Présentation
Les passkeys sont présentées comme une alternative sans mot de passe, reposant sur une paire de clés asymétriques stockées localement. Elles sont liées à chaque site, ce qui empêche le phishing via des pages factices et rend impossible la récupération des clés à partir des données serveur en cas de fuite.
Fonctionnement et contraintes techniques
Sur les appareils compatibles, la clé privée reste dans le TPM ou le Secure Enclave, tandis que le serveur ne conserve que la clé publique. Cette architecture élimine le vecteur d’attaque « man‑in‑the‑middle », mais introduit une dépendance forte à l’appareil d’origine. Les clés matérielles (YubiKey, etc.) ne permettent pas d’exporter une passkey ; elles ne peuvent qu’être ajoutées ou supprimées. De plus, chaque clé supporte entre 25 et 100 comptes, les modèles haut de gamme atteignant 300 comptes, au‑delà desquels il faut supprimer des identifiants ou acquérir une nouvelle clé.
Les systèmes d’exploitation grand public offrent une synchronisation « cloud » : Apple iCloud Keychain et Google Password Manager stockent les passkeys liées à l’identifiant Apple ou Google. Cette approche simplifie la récupération, mais crée un point de défaillance unique : la suspension ou le bannissement du compte cloud entraîne la perte d’accès à toutes les passkeys synchronisées.
Risques d’indisponibilité et de verrouillage
Pour un utilisateur individuel, le scénario le plus fréquent est le verrouillage définitif. Si le dispositif contenant la passkey est perdu, volé ou endommagé, aucune méthode de récupération n’est intégrée, hormis les mécanismes de secours classiques (SMS, email, questions de sécurité). Ces méthodes restent le maillon faible, car elles sont souvent exploitées par des attaquants. De plus, les politiques de bannissement automatisé des fournisseurs (ex. Google) peuvent révoquer l’accès à toutes les passkeys synchronisées sans préavis.
Lorsque l’on utilise un ordinateur tiers, les options sont limitées : soit on branche une clé matérielle, soit on dépend d’une passkey synchronisée, soit on recourt au « Hybrid Transport », qui combine QR‑code et Bluetooth. Ce dernier est théoriquement sécurisé, mais les échecs de connexion Bluetooth ou l’absence de ports USB rendent l’expérience peu fiable.
État de l’écosystème et perspectives
Le FIDO Alliance travaille à la portabilité des passkeys, mais les implémentations restent fragmentées entre Apple, Google et les solutions tierces comme Bitwarden ou KeePassXC. Les API récentes (Android Credential Manager) offrent une intégration possible, mais l’autofill hors navigateur demeure immature. En l’absence d’un standard d’exportation universel, la comparaison avec les mots de passe classiques montre que ces derniers, bien que moins sécurisés contre le phishing, restent plus faciles à sauvegarder et à restaurer.
Pour les entreprises, les passkeys offrent un profil de menace réduit grâce à l’absence de secret partagé. Pour les particuliers, le compromis entre sécurité anti‑phishing et risque de perte d’accès reste défavorable tant que les solutions de récupération automatisées ne seront pas déployées à grande échelle.
