Contexte et acteurs

Les passkeys sont promues par le FIDO Alliance, un consortium incluant les géants du numérique, des gouvernements, des banques et des organisations comme Mozilla. Aucun groupe de défense des consommateurs n’en fait partie, ce qui contraste avec le W3C où siègent des institutions publiques et universitaires. Cette composition montre que les intérêts économiques et de surveillance priment sur ceux des utilisateurs individuels.

Mécanisme technique des passkeys

Les passkeys reposent sur le standard WebAuthn, publié par le FIDO Alliance. Elles utilisent la cryptographie à clé publique : la clé privée reste stockée dans le dispositif d’authentification (smartphone, ordinateur) et ne quitte jamais le matériel, tandis que la clé publique est enregistrée auprès du serveur du site. Le serveur ne conserve jamais la clé privée, ce qui élimine le risque de fuite de mots de passe comme le célèbre « solarwinds123 » de SolarWinds ou le mot‑de‑passe exposé par la Hawaii Emergency Management Agency.

Risques liés à la perte de contrôle

Contrairement aux mots de passe, aux applications TOTP ou aux clés physiques que l’on peut copier ou transférer, les passkeys sont liées à l’appareil d’origine. Le protocole permet au site de révoquer ou de désactiver à distance la clé, ce qui retire à l’utilisateur la capacité de gérer ses propres identifiants. Cette asymétrie de contrôle ouvre la porte à une forme de verrouillage propriétaire : le fournisseur du dispositif ou le service en ligne peut, en théorie, restreindre l’accès sans consentement explicite.

Comparaison avec les solutions existantes

Le TOTP, normalisé par RFC 6238, génère un code aléatoire toutes les 30 secondes à partir d’une graine secrète que l’utilisateur peut stocker où il veut (smartphone, ordinateur, même un Game Boy). Cette souplesse permet de choisir librement le logiciel ou le matériel, voire d’écrire son propre générateur en Python. Les passkeys, bien que plus résistantes aux attaques de phishing, ne offrent pas cette interopérabilité : le standard WebAuthn ne garantit pas que le même passkey puisse être exporté ou utilisé sur plusieurs plateformes sans l’accord du fabricant.