Sur le seul critère de la résistance aux attaques les plus fréquentes, la passkey l'emporte nettement : elle supprime le secret partagé, donc la réutilisation, le rejeu et l'essentiel du phishing. Mais elle déplace des problèmes plutôt qu'elle ne les supprime tous — récupération, dépendance à un fournisseur de trousseau, populations sans appareil compatible. Voici la comparaison complète, y compris ce qui plaide pour un déploiement progressif.
Comparaison axe par axe
| Axe | Mot de passe | Passkey |
|---|---|---|
| Nature du secret | connu de l'utilisateur et du serveur | clé privée jamais transmise |
| Réutilisation entre services | fréquente, cause majeure de compromission | impossible par construction |
| Effet d'une fuite côté serveur | base de secrets exploitable même hachée | clés publiques, sans valeur pour l'attaquant |
| Phishing par page contrefaite | efficace | neutralisé par la liaison à l'origine |
| Relais en temps réel (AiTM) | efficace | neutralisé sur la connexion |
| Vol du jeton de session | efficace | efficace également |
| Manipulation de l'utilisateur | efficace | efficace également |
| Perte de l'appareil | sans effet | bloquant si un seul justificatif |
| Partage de compte | trivial, donc incontrôlé | difficile, ce qui est un avantage ou une gêne selon le contexte |
| Postes partagés | fonctionne | nécessite une conception spécifique |
| Charge de support | réinitialisations récurrentes | pics à l'enrôlement, puis baisse |
| Dépendance externe | aucune | trousseau de synchronisation ou matériel |
Les deux lignes marquées en gras sont celles qui doivent figurer dans votre note de risque : la passkey ne change rien au vol de session ni à la fraude par manipulation. Ces deux scénarios concentrent l'essentiel du risque résiduel après un déploiement réussi.
Ce que la passkey supprime réellement
La réutilisation. Chaque justificatif est propre à un couple utilisateur/domaine. Une fuite chez un tiers n'a aucun effet sur vos comptes — ce qui coupe le carburant du credential stuffing, l'une des voies d'intrusion les plus constantes selon le Verizon DBIR.
Le secret côté serveur. Vous ne détenez plus qu'une clé publique. Cela allège le risque, mais aussi la charge de conformité associée à la protection d'un référentiel de secrets.
Le phishing de connexion. La signature est calculée pour un domaine précis. Une page contrefaite n'obtient rien d'utilisable — et ce n'est pas parce qu'il n'y a plus de mot de passe, c'est parce qu'il n'y a plus de valeur rejouable. La distinction est essentielle : un magic link ou un code à usage unique sont aussi « sans mot de passe », et restent parfaitement relayables.
Ce que la passkey complique
Une comparaison honnête doit poser ces points, faute de quoi le projet les découvrira en production.
- La récupération devient un sujet à part entière. Un mot de passe oublié se réinitialise ; une passkey perdue n'existe plus. Sans second justificatif inscrit d'avance, le parcours de secours devient le vrai niveau de sécurité du compte.
- Le partage de compte cesse de fonctionner. C'est vertueux sur le principe, mais des usages réels existent : boîtes fonctionnelles, comptes d'astreinte, comptes de service. Ils doivent être traités explicitement, sinon ils produiront des contournements.
- Les postes partagés demandent une conception spécifique. Atelier, accueil, salle de soins : sans appareil personnel, il faut un dispositif dédié.
- Une dépendance externe apparaît. Trousseau synchronisé d'un fournisseur, ou matériel à acheter et à distribuer. Dans les deux cas, une dépendance qui n'existait pas avec le mot de passe.
- La synchronisation étend le périmètre de confiance. Qui contrôle le compte de synchronisation peut, selon les implémentations, retrouver l'usage des justificatifs. Sur des comptes à privilèges, cela plaide pour des justificatifs liés au matériel.
Le point aveugle commun aux deux
Ni le mot de passe ni la passkey ne répondent à la question qui compte sur les opérations irréversibles : cette action est-elle réellement voulue par cette personne, maintenant ?
Les deux authentifient une session. Quand un utilisateur légitime, correctement authentifié, réalise lui-même un virement sous l'influence d'un faux conseiller, aucun des deux mécanismes ne se déclenche. C'est le domaine du 4ᵉ facteur « je sais faire » porté par l'authentification cognitive : établir une intention humaine consciente portant sur l'action, et non seulement l'ouverture d'une session.
Comment décider, concrètement
| Situation | Recommandation |
|---|---|
| Comptes à privilèges | passkey liée au matériel, deux justificatifs, retrait du mot de passe |
| Connexion utilisateur courante | passkey, synchronisation acceptable, second facteur inscrit |
| Postes partagés et environnements sans appareil personnel | dispositif dédié, ne pas forcer la passkey individuelle |
| Comptes clients grand public | passkey proposée, mot de passe maintenu le temps de la transition |
| Comptes de service et automatisation | ni l'un ni l'autre : coffre à secrets et rotation |
| Opérations financières irréversibles | passkey pour l'accès, preuve portant sur l'action pour l'opération |
La ligne « comptes clients » mérite une précision : forcer la bascule sur une population grand public hétérogène produit de l'abandon. La proposition progressive, avec incitation et accompagnement, donne de meilleurs résultats — à condition de ne pas oublier de retirer le mot de passe une fois la majorité migrée, sans quoi le gain reste théorique.
FAQ
Un gestionnaire de mots de passe équivaut-il à une passkey ?
Non. Il résout la réutilisation et l'entropie, ce qui est déjà substantiel, mais le secret reste rejouable : il peut être saisi sur une page contrefaite. Beaucoup de gestionnaires savent d'ailleurs stocker des passkeys, ce qui en fait un chemin de migration plutôt qu'un équivalent.
Faut-il conserver le mot de passe en secours ?
Non sur les comptes à privilèges, où il annule le bénéfice. Sur les comptes grand public, un maintien temporaire peut être nécessaire, mais il doit être borné par une date de retrait décidée dès le cadrage.
La passkey est-elle plus rapide à l'usage ?
Généralement oui, sur les parcours quotidiens : un déverrouillage local remplace une saisie et une éventuelle validation. Le gain se manifeste aussi sur la charge de support, une fois passé le pic d'enrôlement.
Que faire des utilisateurs dont l'appareil ne prend pas en charge les passkeys ?
Leur prévoir un parcours alternatif décidé explicitement — clé physique fournie, dispositif dédié, validation en présentiel — plutôt que de les laisser sur l'ancien mécanisme sans échéance. Une exception sans date de fin devient une règle.
Aller plus loin : pilier : authentification cognitive · passkey, FIDO2, WebAuthn : les termes · sécuriser la récupération de compte avec passkey · politique de mot de passe en 2026