PassKey : comprendre la connexion sans mot de passe

Auteur : Rédaction Domeny.ForSale Publié le 25.09.2026

En bref : Un passkey, ou clé d’accès, permet de se connecter à un compte sans saisir de mot de passe. Vous validez généralement la connexion par votre empreinte digitale, la reconnaissance faciale ou le code PIN de votre appareil. La clé d’accès est liée à un service précis : elle protège donc bien mieux qu’un mot de passe classique contre le vol d’identifiants sur un faux site.

Comment fonctionne un passkey et en quoi diffère-t-il d’un mot de passe ?

La création d’une clé d’accès génère une paire de clés cryptographiques, c’est-à-dire des données liées mathématiquement : une clé publique et une clé privée. Le service conserve la clé publique, tandis que la clé privée reste sous le contrôle de votre appareil ou du fournisseur qui stocke et synchronise vos clés d’accès. La partie privée n’est pas transmise au service lors de la connexion.

Lorsque vous souhaitez accéder à votre compte, le service envoie un défi à usage unique. Après votre validation, l’appareil le signe avec la clé privée, puis le service vérifie cette signature avec la clé publique. Vous n’avez aucun secret à mémoriser ni à recopier.

L’empreinte digitale, la reconnaissance faciale et le PIN ne sont pas le passkey lui-même. Ils servent à confirmer localement que vous pouvez utiliser la clé. Lors d’une connexion classique par passkey, le service ne reçoit ni votre empreinte ni l’image de votre visage. Le PIN de l’appareil ne devient pas non plus le mot de passe du site.

Un passkey n’est pas non plus un simple mot de passe enregistré dans le navigateur. Un gestionnaire de mots de passe peut remplir un formulaire avec votre identifiant et votre mot de passe, tandis qu’une clé d’accès utilise un autre mécanisme d’authentification. Un même gestionnaire peut toutefois prendre en charge les deux méthodes.

Contre quoi une clé d’accès protège-t-elle ?

Le principal avantage du passkey est sa résistance au phishing classique, qui consiste à se faire passer pour un service afin de dérober les identifiants de connexion. La clé est liée à un identifiant du service fondé sur son nom de domaine. Un faux site situé à une autre adresse ne peut pas simplement demander au navigateur d’utiliser la clé du véritable service.

Par exemple, vous recevez un message annonçant un prétendu blocage de votre compte dans une boutique en ligne. Le lien mène à un site qui ressemble à s’y méprendre à l’original, mais utilise un autre domaine. Vous pourriez y saisir votre mot de passe par erreur ; en revanche, le passkey du véritable service ne fonctionnera pas sur ce faux site.

Une fuite des clés publiques d’un service ne permet pas de reconstituer directement les clés privées correspondantes, ni de se connecter avec la seule clé publique. Le problème de la réutilisation d’un même mot de passe pour plusieurs services disparaît également.

Cela ne signifie pas que vous êtes protégé contre toutes les attaques. Un logiciel malveillant, le détournement d’une session active ou une procédure de récupération de compte peu sûre peuvent toujours présenter un risque. Si le service conserve la connexion par mot de passe ou la récupération par e-mail, la sécurité de ces voies d’accès reste importante.

Où le passkey est-il enregistré ?

Le mode de stockage détermine si vous pourrez aussi vous connecter depuis un autre appareil. Toutes les clés d’accès ne sont pas automatiquement disponibles partout.

Les clés synchronisées sont mises à disposition sur les appareils compatibles par un fournisseur, par exemple un gestionnaire d’identifiants intégré au système ou tiers. Leur accès dépend du compte ouvert auprès de ce fournisseur et de ses règles de récupération.
Les clés liées à un appareil restent sur un appareil précis, par exemple une clé de sécurité physique. Elles ne sont pas automatiquement copiées sur d’autres appareils.

Votre téléphone peut aussi valider une connexion sur un ordinateur qui ne stocke pas votre passkey. Lorsque ce mode de connexion est pris en charge, l’ordinateur affiche un code QR : vous le scannez avec votre téléphone, puis confirmez la connexion. Une connexion Internet est généralement nécessaire, ainsi que Bluetooth pour vérifier la proximité des appareils ; cela ne signifie pas que la clé est copiée durablement sur l’ordinateur.

La prise en charge dépend du service, du système, du navigateur et du gestionnaire d’identifiants. Avant de changer de téléphone ou de passer à un autre écosystème, consultez la documentation officielle du fournisseur pour connaître les possibilités actuelles de synchronisation et de transfert des clés.

Comment activer un passkey sur votre compte ?

Vous ne pouvez pas activer vous-même une clé d’accès sur n’importe quel site : le service doit prendre cette méthode en charge. L’option se trouve généralement dans les paramètres de sécurité du compte, sous le nom « Clés d’accès » ou « Passkeys ».

Connectez-vous au service avec votre méthode habituelle et ouvrez les paramètres de sécurité.
Choisissez d’ajouter une clé d’accès. Vérifiez où elle sera enregistrée : dans un gestionnaire d’identifiants ou sur une clé physique.
Validez la création de la clé avec la méthode indiquée par l’appareil.
Testez cette nouvelle connexion en conservant une session active ou un autre moyen d’accès.
Si le service le permet, ajoutez une deuxième clé sur un appareil indépendant ou préparez des codes de récupération.

Utilisez pour cela votre propre appareil, correctement sécurisé. N’enregistrez pas de clé d’accès personnelle dans le profil du navigateur d’un ordinateur public ou partagé.

Que faire si vous perdez votre téléphone ?

Perdre votre téléphone ne signifie pas nécessairement perdre l’accès à votre compte. Un passkey synchronisé peut être disponible sur un autre appareil compatible, et une clé physique supplémentaire peut offrir une voie de connexion indépendante. Si votre seule clé était liée à l’appareil perdu, vous devrez peut-être suivre la procédure de récupération proposée par le service.

Après la perte de l’appareil, utilisez sa fonction de verrouillage à distance et vérifiez les sessions actives de vos comptes. Une fois l’accès rétabli, supprimez les identifiants associés à l’appareil perdu là où c’est nécessaire, en suivant les instructions du fournisseur.

Avant de désactiver le mot de passe, faites un test pratique : vérifiez que vous pouvez vous connecter sans votre téléphone principal. Vous saurez ainsi si vous disposez d’une véritable solution de secours, plutôt que de simplement supposer que la synchronisation suffira.

À lire aussi : Qu’est-ce que la 2FA ?