Les passkeys fondées sur FIDO2 et WebAuthn résistent au phishing classique en liant l’authentification au domaine du service. Elles ne suppriment pas tous les mots de passe ni les risques liés aux appareils et aux comptes de récupération. Le guide de la Cyber Security Agency of Singapore, publié le 26 août et mis à jour le 18 septembre 2026, distingue ces passkeys d’autres méthodes dites « sans mot de passe », comme les liens magiques et les codes SMS, qui ne résistent pas au phishing.
L’authentification évolue, mais le risque ne disparaît pas
Le 26 août 2026, la Cyber Security Agency of Singapore a publié un guide consacré à l’authentification sans mot de passe. Son message est simple : les mots de passe restent une cible privilégiée du phishing, du credential stuffing et des fuites de données, et les organisations doivent progressivement adopter des mécanismes plus résistants.
Les passkeys, les clés de sécurité FIDO2 et certaines formes de Windows Hello peuvent remplacer la saisie d’un mot de passe par une preuve cryptographique liée à un appareil. C’est une évolution importante. Elle ne signifie toutefois pas que la gestion des accès, des appareils et des données sensibles devient automatiquement sûre.
Qu’est-ce que l’authentification sans mot de passe ?
Avec une authentification classique, un service vérifie un secret partagé : votre mot de passe. Si ce secret est volé, réutilisé ou saisi sur un faux site, un attaquant peut souvent se connecter.
Avec une passkey, le service conserve une clé publique, tandis que le fournisseur d’identifiants protège la clé privée. Selon le type de passkey, celle-ci peut être liée à un appareil ou synchronisée sous forme protégée entre les appareils d’un même fournisseur. Google a aussi annoncé en septembre 2026 un transfert sécurisé de passkeys entre gestionnaires sur Android. Lors d’une connexion WebAuthn, la clé privée n’est pas communiquée au site : l’utilisateur autorise localement son usage avec un code, une empreinte ou la reconnaissance faciale, selon l’appareil.
Cette architecture réduit fortement l’intérêt d’une page de phishing : le navigateur vérifie le domaine attendu avant d’utiliser la clé. Un faux domaine ne peut donc pas simplement récupérer le même secret, comme il le ferait avec un mot de passe ou un code copié.
Pour comprendre un risque distinct, consultez notre analyse des passkeys synchronisées dans Google Password Manager.
Trois bénéfices concrets pour les entreprises
1. Moins de secrets réutilisables
Les mots de passe réutilisés sont particulièrement dangereux. Une fuite sur un service peut donner accès à d’autres comptes. L’authentification sans mot de passe réduit cette dépendance à des secrets mémorisés et partagés entre plusieurs services.
2. Une meilleure résistance au phishing
Toutes les méthodes « sans mot de passe » ne se valent pas. Les mécanismes basés sur FIDO et WebAuthn apportent la protection la plus solide contre le phishing, car l’authentification est liée au domaine légitime. Les codes envoyés par SMS ou les validations que l’utilisateur peut approuver machinalement restent plus exposés.
3. Une expérience plus simple
Un geste biométrique ou un code local peut être plus rapide qu’une saisie de mot de passe complexe. Cette simplicité favorise aussi l’adoption de politiques de sécurité réellement utilisées au quotidien.
Ce que le passwordless ne résout pas
L’authentification sans mot de passe protège principalement l’accès à un service. Elle ne protège pas automatiquement toutes les informations présentes sur les appareils ou dans les applications.
L’appareil devient un élément critique
Si un ordinateur ou un téléphone est compromis, un attaquant peut tenter de détourner une session déjà ouverte, d’installer un logiciel espion ou de récupérer d’autres données locales. Les mises à jour, le chiffrement du disque, le verrouillage automatique et la séparation des privilèges restent indispensables.
Les comptes de récupération restent sensibles
La perte d’un appareil peut conduire à une procédure de récupération. Adresse e-mail secondaire, téléphone, code de secours et compte fournisseur doivent donc être protégés avec le même niveau d’exigence que le compte principal.
Les mots de passe n’ont pas encore disparu
De nombreux services ne prennent pas encore en charge les passkeys. Les équipes doivent continuer à gérer des identifiants pour les applications anciennes, les comptes techniques, les accès d’urgence et certains environnements hors ligne.
Pour organiser ces identifiants restants, suivez le guide d’audit d’un gestionnaire de mots de passe.
Une stratégie réaliste en cinq étapes
- Commencez par les comptes les plus critiques : messagerie, administration, VPN, stockage de fichiers et facturation.
- Activez une authentification résistante au phishing lorsque le service propose FIDO2 ou WebAuthn.
- Conservez des méthodes de récupération contrôlées et testez-les avant une urgence.
- Réduisez les privilèges et révisez régulièrement les appareils et sessions autorisés.
- Stockez les identifiants qui restent nécessaires dans un coffre chiffré, disponible localement et sous le contrôle de l’organisation.
Le lien avec Soclyde
Les passkeys sécurisent la relation entre un utilisateur, un appareil et un service. Soclyde intervient sur les comptes qui utilisent encore un mot de passe : son coffre chiffré reste sur les appareils de l’utilisateur, sans coffre cloud centralisé exploité par Soclyde.
Pour une entreprise, ces choix sont complémentaires : les passkeys protègent les connexions aux services qui les prennent en charge, tandis que les identifiants encore indispensables restent dans un coffre local-first. Cela ne protège pas un appareil compromis et ne remplace ni les contrôles d’accès ni la sécurisation des comptes de récupération. Pour organiser les identifiants restants, consultez le guide sur la politique de mots de passe en PME.
À retenir
Déployez les passkeys FIDO2/WebAuthn sur les comptes critiques lorsque le service les prend en charge. Sécurisez aussi les appareils et les moyens de récupération, puis protégez les mots de passe qui restent nécessaires avec des secrets uniques et un stockage maîtrisé.
