Passkey vs mot de passe : Quelle est la différence et lequel est le meilleur ?

Vous avez probablement été invité à ajouter un passkey à certains de vos comptes. Les mots de passe vous sont familiers mais présentent de nombreux problèmes, tandis que les passkeys offrent des améliorations solides mais ne sont pas pris en charge sur tous les sites.

Bien qu’elles constituent une amélioration par rapport à l’ancienne norme à bien des égards, les passkeys présentent leurs propres particularités à comprendre. Comme elles sont liées à un appareil ou à un logiciel plutôt qu’à quelque chose dont on se souvient, il faut veiller à ne pas être bloqué hors des endroits où elles sont stockées. Il n’est pas non plus aussi simple de partager une passkey de la même manière que vous remettriez un mot de passe à un ami. Mais pour la plupart des gens, les passkeys valent vraiment le détour par rapport aux mots de passe — surtout si vous n’utilisez pas déjà de gestionnaire de mots de passe pour sécuriser vos identifiants.

Une fois que vous aurez compris leur fonctionnement, transférer vos connexions en ligne vers des passkeys vous fera gagner des étapes fastidieuses au quotidien. L’aspect le plus important est la façon dont vous les stockez; heureusement, les principaux systèmes d’exploitation et les gestionnaires de mots de passe prennent en charge cette option.

Tout d’abord, examinons le fonctionnement de chacun. Un mot de passe classique est un « code secret » en texte qui authentifie votre compte. Les sites web ne stockent pas (ou ne devraient pas stocker) ces données en clair; c’est incroyablement peu sûr car une fuite de données exposerait toutes les informations de connexion. À la place, une fonction unidirectionnelle est appliquée à votre mot de passe qui crée une version brouillée, connue sous le nom de hachage. Lorsque vous saisissez le mot de passe correct, la version hachée est comparée à celle qui se trouve dans la base de données, et vous vous connectez avec succès. Il existe des mesures de sécurité supplémentaires, comme le « salage » (l’ajout d’une chaîne de données aléatoire au hash) pour rendre des hashs uniques pour des mots de passe identiques, mais ce ne sont que les bases.

Les passkeys ne nécessitent pas que vous reteniez un texte. Elles reposent sur deux clés: une clé publique que le site stocke et une clé privée détenue sur votre appareil. Lorsque vous tentez de vous connecter à votre compte, le site vous demande de confirmer l’utilisation de la passkey stockée sur votre téléphone ou votre PC. Ces clés sont conservées dans une zone sécurisée du stockage de votre téléphone et utilisent la méthode d’authentification existante de votre appareil (comme Face ID, le PIN Windows Hello ou le lecteur d’empreintes). Vous n’avez pas à vous souvenir de quoi que ce soit, sauf du PIN de votre appareil si la biométrie échoue.

Si les clés publiques et privées semblent abstraites, pensez à elles comme à une boîte aux lettres verrouillée. N’importe qui peut y déposer du courrier dans la fente publique (une lettre vous demandant de prouver qui vous êtes), mais seul le propriétaire avec la clé peut la déverrouiller (pour « signer la lettre » en vous authentifiant). Voir la boîte aux lettres ne vous donne aucun indice sur la clé. Et dans le cas des passkeys, il y a deux couches supplémentaires: la clé sur votre appareil est conservée en sécurité derrière la biométrie, et elle est conçue pour ne jamais fonctionner avec une boîte aux lettres factice (site de phishing).

C’est une autre raison de configurer une sécurité d’écran de verrouillage robuste sur votre téléphone ou votre ordinateur. Bien que la biométrie offre le meilleur mélange de commodité et de sécurité, vous ne voulez pas qu’un PIN comme « 1234 » serve de porte d’entrée à toutes vos connexions.

Vous avez probablement eu à faire face aux défauts des mots de passe pendant de nombreuses années. Puisque c’est contraignant de créer et de retenir des mots de passe uniques et forts pour chaque service, nombre de personnes réutilisent les mêmes mots de passe faibles sur différents sites. Des acteurs malveillants peuvent vous tromper pour obtenir votre mot de passe ou vous le faire entrer sur un site pirate. Et même si les données sont (voire devraient être) brouillées dans le stockage, les attaquants disposent encore de méthodes pour décrypter ou exploiter ce qu’ils récupèrent lors des brèches de données.

Les gestionnaires de mots de passe aident à résoudre bon nombre de ces problèmes, mais ils ne sont pas parfaits. Vous pouvez stocker des identifiants faibles dans le gestionnaire, coller des mots de passe forts sur un site imposteur, ou oublier votre connexion principale. Les passkeys résolvent davantage de problèmes fondamentaux. Vous ne pouvez pas créer une passkey « faible » car la norme est intrinsèquement robuste. Surtout, elles ne peuvent pas non plus être utilisées sur le mauvais site. La création d’une passkey l’associe nécessairement à un nom de domaine spécifique, de sorte que même si vous ouvrez une page imposteur, vous ne pouvez pas « remettre » vos identifiants comme vous le feriez avec un mot de passe. Cela signifie aussi que leur réutilisation n’est pas possible.

Les passkeys valident également les vérifications de sécurité « quelque chose que vous avez » et soit « quelque chose que vous savez », soit « quelque chose que vous êtes », simultanément. Comme elles exigent un appareil de confiance plus un PIN ou une authentification biométrique (reconnaissance faciale ou empreinte), le besoin d’une seconde étape comme l’authentification à deux facteurs traditionnelle est réduit. Et lorsque des brèches de données surviennent, les passkeys n’offrent rien à voler puisque les clés publiques ne sont déjà que publiques.

Si vous n’avez pas encore essayé les passkeys, ouvrez la page des paramètres pour n’importe quel compte en ligne et cherchez une section Sécurité ou Connexion. Les services qui prennent en charge les passkeys vous guideront dans la création d’une passkey après avoir utilisé le bouton bascule approprié.

Lors de sa création, vous devez choisir où la stocker. Par défaut, macOS et iOS les stockent dans l’application Mots de passe d’Apple. Android utilise Google Password Manager, tandis que Windows 11 les conserve sur votre appareil sous Paramètres > Comptes > Passkeys. Linux n’a pas encore de prise en charge native. Cependant, je recommande de garder vos passkeys dans un bon gestionnaire de mots de passe, surtout si vous utilisez des appareils dans des écosystèmes différents.

Avoir toutes vos passkeys dans Apple Passwords peut être pénible lorsque vous devez vous connecter sur votre téléphone Android, par exemple. Certains services vous permettent de scanner un code QR sur l’appareil contenant votre passkey pour vous connecter sur un autre appareil, mais ce n’est pas efficace. Le partage de passkeys avec des personnes de confiance n’est faisable qu’avec des coffres partagés dans les gestionnaires de mots de passe, et le fait que le logiciel soit synchronisé sur plusieurs appareils évite la perte si un appareil tombe en panne. Un gestionnaire de mots de passe dédié reste un outil complet pour votre sécurité en ligne, car de nombreux services n’offrent pas encore de passkeys. Si vous voulez aller au bout, vous pouvez également stocker des passkeys sur une clé de sécurité physique comme une YubiKey.

Une fois que vous avez créé une passkey, vous pouvez l’utiliser pour les futures connexions. En tentant de vous connecter, vous verrez une invite vous demandant de l’utiliser en vous authenticant avec votre appareil, ce qui ne prend qu’un instant. Selon le service, la passkey peut remplacer votre mot de passe ou le compléter. Assurez-vous d’avoir défini un mot de passe solide dans ce dernier cas, car votre compte n’est aussi sûr que la méthode de connexion la plus faible.