Passkey : le guide complet pour remplacer vos mots de passe sans perdre vos comptes

Un site vous propose de créer une passkey, parfois traduite par « clé d’accès », à la place de votre mot de passe. L’idée paraît séduisante : plus de combinaison compliquée à mémoriser, plus de code reçu par SMS et une connexion validée avec l’empreinte digitale, le visage ou le code de verrouillage de l’appareil. Mais que se passe-t-il si le téléphone est perdu ? Peut-on utiliser la même clé sur un PC, un iPhone et une tablette Android ? Et faut-il supprimer immédiatement tous ses mots de passe ? La passkey est une évolution majeure de la connexion en ligne, mais elle ne doit pas être activée machinalement. Ce guide explique son fonctionnement sans jargon, ses avantages contre le phishing, ses limites et la bonne méthode pour l’adopter progressivement tout en conservant des solutions de récupération fiables.

Qu’est-ce qu’une passkey ou clé d’accès ?

Une passkey est un identifiant numérique créé pour un compte précis et enregistré sur un appareil, dans un gestionnaire d’identifiants ou sur une clé de sécurité physique. Pour vous connecter, vous ne saisissez pas un secret partagé avec le site. Vous déverrouillez localement la clé avec Face ID, Touch ID, Windows Hello, une empreinte, un schéma ou un code PIN. Techniquement, le système repose sur une paire de clés cryptographiques. La clé publique est enregistrée par le service en ligne. La clé privée reste sous votre contrôle. Lors de la connexion, le site envoie un défi que votre appareil signe avec la clé privée. Le serveur vérifie la signature avec la clé publique, sans recevoir la clé privée ni vos données biométriques.

• La passkey est propre à un site ou à une application.
• Elle n’est pas choisie ni mémorisée par l’utilisateur.
• L’empreinte ou le visage sert à autoriser son utilisation sur l’appareil.
• Le site ne reçoit pas l’image de votre visage ni votre empreinte.
• Une passkey peut être synchronisée entre plusieurs appareils compatibles.

La FIDO Alliance, à l’origine des standards utilisés, définit la passkey comme un identifiant cryptographique permettant de se connecter avec le même geste que celui utilisé pour déverrouiller son appareil.

Pourquoi la passkey résiste mieux au phishing

Un mot de passe peut être tapé sur le mauvais site. Une fausse page ressemblant parfaitement à Google, Microsoft ou à une banque peut ainsi le récupérer. Une passkey est liée au véritable domaine pour lequel elle a été créée. Le navigateur ne doit donc pas la proposer à un domaine frauduleux qui imite seulement l’apparence du service. Elle élimine également plusieurs faiblesses classiques. Il n’existe pas de mot facile à deviner, de combinaison réutilisée sur dix comptes ou de secret à transmettre par mégarde au téléphone. Si la base de données d’un service est copiée, l’attaquant ne récupère normalement que des clés publiques, inutilisables pour se connecter seules.

Une passkey protège très efficacement contre le vol de mot de passe, mais elle ne protège pas contre toutes les attaques. Un appareil déjà déverrouillé, une session Web volée ou une procédure de récupération mal sécurisée peuvent toujours exposer un compte.

Passkey, mot de passe et double authentification : quelles différences ?

Méthode	Ce que vous utilisez	Risque principal	Confort
Mot de passe	Un secret mémorisé ou stocké	Phishing, réutilisation, fuite	Variable
Mot de passe + code SMS	Un secret et un téléphone	Phishing du code, détournement de numéro	Moyen
Mot de passe + application 2FA	Un secret et un code temporaire	Phishing en temps réel, perte de récupération	Moyen
Passkey	L’appareil et son déverrouillage	Perte d’accès à l’écosystème ou mauvaise récupération	Élevé
Clé de sécurité physique	Une clé matérielle et parfois un PIN	Perte de la clé sans solution de secours	Bon, mais moins universel

Une passkey vérifiée par le déverrouillage de l’appareil peut réunir plusieurs éléments d’authentification dans une seule action. Cela ne signifie pas que toutes les plateformes suppriment immédiatement leur ancien système. Pendant la transition, beaucoup conservent un mot de passe, un courriel, une application d’authentification ou des codes de récupération comme méthode secondaire.

Où une clé d’accès est-elle enregistrée ?

C’est la question la plus importante avant d’appuyer sur « Créer une clé d’accès ». Selon l’appareil et le choix affiché, elle peut être stockée dans le gestionnaire de mots de passe d’Apple, de Google ou d’un éditeur tiers, dans Windows Hello, ou sur une clé de sécurité compatible. Le lieu de stockage détermine les appareils sur lesquels elle sera disponible.

Sur iPhone, iPad et Mac

Dans l’écosystème Apple, les passkeys peuvent être synchronisées par le trousseau iCloud entre les appareils associés au même compte Apple lorsque les protections requises sont activées. Apple indique qu’elles reposent sur les standards FIDO et W3C et qu’elles sont chiffrées de bout en bout dans le trousseau. Elles s’utilisent avec Face ID, Touch ID ou le code de l’appareil. La page officielle consacrée aux passkeys Apple détaille aussi la connexion à un appareil d’une autre marque.

Sur Android et Chrome

Android peut enregistrer les clés d’accès dans le gestionnaire de mots de passe Google ou dans un fournisseur compatible choisi par l’utilisateur. Elles deviennent alors disponibles sur les appareils où le même compte et la synchronisation appropriée sont utilisés. Google précise que la validation emploie le verrouillage de l’appareil et que les informations biométriques restent sur celui-ci. Vous pouvez consulter la présentation officielle des passkeys pour un compte Google.

Sur Windows 11

Windows 11 peut utiliser Windows Hello pour valider une clé d’accès avec le visage, l’empreinte ou un PIN. Certaines clés restent liées au PC, tandis que d’autres sont proposées par un téléphone, un gestionnaire compatible ou une clé de sécurité. Le PIN Windows Hello n’est pas le mot de passe du compte : il autorise une opération sur l’appareil concerné. Gardez Windows à jour et sécurisez la session. Si la machine montre déjà des signes de faiblesse, commencez par nos conseils pour accélérer un PC lent sous Windows 11.

Comment créer une passkey correctement

La formulation change selon le service : « créer une clé d’accès », « ajouter une passkey », « connexion sans mot de passe » ou « utiliser votre appareil ». L’option se trouve généralement dans les paramètres du compte, sous Sécurité, Connexion ou Méthodes d’authentification.

1. Connectez-vous au service depuis son application ou son adresse officielle.
2. Ouvrez les paramètres de sécurité du compte.
3. Vérifiez l’adresse électronique et le numéro de récupération enregistrés.
4. Choisissez l’option permettant d’ajouter une passkey.
5. Lisez le nom du gestionnaire ou de l’appareil proposé avant de confirmer.
6. Validez avec l’empreinte, le visage, le code ou le PIN de l’appareil.
7. Donnez à la clé un nom explicite si le service le permet, par exemple « iPhone personnel ».
8. Déconnectez-vous puis testez immédiatement la nouvelle méthode.
9. Contrôlez les autres méthodes de récupération avant de supprimer quoi que ce soit.

Ne créez pas une passkey sur un ordinateur public, partagé ou administré par une personne inconnue. Sur un poste professionnel, respectez les règles de l’entreprise : l’organisation peut imposer un gestionnaire, une clé matérielle ou une méthode de récupération précise.

Peut-on se connecter sur un autre appareil ?

Oui, de deux façons. Si la passkey est synchronisée, elle peut apparaître automatiquement sur les appareils reliés au même gestionnaire. Sinon, le site peut afficher un QR code. Vous le scannez avec le téléphone qui possède la clé, puis vous confirmez la connexion sur ce téléphone. Bluetooth peut être utilisé pour vérifier que les deux appareils sont proches ; le QR code ne doit donc pas être considéré comme une simple image à partager. Cette méthode est pratique pour ouvrir un compte sur un PC emprunté sans y recopier un mot de passe. Vérifiez cependant l’adresse du site et fermez la session en partant. Une connexion instable peut gêner l’échange entre les appareils ; notre dossier sur le Wi-Fi connecté sans accès Internet permet de diagnostiquer séparément ce type de panne.

Que se passe-t-il si vous perdez votre téléphone ?

Perdre l’appareil ne signifie pas forcément perdre la passkey. Si elle était synchronisée avec un gestionnaire protégé, elle peut réapparaître après connexion et vérification sur un nouvel appareil. Si elle était uniquement liée au téléphone ou au PC perdu, il faudra employer une autre clé déjà enregistrée ou la procédure de récupération du service.

• Enregistrez au moins deux moyens d’accès aux comptes critiques.
• Conservez les codes de récupération hors du téléphone principal.
• Ajoutez une adresse électronique de secours bien protégée.
• Retirez l’ancien appareil depuis les paramètres du compte après une perte ou une vente.
• Activez la localisation et l’effacement à distance du smartphone.
• Pour un compte essentiel, envisagez une seconde passkey sur une clé physique conservée en lieu sûr.

Avant de réinitialiser ou de vendre un ordinateur, contrôlez les passkeys locales et les sessions ouvertes. Si vous devez remplacer une machine trop ancienne, vérifiez d’abord les options proposées dans notre guide pour un PC non compatible avec Windows 11.

Faut-il supprimer son mot de passe après avoir créé une passkey ?

Pas systématiquement. Certains services utilisent réellement la passkey comme remplacement, tandis que d’autres la proposent seulement comme méthode de connexion supplémentaire. Si un mot de passe reste actif, il doit demeurer unique et robuste : un attaquant peut choisir le chemin le moins protégé. Activez aussi la meilleure double authentification proposée pour les connexions qui utilisent encore ce mot de passe. Ne supprimez l’ancienne méthode que si le service explique clairement les conséquences et si vous disposez d’au moins une solution de secours testée. Pour les comptes les plus importants, une migration progressive est préférable : créer la passkey, l’utiliser plusieurs fois, vérifier la synchronisation, ajouter un secours, puis seulement simplifier les anciennes méthodes.

Les erreurs à éviter avec les passkeys

• Confondre biométrie et transmission : votre visage autorise la clé localement, il n’est normalement pas envoyé au site.
• Tout placer sur un seul appareil : la perte ou la panne peut compliquer la récupération.
• Ignorer le lieu de stockage : une clé locale et une clé synchronisée n’offrent pas la même portabilité.
• Scanner n’importe quel QR code : lancez toujours la connexion depuis le site officiel.
• Laisser un vieux mot de passe faible : il peut rester une porte d’entrée alternative.
• Oublier les comptes de récupération : une boîte mail de secours mal protégée annule une partie des bénéfices.
• Créer la clé sur un poste partagé : utilisez votre propre téléphone ou une clé matérielle.
• Réinitialiser le téléphone trop vite : contrôlez la synchronisation et les secours avant l’effacement.

Profitez de la migration pour supprimer les appareils inconnus, fermer les sessions anciennes et ranger vos moyens de récupération. Notre checklist de ménage numérique complète utilement cette vérification.

Une passkey peut-elle être piratée ?

Aucune technologie ne rend un compte invulnérable. La passkey supprime cependant des attaques très courantes liées au vol, à la réutilisation et à la saisie d’un mot de passe sur un faux domaine. Un pirate peut encore chercher à déverrouiller un appareil volé, détourner une procédure de récupération, voler une session déjà authentifiée, installer un logiciel malveillant ou convaincre le support de modifier les accès. La protection globale dépend donc aussi du code de verrouillage, des mises à jour, de la sécurité du compte qui synchronise les passkeys et de votre capacité à reconnaître une demande suspecte. N’approuvez jamais une connexion que vous n’avez pas initiée, même si l’écran utilise le logo d’un service connu.

Plan simple pour adopter les passkeys sans risque

1. Mettez à jour le téléphone, l’ordinateur et le navigateur.
2. Choisissez l’écosystème ou le gestionnaire qui suivra vos appareils.
3. Renforcez le compte principal qui assure la synchronisation.
4. Commencez par un compte non critique pour comprendre le fonctionnement.
5. Testez la connexion sur un deuxième appareil.
6. Préparez une méthode de secours indépendante.
7. Migrez ensuite la messagerie principale, les réseaux sociaux et les services sensibles.
8. Révisez chaque année la liste des appareils et des clés enregistrées.

Si vous conservez des codes de récupération sur une clé USB, gardez-en une copie protégée et vérifiez périodiquement que le support fonctionne. En cas de problème de lecture, consultez les solutions pour une clé USB non reconnue sous Windows 11 avant de la formater.

FAQ sur les passkeys

Passkey et clé d’accès désignent-elles la même chose ?

Oui, dans la plupart des interfaces françaises, « clé d’accès » est la traduction de passkey. Certains services conservent le terme anglais ou parlent de connexion sans mot de passe.

Le site reçoit-il mon empreinte digitale ?

Non. La biométrie sert à déverrouiller localement l’utilisation de la clé privée. Le service reçoit une preuve cryptographique, pas votre empreinte ou une photographie de votre visage.

Puis-je utiliser une passkey sans capteur biométrique ?

Oui. Selon l’appareil, un code PIN, un mot de passe local ou le schéma de verrouillage peut autoriser son utilisation. La biométrie est une option pratique, pas toujours une obligation.

Puis-je avoir plusieurs passkeys pour le même compte ?

Souvent oui. Ajouter une clé synchronisée et une clé matérielle de secours réduit le risque de blocage. La possibilité et le nombre accepté dépendent toutefois du service.

Une passkey fonctionne-t-elle sans Internet ?

La clé peut être stockée localement, mais une connexion à un service en ligne exige généralement qu’au moins l’appareil utilisé pour ouvrir le site communique avec le serveur. La connexion entre deux appareils proches peut aussi nécessiter Bluetooth.

Dois-je encore utiliser un gestionnaire de mots de passe ?

Oui pendant la transition, car de nombreux sites utilisent encore des mots de passe. Plusieurs gestionnaires savent désormais conserver à la fois mots de passe et passkeys. Vérifiez leur compatibilité avec tous vos appareils et leur procédure de récupération.

Conclusion : adoptez les passkeys, mais préparez la récupération

La passkey résout une grande partie des défauts du mot de passe : elle est unique, impossible à deviner et beaucoup plus résistante au phishing. Pour la majorité des utilisateurs, elle rend aussi la connexion plus rapide. Son véritable point de vigilance n’est pas la mémorisation, mais la continuité d’accès lorsque l’on change ou perd un appareil. La bonne stratégie consiste à avancer compte par compte. Identifiez où la clé sera stockée, testez-la sur un autre appareil, conservez une méthode de secours indépendante et protégez le compte qui assure la synchronisation. Une fois ces précautions prises, les passkeys peuvent réellement simplifier la vie numérique tout en renforçant la sécurité.