Imaginez qu’on vous offre une serrure dernier cri, impossible à crocheter, qui s’ouvre d’un simple geste du doigt. Formidable. Seulement, on vous demande aussi, dans la foulée, de jeter toutes vos anciennes clés à la poubelle. Vous le feriez, vous, sans vous être assuré qu’un double existe quelque part ? Probablement pas. C’est pourtant ce que beaucoup d’entre nous s’apprêtent à faire avec leur compte Google, Apple ou Microsoft.
Car l’industrie le répète à l’envi : les mots de passe, c’est fini. Les passkeys (« clés d’accès » en français) s’imposent comme la méthode de connexion moderne : plus simple, plus sûre, et un vrai soulagement pour votre mémoire. Les arguments sont solides, et nous ne les contestons pas. Mais adopter une passkey et supprimer son mot de passe sont deux décisions distinctes. La première ajoute une porte blindée ; la seconde murre l’ancienne entrée, y compris celle qui servait de sortie de secours. Prenons le temps de comprendre ce qui se passe, concrètement, le jour où tout va de travers.
Passkey (clé d’accès) : un identifiant de connexion qui remplace le mot de passe. Vous vous authentifiez avec votre empreinte, votre visage ou le code de déverrouillage de votre appareil.
Clé publique / clé privée : deux moitiés d’un même cadenas numérique. Le site garde la clé publique (inoffensive) ; la clé privée, elle, ne quitte jamais votre appareil ou votre gestionnaire.
Hameçonnage (phishing) : une fausse page qui imite un site légitime pour vous faire saisir vos identifiants.
Bourrage d’identifiants (credential stuffing) : des pirates essaient, sur plein de sites, des mots de passe volés ailleurs, en espérant que vous les avez réutilisés.
Passkey synchronisée : copiée automatiquement sur vos autres appareils via un service comme le Trousseau iCloud ou le Gestionnaire de mots de passe de Google.
Passkey liée à l’appareil : stockée à un seul endroit (un ordinateur, une clé de sécurité matérielle). Si cet objet disparaît, elle disparaît avec lui.
Gestionnaire de mots de passe : un coffre-fort logiciel qui stocke vos identifiants, et désormais vos passkeys.
Pourquoi les passkeys sont réellement meilleures que les mots de passe
Un mot de passe est un secret partagé : vous le connaissez, le site en conserve de quoi le vérifier, et à chaque connexion vous devez prouver que vous le détenez toujours. Ce système offre mille occasions de nuire : kits d’hameçonnage, bourrage d’identifiants, réutilisation du même mot de passe partout, fuites de bases de données.
Les passkeys reposent sur une autre mécanique, la cryptographie à clé publique. Le site ne conserve que la clé publique. Au moment de la connexion, votre appareil signe un défi envoyé par le site et prouve ainsi qu’il détient la bonne clé privée, sans jamais la transmettre. Image simple : au lieu de dicter la combinaison de votre coffre au guichetier, vous lui montrez que votre clé fait tourner la serrure, puis vous la remettez dans votre poche.
Trois protections à retenir
- Résistance au hameçonnage : l’identifiant est lié au domaine légitime. Une fausse page de connexion ne peut tout simplement pas vous faire « saisir » votre passkey.
- Aucun secret réutilisable côté site : si la base de données d’un service est piratée, les pirates y trouvent des clés publiques, qui ne leur servent à rien pour se connecter.
- Fini l’éternel mot de passe de la fac : plus besoin d’en inventer une énième variante.
Les chiffres de l’industrie vont dans le même sens. D’après un rapport de la FIDO Alliance publié en octobre 2025, plus de 3 milliards de passkeys protégeaient déjà des comptes grand public, avec un taux de réussite de connexion annoncé de 93 % chez les organisations qui les utilisent.
Perdre son téléphone : moins dramatique qu’on le croit… en général
Si vos passkeys sont synchronisées (via Trousseau iCloud, Gestionnaire de mots de passe Google ou un gestionnaire tiers), la perte d’un téléphone n’est pas la catastrophe annoncée. Vous achetez un nouvel appareil, vous retrouvez l’accès au service qui gère vos identifiants, et vos passkeys réapparaissent. Le fournisseur protège les données de clé sous-jacentes : elles ne traînent pas en clair dans un dossier cloud, en attente d’être copiées.
Voilà pour le beau temps. Le ciel se couvre quand vous perdez à la fois l’appareil et l’accès au service sur lequel vous comptiez pour tout récupérer.
Le vrai danger : tout mettre dans le même panier
Se passer de mot de passe, c’est confier une responsabilité immense au système qui stocke vos clés. Pour beaucoup d’utilisateurs, leur compte Apple, Google ou Microsoft, ou leur gestionnaire de mots de passe, devient l’une des pièces les plus critiques de tout leur dispositif de sécurité. Si ce compte vacille, c’est tout l’édifice qui tremble.
Les grandes plateformes proposent heureusement de nombreuses voies de secours, à condition de les avoir configurées avant le drame :
- Apple : synchronisation via le Trousseau iCloud et plusieurs options de récupération de compte.
- Google : informations de récupération, codes de secours, autres appareils connectés, clés de sécurité et passkeys supplémentaires.
- Microsoft : Windows Hello, application Authenticator, clés de sécurité, codes envoyés par e-mail et autres vérifications.
Le piège de la fausse redondance
C’est ici que les choses se corsent. Vous pouvez avoir configuré « plusieurs » méthodes de récupération qui dépendent en réalité toutes du même objet. Exemple très courant : vos passkeys vivent sur votre téléphone, les SMS de vérification arrivent sur la carte SIM de ce même téléphone, et votre e-mail de récupération n’est confortablement accessible que depuis ce même téléphone. Sur le papier, trois méthodes ; en pratique, un seul point de défaillance. Un vol, et tout s’effondre d’un coup.
Deux méthodes de récupération n’offrent aucune redondance si la perte d’un seul appareil les emporte toutes les deux. C’est l’équivalent de ranger la clé de la maison et la clé de secours dans le même sac à main.
Même logique pour les passkeys liées à un appareil : une passkey stockée uniquement sur un ordinateur portable ou sur une clé de sécurité matérielle ne réapparaîtra nulle part ailleurs si ce matériel est perdu ou réinitialisé. Vous pourrez toujours récupérer le compte si vous avez enregistré un autre identifiant au préalable, ou si le service propose un autre moyen de prouver qui vous êtes.
Les normes sur les passkeys encadrent l’authentification, pas la récupération. Amazon, PayPal, votre banque, votre messagerie : chacun est libre de définir sa procédure quand vous avez perdu tous vos identifiants. Lisez la page « compte inaccessible » de vos services importants avant de cliquer sur « Supprimer le mot de passe », et non une fois que vous êtes déjà dehors.
Votre plan de secours en six étapes
La bonne façon de préparer un compte sans mot de passe consiste à partir d’une hypothèse pessimiste mais réaliste : un de vos appareils finira par tomber en panne ou disparaître au pire moment. Les téléphones se volent, les ordinateurs se réinitialisent, et les clés de sécurité adorent se cacher dans le tiroir où vous étiez « sûr » de les retrouver.
- Choisissez vos comptes vitaux : e-mail principal, compte Apple/Google/Microsoft, banque, gestionnaire de mots de passe. Ce sont eux qu’on blinde d’abord.
- Enregistrez plusieurs passkeys sur des appareils distincts que vous contrôlez (téléphone, ordinateur, tablette).
- Gardez une clé de sécurité matérielle de secours dans un endroit sûr, loin de votre sac et de votre bureau.
- Imprimez ou notez hors ligne vos codes de récupération, et rangez-les à part, comme un papier d’identité.
- Gardez une adresse e-mail de récupération indépendante, accessible même si le téléphone principal disparaît.
- Testez, tant que tout va bien : connectez-vous depuis un autre appareil, simulez la perte, vérifiez que vous retrouvez bien votre accès.
D’après une autre analyse publiée en juillet 2026 par Little Big Red Dot, les faux pas les plus fréquents sont : supposer que les passkeys rendent la récupération inutile, garder tous ses appareils au même endroit, utiliser un e-mail de récupération mal protégé, effacer l’ancien téléphone avant d’avoir testé le nouveau, et approuver une demande de récupération que vous n’avez pas lancée.
Portabilité : ne pas s’enfermer chez un seul fournisseur
Autre question à se poser avant de s’attacher à un gestionnaire : pourrez-vous en changer ? Pendant longtemps, les passkeys créées dans l’écosystème d’un géant y restaient confinées, ce que certains appelaient un enfermement chez le fournisseur.
La situation évolue. En octobre 2024, la FIDO Alliance a dévoilé deux projets de spécifications : le CXP (Credential Exchange Protocol), qui décrit comment transférer des identifiants de façon chiffrée, et le CXF (Credential Exchange Format), qui définit le format des données échangées. Apple, Google, Microsoft, 1Password, Bitwarden et Dashlane ont participé à leur élaboration. À la WWDC de juin 2025, Apple a annoncé, pour iOS 26 et macOS Tahoe 26, un transfert de passkeys et de mots de passe chiffré de bout en bout, d’application à application, avec authentification biométrique locale.
La prise en charge varie selon les plateformes et les logiciels. Ne présumez pas que la migration sera indolore : testez l’export et l’import avec votre propre configuration, tant que vous n’êtes pas pressé.
Garder son mot de passe… mais pas pour toujours
Voici un compromis de bon sens pour la phase de transition : conservez un mot de passe long et unique, stocké dans votre gestionnaire, le temps de configurer et d’éprouver vos alternatives. Il joue alors le rôle de roue de secours.
Attention toutefois : une roue de secours qu’on ne remplace jamais devient un risque. Tant qu’il est actif, ce mot de passe reste un identifiant qu’un attaquant peut dérober par hameçonnage ou utiliser pour s’introduire dans le compte. Dès que vous disposez de plusieurs passkeys indépendantes et de méthodes de récupération fiables, supprimer le mot de passe élimine la voie d’accès la plus vulnérable, sans vous rendre dépendant d’un seul appareil.
Soyons clairs : adoptez les passkeys, et dès aujourd’hui. Elles corrigent la plupart des défauts majeurs des mots de passe. Mais voyez la suppression du mot de passe comme la dernière marche de l’escalier, pas la première. Entre les deux, il y a un après-midi de rangement numérique, quelques codes imprimés et une clé de secours dans un tiroir. Ce n’est pas glamour, mais c’est ce qui sépare la tranquillité du cauchemar administratif d’un compte bloqué.
Le débat : sommes-nous prêts à vivre sans mot de passe ?
Pendant des décennies, le mot de passe a été notre sésame, notre pense-bête et notre cauchemar. Aujourd’hui on nous demande de lui dire adieu et de faire confiance à nos appareils et à quelques grandes plateformes. Progrès libérateur ou dépendance déguisée ?
1. Avez-vous déjà créé des passkeys ? Sur quels services, et sur quel appareil ?
2. Auriez-vous le courage de supprimer un mot de passe, ou garderiez-vous un filet de sécurité ?
3. Cela vous inquiète-t-il de confier tant de choses à un seul compte (Apple, Google ou Microsoft) ?
4. Avez-vous déjà été bloqué hors d’un compte ? Qu’est-ce qui vous aurait sauvé ?
Racontez-nous votre expérience en commentaire.
