WebAuthn est l'interface standardisée qu'un navigateur expose à un site pour créer et utiliser une clé cryptographique. CTAP est le protocole qui relie le navigateur à un authentificateur externe. FIDO2 désigne l'ensemble WebAuthn + CTAP. Une passkey est le justificatif d'authentification produit par ce dispositif — une paire de clés dont la partie privée ne quitte jamais l'authentificateur. Les quatre mots ne sont donc pas interchangeables.
Qui fait quoi, brique par brique
| Terme | Nature | Rôle concret |
|---|---|---|
| WebAuthn | API navigateur, standard W3C | permet à un site de demander la création ou l'usage d'une clé |
| CTAP | protocole FIDO | fait dialoguer le navigateur et un authentificateur externe (USB, NFC, Bluetooth) |
| FIDO2 | ensemble WebAuthn + CTAP | nom de la spécification globale |
| Authentificateur | composant matériel ou logiciel | garde la clé privée et l'utilise après déverrouillage |
| Passkey | justificatif | la paire de clés propre à un couple utilisateur/site |
| Relying party | le service | le site qui vérifie la signature ; identifié par son domaine |
Le mot « passkey » a été introduit pour parler au grand public. Il ne désigne pas une nouvelle technologie : c'est un nom d'usage pour un justificatif FIDO2 découvrable, c'est-à-dire utilisable sans que l'utilisateur ait à saisir d'identifiant au préalable.
Ce qui se passe réellement lors d'une connexion
- Le site envoie un défi aléatoire et son identifiant de domaine.
- Le navigateur transmet ce défi à l'authentificateur, en y joignant l'origine réelle de la page.
- L'utilisateur déverrouille l'authentificateur (empreinte, visage, code PIN local).
- L'authentificateur signe le défi avec la clé privée associée à ce domaine précis.
- Le site vérifie la signature avec la clé publique enregistrée lors de l'inscription.
Le point décisif est l'étape 2. La signature est liée à l'origine : une clé créée pour
banque.example ne produira rien d'exploitable sur banque-example-secure.com. C'est le mécanisme
qui rend FIDO2 résistant au phishing, et non le simple fait de ne pas saisir de mot de passe.
Autre propriété importante : le serveur ne détient qu'une clé publique. Une fuite de la base d'authentification ne livre donc aucun secret rejouable, contrairement à une base de mots de passe, même hachée.
Les distinctions qui changent vos arbitrages
Passkey synchronisée ou liée à l'appareil
C'est la distinction la plus mal comprise, et celle qui a le plus d'impact en entreprise.
| Passkey synchronisée | Passkey liée à l'appareil | |
|---|---|---|
| Stockage de la clé privée | trousseau chiffré d'un fournisseur, répliqué | ne quitte jamais le composant matériel |
| Perte d'appareil | récupération par le trousseau | justificatif perdu, réinscription nécessaire |
| Périmètre de confiance | inclut le compte du fournisseur de trousseau | limité au matériel |
| Cas d'usage naturel | postes utilisateurs, grand public | administrateurs, environnements réglementés |
Une passkey synchronisée déplace une partie du risque vers le compte de synchronisation : quiconque prend le contrôle de ce compte peut, selon les implémentations, retrouver l'usage des justificatifs. Ce n'est pas rédhibitoire, mais cela doit être documenté dans l'analyse de risque, surtout pour les comptes à privilèges.
Attestation
L'attestation permet au service de vérifier le modèle d'authentificateur utilisé lors de l'inscription. Une organisation qui impose des clés certifiées y trouve un moyen de contrôle ; à l'inverse, beaucoup de déploiements grand public la désactivent pour des raisons de vie privée. Décidez explicitement, plutôt que de subir la valeur par défaut.
Découvrable ou non
Un justificatif découvrable permet au navigateur de proposer directement le compte : c'est ce qui rend possible une connexion sans identifiant saisi. Un justificatif non découvrable exige que le site indique d'abord quel compte est concerné. Cette nuance conditionne le parcours d'écran que vos équipes produit vont concevoir.
Ce que FIDO2 ne couvre pas
Le standard protège l'événement d'authentification. Il ne protège ni ce qui le précède, ni ce qui le suit.
- Après la connexion : la session reste un jeton porteur. Volé, il est rejouable, sans que l'authentificateur soit sollicité.
- La récupération : si le parcours « j'ai perdu mon téléphone » repose sur un code e-mail, le niveau réel du système est celui de ce code, pas celui de la passkey.
- L'inscription : une passkey créée après un enrôlement faible hérite de cette faiblesse.
- L'intention : la signature prouve qu'un authentificateur déverrouillé a répondu. Elle ne dit pas si l'utilisateur comprend l'opération qu'il valide — un point central dans les fraudes par manipulation.
C'est précisément cette dernière limite que traite le facteur cognitif, qui cherche à établir une intention humaine consciente plutôt que la seule possession d'un objet déverrouillé.
FAQ
Une passkey remplace-t-elle vraiment le mot de passe ?
Sur le parcours de connexion, oui, à condition d'avoir aussi retiré le mot de passe des parcours de secours. Tant qu'un mot de passe reste accepté en repli, la surface d'attaque historique demeure ouverte.
Passkey et clé de sécurité physique, est-ce la même chose ?
Une clé physique est un authentificateur externe qui héberge des justificatifs FIDO2. La passkey est le justificatif lui-même, qui peut aussi résider dans le téléphone ou l'ordinateur. Le standard est le même, le modèle de menace diffère.
Faut-il un matériel particulier côté serveur ?
Non. Le service stocke des clés publiques et vérifie des signatures. Le coût d'intégration se situe dans le raccordement des applications, la gestion du cycle de vie des justificatifs et les parcours de secours, pas dans le matériel.
FIDO2 résiste-t-il à la menace quantique ?
Les signatures reposent aujourd'hui sur la cryptographie à courbes elliptiques, que l'algorithme de Shor met en cause à terme. La question à poser aux fournisseurs porte sur l'agilité cryptographique et la trajectoire vers les standards post-quantiques du NIST.
Aller plus loin : pilier : authentification cognitive · sécuriser la connexion avec passkey · passkey ou mot de passe · glossaire : WebAuthn