Une passkey (clé d'accès) est un identifiant FIDO2 découvrable — une paire de clés cryptographiques propre à un service — qui remplace le mot de passe. La clé privée reste dans l'élément sécurisé de l'appareil ou dans la clé de sécurité ; le service ne conserve que la clé publique. L'utilisateur déverrouille l'usage de la clé par empreinte, visage ou code PIN.
Synchronisée ou liée à l'appareil
Deux modèles coexistent, et la distinction est décisive pour un RSSI :
- Passkey synchronisée : sauvegardée dans le trousseau de la plateforme ou d'un gestionnaire de mots de passe, elle suit l'utilisateur d'un appareil à l'autre. Le confort est réel ; la sécurité du compte de synchronisation devient celle de l'authentification.
- Passkey liée à l'appareil (device-bound) : elle ne quitte jamais son support, typiquement une clé de sécurité matérielle. Plus contraignante, plus adaptée aux accès sensibles.
Ce qu'une passkey résout, et ce qui reste
La liaison à l'origine rend l'hameçonnage classique inopérant : la signature ne vaut que pour le domaine enregistré. Il n'y a plus de secret partagé à voler côté serveur, ni de mot de passe à réutiliser.
Deux points restent ouverts. Le cookie de session émis après l'authentification demeure volable si la session n'est pas protégée. Et la procédure de récupération en cas de perte de l'appareil retombe souvent sur un canal plus faible — courriel, SMS, appel au support — qui redevient le point d'entrée le plus économique pour un attaquant.
Aller plus loin : passkey, FIDO2, WebAuthn : démêler les termes · passkey ou mot de passe : comparaison honnête · sécuriser la récupération de compte avec passkey · l'authentification cognitive