Passkey (clé d'accès) : c'est quoi, et pourquoi les sites veulent remplacer ton mot de passe

Tu te connectes à un site, et au lieu du classique « mot de passe oublié ? », une fenêtre te propose : « Créer une clé d’accès ». Tu cliques sur « plus tard », par réflexe. Pourtant, cette petite option pourrait bien te débarrasser définitivement des mots de passe que tu oublies, que tu réutilises partout et qui finissent un jour dans une fuite de données. Voici ce qu’est une passkey, et pourquoi elle mérite que tu dises oui.

🔑 Passkey, clé d’accès : c’est quoi ?

Une passkey (en français, clé d’accès) est une méthode de connexion sans mot de passe. Pour te connecter, tu fais simplement ce que tu fais déjà cent fois par jour : déverrouiller ton téléphone ou ton ordi, avec ton empreinte, ton visage ou ton code.

Elle repose sur un standard ouvert, développé et soutenu par les grands acteurs du numérique, ce qui explique qu’on la retrouve sur de plus en plus de sites, d’applis et de systèmes.

En pratique :

• pas de mot de passe à inventer ;
• rien à retenir ni à taper ;
• rien à recopier sur un post-it ou dans les notes de ton téléphone.

⚙️ Comment ça marche (sans prise de tête)

Quand tu crées une passkey pour un site, ton appareil génère deux clés liées entre elles :

1. Une clé privée, secrète, qui reste sur ton appareil (ou dans ton compte de synchronisation). Elle ne quitte jamais ton côté.
2. Une clé publique, envoyée au site, qui la conserve.

Au moment de te connecter, le site t’envoie une sorte de défi. Ton appareil le « signe » avec la clé privée, après que tu l’as déverrouillé. Le site vérifie la signature avec la clé publique : si ça correspond, c’est bien toi.

💡 L’image simple : le site possède le cadenas, toi seul as la clé. Même si quelqu’un vole le cadenas (la clé publique), il ne peut rien ouvrir avec.

Et ton empreinte ou ton visage ? Ils ne servent qu’à déverrouiller ton appareil, en local. Le site ne les voit jamais.

🛡️ Pourquoi c’est plus sûr qu’un mot de passe

Risque	Avec un mot de passe	Avec une passkey
Phishing (fausse page)	Tu peux taper ton mot de passe sur un faux site	La passkey ne fonctionne que sur le vrai site
Fuite de données du site	Les mots de passe volés peuvent être exploités	Le site ne stocke qu’une clé publique, inutile seule
Réutilisation	Un mot de passe utilisé partout = tous tes comptes exposés	Chaque passkey est unique par site
Mot de passe faible	« 123456 » ou ton prénom + année	Rien à inventer, donc rien de faible
Oubli	Réinitialisation, e-mails, galère	Tu déverrouilles ton appareil, c’est tout

Le point le plus important, c’est le phishing. Une passkey est liée à l’adresse exacte du site pour lequel elle a été créée. Si une arnaque te redirige vers un faux site qui imite ta banque ou ta messagerie, ta passkey ne s’activera tout simplement pas. C’est une protection précieuse face aux arnaques qui se multiplient, comme le quishing, l’arnaque au faux QR code.

📱 Et si tu perds ou changes de téléphone ?

C’est la question que tout le monde se pose, et la réponse dépend de où sont stockées tes passkeys :

• Passkeys synchronisées : la plupart des systèmes et des gestionnaires de mots de passe synchronisent tes clés d’accès entre tes appareils via ton compte. Nouveau téléphone ? Tu te reconnectes à ce compte, et tes passkeys reviennent.
• Passkeys liées à un seul appareil (certaines clés physiques de sécurité, par exemple) : si tu perds l’appareil, tu perds la passkey, et il faut passer par la récupération de compte du site.

Dans tous les cas, ta sécurité repose désormais beaucoup sur le compte qui synchronise tes passkeys et sur le verrouillage de ton téléphone. Les bons réflexes :

1. Protège le compte principal de ton téléphone ou de ton gestionnaire avec une double authentification.
2. Utilise un code de verrouillage solide sur ton téléphone, pas « 0000 ».
3. Garde une méthode de secours sur tes comptes importants : codes de récupération, e-mail et numéro de récupération à jour.
4. Ajoute une passkey sur un deuxième appareil (ordi, tablette) quand c’est possible.

✅ Comment créer ta première passkey

C’est généralement très simple :

1. Va dans les paramètres de sécurité d’un de tes comptes (messagerie, réseau social, boutique en ligne, etc.).
2. Cherche une option du type « clés d’accès », « passkeys » ou « se connecter sans mot de passe ».
3. Clique sur « Créer une clé d’accès », et confirme avec ton empreinte, ton visage ou ton code.
4. C’est tout. À la prochaine connexion, ton appareil te proposera d’utiliser la passkey.

Sur l’ordinateur d’un ami ou d’un proche, beaucoup de sites proposent d’afficher un QR code à scanner avec ton téléphone, qui sert alors à valider la connexion. Ta clé secrète reste sur ton téléphone. Pense juste à te déconnecter après.

⚖️ Les limites à connaître

La passkey n’est pas encore parfaite :

• Tous les sites ne la proposent pas : tu garderas encore des mots de passe pendant un moment.
• Passer d’un écosystème à un autre (par exemple changer de type de téléphone) peut demander un peu de manipulation selon l’endroit où tes clés sont stockées.
• Le vocabulaire varie d’un site à l’autre : clé d’accès, passkey, connexion sans mot de passe…
• Ton appareil devient la clé : s’il est mal protégé, ou si le compte qui synchronise tes passkeys est piraté, le risque se déplace.

🎯 Ce qu’il faut retenir

La passkey, c’est la promesse d’un Internet où tu n’as plus à retenir de mot de passe, et où le phishing perd une grande partie de son efficacité. Pour les comptes qui la proposent, l’activer est un vrai gain de sécurité et de confort. Garde simplement en tête que ton téléphone et ton compte de synchronisation deviennent tes nouvelles clés de maison : protège-les en conséquence, et garde toujours une porte de secours. Et pour comprendre comment certains sites te poussent à cliquer sans réfléchir sur d’autres options, jette un œil à notre article sur les dark patterns.