Une clé de sécurité physique conforme à FIDO2/WebAuthn arrête le phishing de connexion, y compris dans sa forme moderne par proxy inverse. La raison est structurelle : la réponse cryptographique est calculée pour un domaine précis, et le navigateur refuse de la produire pour un autre. Ce que la clé ne protège pas est tout aussi net : ce qui se passe après l'authentification, et tout parcours qui permet de s'en passer.
Pourquoi le relais échoue, techniquement
Dans une authentification WebAuthn, le navigateur transmet à l'authentificateur l'origine effective de la page — schéma, domaine, port. La clé signe une assertion qui inclut cette origine et un défi fourni par le service. Le serveur vérifie ensuite que l'origine signée correspond bien à la sienne.
Un proxy inverse sert la page depuis son propre domaine. L'origine transmise est donc celle de l'attaquant. Trois issues sont possibles, et aucune ne lui convient.
- La clé ne possède aucune identité enregistrée pour ce domaine : elle ne répond pas.
- Une identité existe, mais l'assertion signée porte l'origine du proxy : le service légitime la rejette.
- L'attaquant tente de relayer le défi au niveau du protocole : il ne peut pas faire signer une origine qui n'est pas celle affichée au navigateur.
Point important : l'utilisateur n'a rien à reconnaître. C'est ce qui distingue cette protection de toutes celles qui reposent sur la vigilance, et qui explique sa robustesse. Personne n'a besoin d'inspecter une URL.
Ce que la clé ne couvre pas
| Vecteur | La clé physique protège-t-elle ? | Pourquoi | Mesure complémentaire |
|---|---|---|---|
| Phishing de connexion, y compris AiTM | Oui | Liaison à l'origine | Aucune, c'est le cœur du dispositif |
| Vol de cookie ou de jeton après connexion | Non | La clé n'intervient plus | Sessions courtes, liaison du jeton au poste |
| Repli sur SMS-OTP ou code temporaire | Non | Le repli devient la vraie porte | Supprimer les méthodes de repli faibles |
| Récupération de compte par e-mail | Non | Le parcours contourne le facteur | Renforcer la récupération au même niveau |
| Enrôlement initial non vérifié | Non | Une clé attaquante peut être ajoutée | Enrôlement supervisé, alerte sur ajout |
| Poste compromis par un logiciel malveillant | Partiellement | La connexion est saine, la session est détournée | Détection sur poste, validation par action |
| Manipulation de l'utilisateur pour agir lui-même | Non | Aucune contrainte technique n'est violée | Preuve d'intention sur l'opération |
Les lignes trois et quatre concentrent l'essentiel des échecs observés en production. Une organisation déploie des clés, puis conserve « au cas où » un code par SMS et une réinitialisation par e-mail. Le niveau réel de sécurité devient alors celui de ces alternatives, pas celui de la clé.
Le cycle de vie, angle mort principal
La sécurité d'une clé physique ne se joue pas seulement à l'usage. Elle se joue à quatre moments.
L'enrôlement. Si un attaquant qui contrôle temporairement un compte peut ajouter sa propre clé, la protection est retournée contre son propriétaire. L'ajout d'un authentificateur doit exiger une preuve forte et déclencher une alerte immédiate à l'utilisateur.
La perte. Elle survient, et elle survient au mauvais moment. Sans deuxième clé enrôlée à l'avance, l'organisation improvisera un parcours de secours — c'est-à-dire une faiblesse. Deux clés par utilisateur, dont une conservée hors du poste de travail, est la configuration qui évite le plus d'incidents.
Le départ du collaborateur. La clé est un objet physique qui part avec la personne. La révocation doit être liée au processus RH, pas à la restitution du matériel.
Le remplacement. Les clés ont une durée de vie matérielle. Un parc non renouvelé finit par produire des demandes d'exception au support, et les exceptions sont le terrain de l'ingénierie sociale.
La contrainte logistique, souvent sous-estimée
La clé physique est une excellente réponse technique dont le coût réel est opérationnel : acquisition, distribution, remplacement, gestion des populations mobiles, des sites isolés, des intérimaires et des prestataires. Sur une population large ou très rotative, ces contraintes rendent le déploiement partiel — et un déploiement partiel laisse subsister les méthodes faibles qu'il devait remplacer.
Une approche par paliers est généralement plus efficace : clés physiques pour les administrateurs et les fonctions les plus exposées, où le coût unitaire est justifié ; méthode résistante au phishing sans matériel dédié pour les populations larges.
Après la connexion : le trou que rien de ce qui précède ne comble
Une clé physique authentifie une ouverture de session. Elle ne dit rien de l'opération réalisée vingt minutes plus tard dans cette session, ni de l'utilisateur manipulé par téléphone qui exécute lui-même un virement frauduleux.
C'est le domaine de la validation par l'action. Le facteur cognitif apporte ici une propriété différente : le défi est résolu au moment de l'opération, dans un canal éphémère ouvert par QR code dynamique à usage unique, et il repose sur une méthode de résolution personnelle acquise hors ligne, non transmissible. Une session volée ne suffit donc pas à engager l'action, et rien de verbalisable ne peut être extorqué au téléphone. Les deux approches ne s'opposent pas : la clé sécurise l'entrée, la preuve d'intention sécurise l'acte.
FAQ
Une clé physique est-elle plus sûre qu'une passkey logicielle ?
Les deux reposent sur le même mécanisme de liaison à l'origine et résistent au phishing de la même manière. La clé physique offre un stockage matériel non exportable ; la passkey synchronisée offre une meilleure disponibilité. Le choix dépend du modèle de menace, pas d'une supériorité intrinsèque.
Faut-il conserver une méthode de secours ?
Oui, mais au même niveau de sécurité. Une deuxième clé enrôlée est préférable à un code par SMS ou à un lien par e-mail, qui ramènent l'ensemble du dispositif au niveau du canal le plus faible.
La clé protège-t-elle contre un logiciel malveillant sur le poste ?
Elle empêche l'utilisation frauduleuse de l'identité sur un autre appareil, mais pas le détournement de la session en cours sur le poste infecté. La protection du poste reste nécessaire.
Combien de clés faut-il prévoir par utilisateur ?
Deux constitue le minimum raisonnable, dont une conservée séparément. Cette configuration supprime la majorité des demandes de récupération, qui sont le point d'entrée privilégié de l'ingénierie sociale.
Aller plus loin : authentification cognitive · MFA résistante au phishing · clé physique ou application : comparaison · passkey face au vol de session