Qu'est-ce qu'une passkey ? Le remplaçant du mot de passe, et qui refuse encore de le proposer

Un nouveau site web a commencé à pointer du doigt les entreprises qui ne permettent toujours pas à leurs utilisateurs de se connecter avec des passkeys, selon TechCrunch, accentuant la pression sur l'abandon lent des mots de passe. La campagne est l'occasion de prendre du recul et de se demander ce que sont réellement les passkeys, et pourquoi les experts en sécurité tiennent tant à les voir largement adoptées.

Une passkey est un identifiant qui remplace le mot de passe traditionnel par une paire de clés cryptographiques. Lorsqu'un utilisateur en crée une, son appareil génère une clé privée qui ne quitte jamais l'appareil et une clé publique stockée par le service. Se connecter prouve la possession de la clé privée sans jamais transmettre de secret susceptible d'être volé.

Cette conception corrige la faiblesse centrale des mots de passe : ce sont des secrets partagés. Un mot de passe doit être envoyé à un serveur pour être vérifié, peut être réutilisé d'un site à l'autre et peut être deviné, divulgué ou hameçonné. Une passkey ne peut pas être hameçonnée de la même façon, car il n'y a pas de secret qu'une victime puisse remettre à un faux site.

En pratique, utiliser une passkey paraît familier. L'utilisateur s'authentifie généralement avec la même empreinte, le même scan du visage ou le même code de l'appareil qu'il utilise déjà pour déverrouiller son téléphone ou son ordinateur. La cryptographie opère invisiblement en arrière-plan, ce qui fait partie de l'attrait : une sécurité renforcée avec moins de friction que la saisie d'un mot de passe complexe.

Les passkeys reposent sur des standards ouverts élaborés par une alliance du secteur, ce qui signifie qu'elles ne sont pas liées à une seule entreprise. Elles peuvent se synchroniser entre les appareils d'un utilisateur via des écosystèmes comme celui d'un fabricant de téléphones ou d'un navigateur, si bien qu'une passkey créée sur un appareil peut être disponible sur un autre sans exposer la clé privée sous-jacente.

Les bénéfices de sécurité sont importants. Comme il n'y a pas de mot de passe réutilisable à voler, les attaques les plus courantes, le bourrage d'identifiants, l'hameçonnage et les fuites de bases de données, perdent une grande partie de leur force. Pour l'utilisateur ordinaire, une passkey peut transformer le détournement de compte d'une menace réaliste en une menace bien plus difficile.

Malgré ces avantages, l'adoption a été inégale, ce que met en avant le nouveau site. De nombreux grands services ont ajouté la prise en charge des passkeys, mais d'autres reposent encore uniquement sur des mots de passe ou traitent les passkeys comme une option obscure. La campagne vise à rendre cet écart visible et à pousser les retardataires à rattraper leur retard.

Il existe de vraies raisons à ce retard. Intégrer les passkeys dans des systèmes de comptes existants demande un effort d'ingénierie, les équipes de support doivent gérer de nouveaux scénarios de récupération, et les entreprises craignent de dérouter les utilisateurs en pleine transition. Rien de tout cela n'est anodin, mais les défenseurs estiment que c'est soluble et attendu de longue date.

Pour les utilisateurs, le conseil pratique est simple : là où un service propose des passkeys, en activer une améliore en général la sécurité avec peu d'inconvénients, surtout pour les comptes importants comme la messagerie et la banque. Les mots de passe ne disparaîtront pas du jour au lendemain, mais chaque passkey réduit l'exposition aux attaques les plus courantes.

La portée plus large, suggère le rapport de TechCrunch, c'est l'élan. En suivant publiquement quelles entreprises ont franchi ou non le pas, le nouveau site transforme une lente migration technique en un tableau d'affichage visible, poussant le secteur vers un avenir où le mot de passe jouera enfin un rôle moindre.