Des passkeys au lieu des mots de passe : se connecter avec le doigt – plus sûr et moins stressant

Combien de mots de passe avez-vous déjà tapés aujourd'hui ? Et combien d'entre eux sont en fait le même avec un autre chiffre à la fin ?

Les mots de passe sont le problème préféré de l'informatique. Trop courts, trop souvent réutilisés, sur des bouts de papier collés à l'écran ou dans un tableau appelé « Motsdepasse_nouveau_final ». Et même un bon mot de passe ne sert pas à grand-chose si quelqu'un le tape sur une fausse page de connexion. C'est exactement pour cela qu'existent les passkeys.

Ce qu'est un passkey

Un passkey remplace le mot de passe pour un compte donné. Au lieu de taper quelque chose, vous confirmez la connexion sur votre appareil – avec votre empreinte digitale, la reconnaissance faciale ou le code PIN de l'appareil. En arrière-plan, c'est la cryptographie qui travaille : votre appareil possède une clé secrète, le service ne connaît que la contrepartie publique correspondante. La clé secrète ne quitte jamais votre appareil.

Pourquoi c'est plus sûr

Le BSI (l'Office fédéral allemand de la sécurité des technologies de l'information) en cite clairement les avantages : les passkeys ne peuvent être ni trop courts ni trop simples, et on ne peut pas les oublier. Le phishing devient nettement moins efficace, car la clé secrète n'est jamais transmise. Chaque passkey ne vaut que pour un seul compte, un abus ne met donc pas aussitôt en danger tous les autres. Et comme aucun mot de passe n'est stocké chez le fournisseur, aucun ne peut être volé en cas de fuite de données.

Passkey, gestionnaire de mots de passe, double authentification – qu'est-ce que c'est ?

Les termes se mélangent souvent. Petite tentative de tri :

• Mot de passe : quelque chose que vous savez. Il peut être deviné, volé ou saisi sur un faux site.
• Authentification à deux facteurs : le mot de passe plus quelque chose que vous possédez, par exemple un code issu d'une appli. Nettement plus sûr, mais un escroc habile peut aussi vous demander le code.
• Passkey : remplace le mot de passe et le code par une clé sur votre appareil, que vous débloquez avec votre doigt, votre visage ou un code PIN. Impossible de vous la soutirer – elle ne fonctionne que sur le vrai site.
• Gestionnaire de mots de passe : un coffre-fort sécurisé pour tous vos accès. Il génère des mots de passe robustes, peut stocker des passkeys et les rendre disponibles sur tous vos appareils.

Au quotidien, les quatre se complètent. Des passkeys partout où c'est possible. La connexion en deux étapes partout ailleurs. Et un gestionnaire de mots de passe, pour que plus rien ne finisse sur des bouts de papier ou dans des tableaux.

Là où ça coince (encore)

Les passkeys ne sont pas une solution miracle, et le BSI le dit aussi :

• Appareil perdu ? Il vous faut alors une solution de secours : une synchronisation via le cloud, un deuxième appareil ou une deuxième clé de sécurité. Sans solution de secours, il ne reste que la procédure auprès du fournisseur.
• Tous les services ne proposent pas les passkeys. Pour de nombreux logiciels et portails plus modestes, le mot de passe reste – dans ce cas, avec une authentification à deux facteurs, s'il vous plaît.
• Ordinateurs tiers : Vous vous y connectez avec votre téléphone, via QR code et Bluetooth. Cela fonctionne bien, mais demande un petit temps d'adaptation.
• Les comptes partagés en équipe, c'est-à-dire un seul accès pour tout le monde, se marient mal avec les passkeys. Pour être honnête, ils se marient mal avec la sécurité aussi.

Comment démarrer en équipe

Un bon départ ne prend pas une journée entière. Regardez lesquels de vos services les plus importants proposent déjà les passkeys – les grands services de messagerie, de cloud et de bureautique le font souvent. Configurez un passkey pour chaque personne, avec une solution de secours dans la foulée. Et notez ce qui se passe si un téléphone est perdu : qui bloque, qui aide, comment récupérer l'accès ?

Pour les comptes de l'entreprise, un gestionnaire de mots de passe capable de gérer les passkeys et de les partager en toute sécurité dans l'équipe vaut la peine. L'avantage : quand quelqu'un quitte l'entreprise, il n'emporte aucun accès – et personne ne doit chercher pendant trois jours qui avait le mot de passe du compte du domaine. Le Monstre Lost ne connaît que trop bien ce genre de recherche.

D'ailleurs : le Bundeslagebild Cybercrime recommande lui aussi aux entreprises d'activer l'authentification multifacteur, surtout pour l'e-mail, le cloud, la banque en ligne, la comptabilité et les accès administrateur. Les passkeys en sont la forme la plus pratique.

Des accès perdus, dispersés ou seulement dans la tête d'un ancien collègue ? Le Monstre Lost les rassemble, les met en ordre et configure les passkeys avec vous.