L’authentification évolue, mais le risque ne disparaît pas
Le 26 août 2026, la Cyber Security Agency of Singapore a publié un guide consacré à l’authentification sans mot de passe. Son message est simple : les mots de passe restent une cible privilégiée du phishing, du credential stuffing et des fuites de données, et les organisations doivent progressivement adopter des mécanismes plus résistants.
Les passkeys, les clés de sécurité FIDO2 et certaines formes de Windows Hello peuvent remplacer la saisie d’un mot de passe par une preuve cryptographique liée à un appareil. C’est une évolution importante. Elle ne signifie toutefois pas que la gestion des accès, des appareils et des données sensibles devient automatiquement sûre.
Qu’est-ce que l’authentification sans mot de passe ?
Avec une authentification classique, un service vérifie un secret partagé : votre mot de passe. Si ce secret est volé, réutilisé ou saisi sur un faux site, un attaquant peut souvent se connecter.
Avec une passkey, le service conserve une clé publique et l’appareil conserve la clé privée. La clé privée ne doit pas être communiquée au site. L’utilisateur déverrouille localement cette clé avec un code, une empreinte ou la reconnaissance faciale, selon l’appareil.
Cette architecture réduit fortement l’intérêt d’une page de phishing : le navigateur vérifie le domaine attendu avant d’utiliser la clé. Un faux domaine ne peut donc pas simplement récupérer le même secret, comme il le ferait avec un mot de passe ou un code copié.
Trois bénéfices concrets pour les entreprises
1. Moins de secrets réutilisables
Les mots de passe réutilisés sont particulièrement dangereux. Une fuite sur un service peut donner accès à d’autres comptes. L’authentification sans mot de passe réduit cette dépendance à des secrets mémorisés et partagés entre plusieurs services.
2. Une meilleure résistance au phishing
Toutes les méthodes « sans mot de passe » ne se valent pas. Les mécanismes basés sur FIDO et WebAuthn apportent la protection la plus solide contre le phishing, car l’authentification est liée au domaine légitime. Les codes envoyés par SMS ou les validations que l’utilisateur peut approuver machinalement restent plus exposés.
3. Une expérience plus simple
Un geste biométrique ou un code local peut être plus rapide qu’une saisie de mot de passe complexe. Cette simplicité favorise aussi l’adoption de politiques de sécurité réellement utilisées au quotidien.
Ce que le passwordless ne résout pas
L’authentification sans mot de passe protège principalement l’accès à un service. Elle ne protège pas automatiquement toutes les informations présentes sur les appareils ou dans les applications.
L’appareil devient un élément critique
Si un ordinateur ou un téléphone est compromis, un attaquant peut tenter de détourner une session déjà ouverte, d’installer un logiciel espion ou de récupérer d’autres données locales. Les mises à jour, le chiffrement du disque, le verrouillage automatique et la séparation des privilèges restent indispensables.
Les comptes de récupération restent sensibles
La perte d’un appareil peut conduire à une procédure de récupération. Adresse e-mail secondaire, téléphone, code de secours et compte fournisseur doivent donc être protégés avec le même niveau d’exigence que le compte principal.
Les mots de passe n’ont pas encore disparu
De nombreux services ne prennent pas encore en charge les passkeys. Les équipes doivent continuer à gérer des identifiants pour les applications anciennes, les comptes techniques, les accès d’urgence et certains environnements hors ligne.
Une stratégie réaliste en cinq étapes
- Commencez par les comptes les plus critiques : messagerie, administration, VPN, stockage de fichiers et facturation.
- Activez une authentification résistante au phishing lorsque le service propose FIDO2 ou WebAuthn.
- Conservez des méthodes de récupération contrôlées et testez-les avant une urgence.
- Réduisez les privilèges et révisez régulièrement les appareils et sessions autorisés.
- Stockez les identifiants qui restent nécessaires dans un coffre chiffré, disponible localement et sous le contrôle de l’organisation.
Passwordless et local-first sont complémentaires
Les passkeys sécurisent la relation entre un utilisateur, un appareil et un service. Une approche local-first répond à une autre question : où les données sensibles sont-elles stockées ?
Pour une entreprise, ces deux choix peuvent se compléter. Les accès peuvent être protégés par FIDO2, tandis que les identifiants encore indispensables restent dans un coffre chiffré conservé sur les appareils autorisés, sans copie centrale inutile. Le résultat est une réduction du phishing et une réduction de l’exposition des données.
La meilleure stratégie n’est donc pas de remplacer un outil par un autre du jour au lendemain. Elle consiste à supprimer progressivement les secrets faciles à voler, à protéger les appareils qui les remplacent et à garder le contrôle sur les données qui doivent encore être conservées.
