L'authentification sans mot de passe (passwordless) regroupe les méthodes qui permettent de se connecter sans saisir de secret mémorisé. Objectif : supprimer l'actif le plus attaqué du système d'information. Mais « sans mot de passe » ne signifie pas « sans risque » : les méthodes passwordless n'offrent pas du tout le même niveau de garantie.
Pourquoi supprimer le mot de passe
Trois raisons cumulatives :
- Le risque : le mot de passe est réutilisé, deviné, rejoué, revendu. Selon le Verizon DBIR, les identifiants volés restent l'un des tout premiers vecteurs d'intrusion.
- Le coût : réinitialisations au helpdesk, temps perdu, abandons de parcours. Un poste de coût rarement mesuré et pourtant très concret.
- L'expérience : chaque exigence de complexité déplace le problème vers le post-it ou le gestionnaire de mots de passe.
Panorama des méthodes
| Méthode | Facteur mobilisé | Résiste au phishing | Angle mort |
|---|---|---|---|
| Magic link (e-mail) | je possède (boîte mail) | Non | sécurité = celle de la messagerie ; lien interceptable |
| OTP e-mail / SMS | je possède | Non | relais temps réel, SIM swapping |
| Notification push | je possède | Non | approbation réflexe, MFA fatigue |
| Passkey / FIDO2 | je possède (+ déverrouillage local) | Oui (connexion) | vol de session ; récupération de compte ; synchronisation cloud |
| Clé de sécurité physique | je possède | Oui (connexion) | perte, logistique, coût unitaire |
| Biométrie locale | je suis | Dépend de l'implémentation | deepfake sur les parcours à distance, contrainte physique |
| Facteur cognitif | je sais faire | Oui, y compris sur l'action | à déployer (enrôlement) |
Deux enseignements se dégagent.
Premier enseignement : « passwordless » ne veut pas dire « résistant au phishing ». Un magic link ou un OTP supprime le mot de passe tout en restant parfaitement relayable par un proxy inverse. Le critère qui compte n'est pas l'absence de mot de passe, c'est l'absence de valeur rejouable.
Second enseignement : la plupart des méthodes sécurisent la connexion, pas l'action. Une fois la session ouverte, elles ne disent plus rien. C'est un problème sur les opérations à fort impact — virement, changement d'IBAN, élévation de privilèges.
Les deux angles morts qu'on oublie de traiter
1. La récupération de compte
C'est le maillon faible classique : on déploie des passkeys, et le parcours « j'ai perdu mon appareil » retombe sur un code envoyé par e-mail ou SMS. L'attaquant ne s'attaque pas au mur, il passe par la porte de service. Le niveau de sécurité réel d'un système est celui de son parcours de récupération le plus faible.
2. L'enrôlement
Si l'enrôlement initial se fait à distance sur la base d'un selfie et d'une pièce d'identité photographiée, la qualité de l'authentification ultérieure est plafonnée par celle de cette vérification — désormais exposée aux deepfakes. Un enrôlement hors ligne, ou adossé à une identité déjà attestée (wallet eIDAS 2), change la nature du problème.
Où se place le facteur cognitif
L'approche IDless pousse la logique plus loin : ni mot de passe, ni identifiant permanent. Il n'y a donc pas d'e-mail ou de login à collecter pour préparer une attaque ciblée — une phase de reconnaissance que le couple SSO/MFA facilite involontairement.
Le parcours combine :
- un QR code dynamique à usage unique, qui ouvre un canal éphémère chiffré ;
- un challenge cognitif résolu par une méthode personnelle, acquise à l'enrôlement ;
- une adaptation contextuelle du niveau d'exigence, du 2FA au 4FA selon la criticité.
Comme rien de réutilisable ne circule et que la validation peut porter sur l'action et non seulement sur la session, les deux angles morts précédents se traitent dans le même mouvement.
Comment choisir : par risque, pas par mode
Une grille simple, du plus courant au plus sensible :
- Accès courant, faible impact → passkey ou biométrie locale. Priorité à la fluidité.
- Accès à privilèges (admin, PAM) → méthode liée à l'origine obligatoire, session courte.
- Opération financière ou juridique → validation de l'action : signature d'intention, pas seulement authentification de session.
- Récupération de compte → ne jamais retomber sur un facteur plus faible que le facteur principal.
- Enrôlement → hors ligne ou adossé à une identité attestée.
FAQ
Peut-on supprimer complètement les mots de passe ?
Rarement d'un coup : il reste des systèmes historiques. La démarche réaliste consiste à retirer le mot de passe des parcours à fort risque d'abord, puis à réduire progressivement le périmètre résiduel.
Passkey ou facteur cognitif : faut-il choisir ?
Les deux répondent à des questions différentes. La passkey prouve qu'un appareil enrôlé répond, et le fait très bien. Le facteur cognitif prouve qu'un humain conscient agit. Sur un virement, c'est la seconde garantie qui compte.
Le passwordless est-il conforme à la DSP2 ?
La DSP2 exige deux facteurs de catégories distinctes pour l'authentification forte du client. Une combinaison passwordless peut y répondre, à condition que les catégories mobilisées soient bien indépendantes — un point à vérifier précisément dans l'implémentation.
Combien de temps prend une migration ?
Le facteur limitant est rarement technique : ce sont l'inventaire des parcours, la gestion de la récupération de compte et l'accompagnement des utilisateurs. Commencer par une population pilote à fort enjeu (administrateurs) donne un retour rapide.
Aller plus loin : pilier : authentification cognitive · passkey, FIDO2, WebAuthn · migrer vers le passwordless · MFA résistant au phishing