Passkeys, comment ça marche : l’essai « piège » qui divise les développeurs

Décryptage

5 milliards de passkeys sont en service dans le monde, estime la FIDO Alliance, le consortium qui écrit la norme. Un essai publié le 10 octobre 2026 conseille pourtant de ne pas s’en servir. Intitulé « Passkeys are a trap » (les passkeys sont un piège) et signé du pseudonyme The Hack, il a dépassé 460 points et 250 commentaires sur Hacker News.

Comment ça marche, une passkey ?

Une passkey remplace le mot de passe par une paire de clés cryptographiques. La CNIL la définit dans sa recommandation sur l’authentification multifacteur, adoptée le 20 mars 2025 : « une paire unique de clés privée et publique, générée dans un dispositif matériel ou logiciel ».

75 % des personnes interrogées dans dix pays, dont la France, ont activé une passkey sur au moins un compte (FIDO Alliance, mai 2026). Elles ne sont que 49 % à s’en servir régulièrement quand un site le propose. Au moins un sondé sur quatre a donc créé une clé dont il ne se sert pas régulièrement.

Le « piège » dénoncé tient-il ?

L’essai vise l’attestation à distance, qui permet à un site de vérifier cryptographiquement que votre clé vient d’un gestionnaire « approuvé ». L’auteur redoute que les sites finissent par rejeter les passkeys non attestées. Les utilisateurs de Linux ou de GrapheneOS, une version alternative d’Android, resteraient alors à la porte.

Dans la discussion, des développeurs rappellent que le navigateur affiche une demande d’autorisation quand un site réclame l’attestation. Apple la réserve aux appareils gérés par une entreprise, comme l’expliquait sa présentation « Deploy passkeys at work » en 2023. D’autres voient les banques ouvrir la voie, habituées à imposer leurs propres règles de sécurité.

Les passkeys « peuvent réduire les attaques par hameçonnage, car aucun mot de passe n’est transmis au fournisseur de services », note le Centre canadien pour la cybersécurité dans ses considérations sur les clés d’accès d’avril 2026.

Que se passe-t-il si je perds mon téléphone ?

Chez Apple, les passkeys vivent dans le trousseau iCloud, chiffré de bout en bout. Si vous perdez tous vos appareils, elles se récupèrent par un séquestre protégé contre les attaques par force brute, « y compris par Apple ». La page « À propos de la sécurité des clés d’accès » fixe la limite : « Seules dix tentatives d’authentification sont autorisées ». Au-delà, l’enregistrement du séquestre est détruit.

Chez Google, une passkey synchronisée se déchiffre sur un nouvel appareil avec le code de verrouillage d’un ancien téléphone Android. À défaut, un code PIN propre au Gestionnaire de mots de passe fait l’affaire, selon la documentation pour les développeurs. En cas de vol, l’aide du compte Google recommande de supprimer la clé de l’appareil perdu depuis un appareil resté accessible. Elle prévient aussi que « toute personne capable de déverrouiller votre appareil peut accéder à votre compte Google ».

Comment utiliser ou supprimer une passkey sans s’enfermer ?

Une passkey s’utilise là où on l’a créée, puis partout où le gestionnaire la synchronise. Pour en retirer une d’un compte Google, le chemin passe par « Sécurité et connexion », puis « Clés d’accès et clés de sécurité ». La suppression côté site n’efface pas forcément la copie gardée par le gestionnaire.

Depuis les systèmes 26, Apple permet de transférer ses passkeys entre les applications de gestion d’identifiants « participantes », selon sa présentation « What’s new in passkeys » de juin 2025. Sur Android, la portabilité des passkeys est arrivée par les services Google Play le 1er juin 2026.

Le profil décide : une personne qui recycle le même mot de passe partout gagne nettement à passer aux passkeys, parce qu’un faux site ne peut plus rien lui soutirer. Un utilisateur de Linux ou d’un Android modifié a intérêt à garder ses clés dans un gestionnaire indépendant, exportable.

Article créé en collaboration avec l’IA.