Le passwordless désigne une authentification qui ne repose sur aucun mot de passe, ni comme facteur principal, ni comme secours. La preuve est apportée par une clé cryptographique, un facteur biométrique traité localement, un canal maîtrisé ou un raisonnement, mais jamais par un secret mémorisé et réutilisable.
Ce qui est réellement passwordless, et ce qui ne l'est pas
Toutes les méthodes présentées comme telles ne suppriment pas le secret partagé :
- Passkey / FIDO2 : passwordless au sens strict, avec résistance au phishing par liaison à l'origine ;
- Biométrie sur l'appareil : passwordless si le gabarit est traité localement et ne sert qu'à déverrouiller une clé ;
- Magic link ou OTP par courriel : le mot de passe disparaît de l'écran, mais la sécurité se reporte intégralement sur la boîte de réception ;
- Mot de passe masqué derrière un SSO : ce n'est pas du passwordless, seulement un mot de passe saisi ailleurs.
Le vrai test : la procédure de récupération
Un déploiement échoue le plus souvent par le bas. Si la perte d'un appareil se règle par une question secrète, un code envoyé par SMS ou un appel au support, le mot de passe a simplement été remplacé par un chemin de repli plus faible — et c'est celui-là que l'attaquant empruntera.
Un parcours cohérent traite donc l'enrôlement, l'authentification et la récupération avec le même niveau d'exigence. Combiné à une approche IDless, il retire du parcours les deux éléments les plus souvent volés : le mot de passe et l'identifiant.
Aller plus loin : panorama des méthodes sans mot de passe · migrer vers le passwordless · définition de l'IDless · l'authentification cognitive