Le débat entre clé de sécurité matérielle et application mobile se tranche rarement sur la cryptographie : les deux peuvent porter des justificatifs FIDO2 résistants au relais. Il se tranche sur des critères beaucoup plus terre à terre — qui sont vos utilisateurs, où travaillent-ils, et qui remplacera l'objet perdu un vendredi soir. La bonne réponse est presque toujours une combinaison, différenciée par population.
Le critère qui ne les départage pas
Commençons par écarter un faux débat. Une clé physique FIDO2 et une passkey portée par un téléphone reposent sur le même standard : clé privée non extractible, signature liée à l'origine, résistance au relais par proxy inverse. Sur le parcours de connexion, leur niveau de protection est comparable.
En revanche, une application qui affiche des codes temporaires ou des notifications d'approbation n'appartient pas à cette catégorie : elle transmet une valeur relayable ou demande un consentement binaire. Comparer une clé physique à « une application » n'a de sens que si l'on précise ce que l'application fait. C'est la première question à poser dans un comité de choix.
Les critères qui les départagent réellement
| Critère | Clé physique | Application sur mobile |
|---|---|---|
| Coût unitaire | achat, stock de remplacement, distribution | nul si le téléphone existe déjà |
| Prérequis matériel | ports ou NFC disponibles sur les postes | téléphone compatible et à jour |
| Logistique | commande, remise, restitution, remplacement | enrôlement en libre-service |
| Environnements sans téléphone | fonctionne | inutilisable |
| Environnements sans réseau | fonctionne | fonctionne selon la méthode retenue |
| Isolation du secret | composant dédié, indépendant du système d'exploitation | dépend de l'enclave sécurisée du terminal |
| Synchronisation entre appareils | aucune, c'est voulu | possible, ce qui étend le périmètre de confiance |
| Perte de l'objet | procédure de remplacement physique | souvent absorbée par la sauvegarde du trousseau |
| Renouvellement du parc | cycle long, indépendant du mobile | suit le renouvellement des téléphones |
| Appareil personnel de l'utilisateur | non sollicité | sollicité, avec les questions sociales associées |
Cette dernière ligne est fréquemment sous-estimée en France : demander à un salarié d'installer une application professionnelle sur son téléphone personnel soulève des questions d'acceptabilité, et parfois de dialogue social. Fournir une clé physique évite entièrement le sujet, ce qui constitue un argument non technique mais souvent décisif.
Décider par population, pas par doctrine
| Population | Choix pertinent | Raison dominante |
|---|---|---|
| Administrateurs, comptes à privilèges | clé physique, deux exemplaires | isolation maximale, population réduite, coût unitaire absorbable |
| Collaborateurs bureautiques | passkey sur téléphone ou poste | coût nul, adoption rapide, support allégé |
| Ateliers, sites industriels, salles blanches | clé physique NFC ou dispositif dédié | téléphone interdit, gants, ports condamnés |
| Postes partagés (accueil, soins, logistique) | dispositif attaché à la personne, pas au poste | l'appareil personnel n'est pas disponible |
| Personnels itinérants | passkey sur téléphone, clé physique en secours | disponibilité permanente |
| Prestataires externes | clé fournie et restituée, ou fédération avec leur employeur | traçabilité et récupération de l'objet |
| Direction générale | clé physique, accompagnement individuel | population très ciblée, faible tolérance à la friction |
Cette différenciation coûte moins cher qu'il n'y paraît : les populations qui exigent du matériel sont généralement minoritaires, et ce sont souvent celles à plus fort enjeu.
Le coût complet, au-delà du prix de la clé
Le prix d'achat d'une clé est la partie visible. Les postes à budgéter :
- Le stock de remplacement. Provisionnez un taux annuel de perte et de casse, calibré sur ce que vous observez déjà sur vos autres équipements distribués. Un stock insuffisant produit des dérogations, et une dérogation est un retour au mot de passe.
- La distribution multisite. Remise en main propre pour l'enrôlement, ce qui suppose une organisation sur chaque site.
- La restitution au départ. Sans procédure, les clés disparaissent et les justificatifs correspondants restent actifs dans l'annuaire.
- Les connecteurs. Un parc hétérogène impose parfois deux modèles, ou des adaptateurs.
- Le support résiduel. Même avec deux clés, il restera des cas de perte simultanée et des demandes d'urgence.
Côté application, le coût n'est pas nul non plus : compatibilité des systèmes d'exploitation, politique de mise à jour, gestion du renouvellement des téléphones, et surtout traitement du cas des utilisateurs sans appareil compatible.
Ce qu'aucun des deux ne résout
Les deux options portent sur l'accès. Aucune ne se prononce sur ce que l'utilisateur fait ensuite. Le vol de jeton de session, l'élévation dans une session déjà ouverte et la fraude par manipulation échappent également à la clé et à l'application.
Sur les parcours où l'enjeu porte sur l'action plutôt que sur la connexion — virement, changement d'IBAN, action d'administration irréversible — la question devient celle d'une preuve d'intention humaine consciente au moment de l'opération. Cette couche se déploie en superposition, indépendamment du choix de second facteur, ce qui permet de ne pas conditionner l'un à l'autre.
FAQ
Faut-il une ou deux clés par utilisateur ?
Deux, sur des supports distincts, dès l'enrôlement. Une seule clé transfère le risque vers le parcours de récupération, c'est-à-dire vers le helpdesk — précisément ce que le projet cherchait à éviter.
Peut-on mélanger les deux dans une même organisation ?
Oui, et c'est le cas le plus fréquent. Ce qui doit rester homogène, ce sont les exigences par niveau de risque, pas les objets. Un administrateur et un collaborateur bureautique n'ont pas les mêmes contraintes.
Une application d'authentification est-elle moins sûre qu'une clé ?
Cela dépend entièrement de ce qu'elle fait. Une application portant une passkey liée à l'origine est d'un niveau comparable ; une application affichant des codes temporaires ou des approbations binaires ne l'est pas, car elle reste relayable.
Comment gérer les utilisateurs sans smartphone professionnel ?
En fournissant une clé physique plutôt qu'en sollicitant l'appareil personnel. C'est souvent la solution la plus simple juridiquement et socialement, et son coût reste limité aux populations concernées.
Aller plus loin : pilier : authentification cognitive · accès à privilèges avec clé physique · passkey ou mot de passe · les postes de coût d'une solution MFA