de passe plus second facteur – et un coup d'œil dans les paramètres de sécurité dans quelques mois.

Nouveauté : la création automatique de clés d'accès. Lorsque vous vous connectez avec un mot de passe enregistré, le site peut créer une clé d'accès en arrière-plan. Apple le décrit pour les sites web et les apps, Chrome l'enregistre dans le Gestionnaire de mots de passe de Google et vous en informe, Edge la range dans le Gestionnaire de mots de passe Microsoft. Qui ne le souhaite pas désactive dans Chrome, sous « Mots de passe et saisie automatique » > « Gestionnaire de mots de passe de Google » > « Paramètres », l'option « Créer automatiquement une clé d'accès pour vous connecter plus vite », et dans Edge, sous « Paramètres » > « Mots de passe et remplissage automatique » > « Gestionnaire de mots de passe Microsoft » > « Autres paramètres », la mise à niveau automatique vers les clés d'accès. Vos informations de connexion existantes restent dans les deux cas.

Le mot de passe reste. L'OFCS signale que dans de nombreux domaines d'application des clés d'accès, il sera possible, voire nécessaire, de continuer à utiliser des mots de passe, par exemple comme solution de sauvegarde pour la réinitialisation – les mots de passe faibles et mal gérés restent donc exposés aux cyberattaques. Qui configure la clé d'accès et garde l'ancien mot de passe, le même partout, n'a pas fermé la porte de derrière, il l'a seulement oubliée.

L'appareil est la clé. Google écrit qu'après la création d'une clé d'accès, toute personne capable de déverrouiller votre appareil peut accéder à votre compte Google, même si vous vous y êtes déconnecté. Donc : pas de clé d'accès sur les appareils partagés, le verrouillage de l'écran est obligatoire, et une clé d'accès créée par erreur sur un appareil étranger est retirée du compte immédiatement. Les comptes d'un employeur ou d'une école peuvent être limités selon Google et Microsoft – Google Workspace n'admet la connexion avec la seule clé d'accès que si l'administration l'autorise, les organisations Microsoft peuvent bloquer des emplacements. Et en navigation privée, les clés d'accès ne fonctionnent, selon Google, pas sur certains systèmes.

La migration n'est pas encore résolue. L'OFCS cite les formats CXF et CXP, avec lesquels les clés d'accès peuvent être exportées et réimportées individuellement, mais pris en charge seulement dans certains cas ; notre recherche chez les quatre gestionnaires de mots de passe confirme le tableau, de Bitwarden avec CXP à NordPass sans aucun export. Et une clé d'accès ne vous protège ni contre un logiciel malveillant sur votre propre appareil ni contre l'arnaque au téléphone où quelqu'un vous pousse à valider une connexion. Gardez le système d'exploitation et le navigateur à jour – Google en fait une condition pour que les clés d'accès fonctionnent en toute sécurité – et restez attentif aux escrocs qui falsifient réservations et paiements.

Commencez par les trois grands comptes qui ouvrent tous les autres : Google, Apple et Microsoft. La clé d'accès y est aujourd'hui la norme, le chemin prend quelques minutes par compte, et ces comptes sont liés à la boîte e-mail, par laquelle tout le reste peut être réinitialisé. Viennent ensuite les services qui proposent des clés d'accès – WhatsApp, services de paiement, boutiques ; là où l'option manque, il reste le mot de passe plus second facteur (→ Activer la validation en deux étapes sur votre compte Google – invite, application, clé ou clé d'accès).

Qui n'utilise que des appareils Apple ou qu'Android est bien servi avec le trousseau iCloud ou le Gestionnaire de mots de passe de Google. Qui mélange – iPhone et PC Windows, Android et Mac – prend un gestionnaire de mots de passe qui synchronise clés d'accès et mots de passe sur toutes les plateformes ; Bitwarden et Proton Pass le font selon notre comparatif aussi gratuitement. Et pour chaque compte, la règle est la même : toujours deux voies d'entrée – seconde clé d'accès, clé matérielle, codes de secours ou un mot de passe fort avec second facteur (→ Créer un mot de passe sécurisé – et ce qui est vraiment sûr en 2026). La clé d'accès rend la connexion plus simple et plus sûre ; la prévoyance pour le cas de perte reste votre affaire.