Le mot de passe, ce boulet qu'on traîne depuis 60 ans

Soyons honnêtes deux secondes : le mot de passe est une invention géniale... des années 1960. Sauf qu'on est en 2025, et cette bonne vieille méthode montre clairement ses limites. Entre les fuites de données massives, le phishing de plus en plus sophistiqué et nos cerveaux humains incapables de retenir des combinaisons aléatoires de 16 caractères, le mot de passe est devenu le maillon faible numéro un de la cybersécurité.

Selon plusieurs études récentes, plus de 80% des violations de données impliquent encore des identifiants compromis : mots de passe volés, réutilisés ou devinés en deux secondes parce que c'est le nom du chat suivi de l'année de naissance. On a beau nous répéter d'utiliser des gestionnaires de mots de passe, la majorité des gens continue de taper "motdepasse123" partout.

Les passkeys, c'est quoi concrètement ?

Les passkeys (ou "clés d'accès" en français, même si personne ne dit ça) reposent sur une technologie qui existe depuis quelques années déjà : le protocole WebAuthn/FIDO2. L'idée est simple mais redoutablement efficace : remplacer un secret que vous devez mémoriser par une paire de clés cryptographiques générées directement sur votre appareil.

Concrètement, quand vous créez une passkey pour un site :

  • Votre appareil (téléphone, ordinateur, clé USB de sécurité) génère deux clés mathématiquement liées : une publique et une privée.
  • La clé privée ne quitte jamais votre appareil. Elle est stockée dans une enclave sécurisée (TPM, Secure Enclave Apple, etc.).
  • Le site web ne reçoit que la clé publique, totalement inutile pour un pirate sans la clé privée associée.
  • Pour vous connecter, vous déverrouillez simplement votre appareil avec Face ID, Touch ID, ou votre code PIN.

Résultat : plus rien à retenir, plus rien à taper, et surtout plus rien à voler côté serveur qui soit exploitable.

Pourquoi c'est objectivement plus sécurisé

Fini le phishing classique

C'est probablement l'argument le plus fort. Un mot de passe peut être saisi sur un faux site qui ressemble trait pour trait à l'original. Une passkey, elle, est cryptographiquement liée au domaine pour lequel elle a été créée. Si vous atterrissez sur "paypa1.com" au lieu de "paypal.com", votre appareil refusera tout simplement d'utiliser la passkey. Pas d'erreur humaine possible, le navigateur fait le boulot de vérification à votre place.

Aucune base de données à pirater

Avec les mots de passe traditionnels, même hashés et salés, une fuite de la base de données du serveur reste une catastrophe potentielle. Avec les passkeys, le serveur ne stocke que des clés publiques. Autant dire que même si des hackers mettent la main dessus, ils ne peuvent strictement rien en faire.

Résistance aux attaques par force brute

Impossible de "deviner" une passkey comme on pourrait le faire avec un mot de passe faible. On parle de clés cryptographiques de plusieurs centaines de bits, générées aléatoirement. Autant essayer de deviner un numéro de loterie avec 10^77 combinaisons possibles.

Comment ça marche techniquement ? Un petit exemple

Pour les développeurs curieux, voici à quoi ressemble une création de passkey côté navigateur avec l'API WebAuthn :

// Création d'une nouvelle passkey (enregistrement)
const publicKeyCredentialCreationOptions = {
  challenge: new Uint8Array(32), // généré côté serveur
  rp: {
    name: "YouOnline Demo",
    id: "youonline.fr"
  },
  user: {
    id: new Uint8Array(16),
    name: "utilisateur@exemple.fr",
    displayName: "Jean Dupont"
  },
  pubKeyCredParams: [
    { alg: -7, type: "public-key" }, // ECDSA avec SHA-256
    { alg: -257, type: "public-key" } // RSA
  ],
  authenticatorSelection: {
    authenticatorAttachment: "platform",
    userVerification: "required",
    residentKey: "required"
  },
  timeout: 60000,
  attestation: "direct"
};

const credential = await navigator.credentials.create({
  publicKey: publicKeyCredentialCreationOptions
});

// Envoi de la clé publique au serveur pour stockage
console.log(credential.response.getPublicKey());

Et voici comment on vérifie l'authentification ensuite :

// Authentification avec la passkey existante
const publicKeyCredentialRequestOptions = {
  challenge: new Uint8Array(32),
  allowCredentials: [{
    id: credentialId,
    type: 'public-key',
    transports: ['internal']
  }],
  userVerification: "required",
  timeout: 60000
};

const assertion = await navigator.credentials.get({
  publicKey: publicKeyCredentialRequestOptions
});

// Le serveur vérifie la signature avec la clé publique stockée

Pas besoin d'être développeur pour comprendre l'essentiel : tout repose sur un échange de défis cryptographiques signés, jamais sur un secret qui transite en clair.

Qui propose déjà des passkeys en 2025 ?

La bonne nouvelle, c'est que l'adoption s'accélère sérieusement. Google, Apple, Microsoft, mais aussi des géants comme Amazon, GitHub, PayPal, WhatsApp ou encore Adobe ont déjà déployé le support des passkeys. La FIDO Alliance, qui pousse cette norme, annonce régulièrement de nouveaux partenaires.

Pour les sites e-commerce et les applications métiers, intégrer les passkeys devient également un argument commercial fort : moins d'abandon de panier lié aux mots de passe oubliés, moins de tickets support "j'ai perdu mon mot de passe", et une image moderne et sécurisée auprès des utilisateurs.

Les limites (parce que rien n'est parfait)

Soyons transparents, les passkeys ne sont pas une solution magique sans défauts :

  • Synchronisation multi-appareils : si vous changez d'écosystème (Apple vers Android par exemple), la portabilité des passkeys reste parfois compliquée, même si des standards de synchronisation inter-plateformes progressent.
  • Perte d'appareil : perdre son téléphone sans solution de secours (clé de récupération, autre appareil enregistré) peut poser problème. D'où l'importance de toujours configurer plusieurs méthodes de récupération.
  • Adoption encore partielle : tous les sites ne proposent pas encore cette option, on est donc dans une phase de transition où mots de passe et passkeys coexistent.

Ce qu'on recommande chez YouOnline

Si vous gérez un site web ou une application avec un espace client, c'est clairement le bon moment pour envisager l'intégration des passkeys, en complément (pas forcément en remplacement total immédiat) de votre système d'authentification actuel. Les bibliothèques comme SimpleWebAuthn côté serveur Node.js facilitent grandement l'implémentation sans avoir à réinventer la roue cryptographique.

Et côté utilisateur, si votre banque, votre boîte mail ou vos réseaux sociaux proposent déjà les passkeys, foncez : c'est à la fois plus simple pour vous (un coup de pouce sur votre empreinte digitale, et hop) et nettement plus sécurisé que votre sempiternel mot de passe recyclé depuis 2015.

En conclusion

Les passkeys ne sont pas juste un gadget de plus dans le monde de la sécurité informatique : elles répondent à un vrai problème structurel qui pourrit la vie des utilisateurs et des entreprises depuis des décennies. La transition prendra encore du temps, mais la direction est claire. Et franchement, dire adieu aux mots de passe compliqués à retenir, personne ne va s'en plaindre.

cybersécuritépasskeysauthentificationWebAuthnsécurité web
Partager