Qu'est-ce qu'une passkey ?
Se connecter sans secret partagé
Une passkey est une paire de clés cryptographiques qui remplace votre mot de passe. La clé privée ne quitte jamais votre appareil et n'est jamais transmise ; le service ne détient que la clé publique correspondante. Parce qu'il n'existe aucun secret partagé à saisir, à laisser fuiter ou à livrer à une fausse page de connexion, les passkeys ne peuvent être ni hameçonnées ni volées lors d'une fuite de données.
La définition simple
Une passkey est un identifiant de connexion formé de deux clés liées mathématiquement : une clé privée qui reste sur votre appareil, et une clé publique que le service conserve dans votre compte.
Cela se joue en deux moments. D'abord, à la création de la passkey : votre navigateur demande à votre authentificateur de générer une paire de clés neuve pour ce service précis, et seule la clé publique est envoyée au serveur.
Ensuite, à chaque connexion : le serveur envoie à votre appareil un défi aléatoire. Votre appareil le signe avec la clé privée et renvoie la signature. Le serveur vérifie cette signature à l'aide de la clé publique qu'il détient déjà. Si elle est valide, vous entrez.
La clé privée elle-même n'est jamais transmise. Ni à l'enregistrement, ni à la connexion, jamais. Cette seule différence est ce qui rend les passkeys fondamentalement différentes des mots de passe - et il vaut la peine de lire Qu'est-ce qu'un mot de passe ? en parallèle de cet article pour voir précisément ce qui change.
Ce qui la distingue d'un mot de passe
Un mot de passe est un secret partagé : vous le connaissez, et le service le connaît aussi (ou en connaît un haché). Les deux parties détiennent quelque chose qui pourrait être volé de part et d'autre.
Une passkey est asymétrique. Le service détient une clé publique qui est, comme son nom l'indique, publique. Elle est inutile à un attaquant, à elle seule. Vous pouvez l'afficher sur un panneau publicitaire, personne ne pourra s'en servir pour se connecter. Tout ce qui a de la valeur reste sur votre appareil, protégé par le matériel.
Cela inverse le modèle de sécurité. Avec les mots de passe, une fuite chez le service vous expose. Avec les passkeys, une fuite chez le service expose une liste de clés publiques, et rien d'autre.
Pourquoi une passkey ne peut pas être hameçonnée
Le phishing fonctionne parce qu'un mot de passe est transportable. Si une fausse page convaincante parvient à vous le faire saisir, l'attaquant détient l'original et peut s'en servir sur le vrai site. C'est l'une des façons les plus courantes de voler des identifiants - voir Les attaques courantes contre les mots de passe, qui contient une fausse page de connexion que vous pouvez essayer de repérer vous-même.
Une passkey ne fonctionne pas ainsi. Lors de l'enregistrement, votre appareil lie définitivement l'identifiant au domaine exact du service. Quand une fausse page demande à votre appareil de se connecter, le domaine ne correspond pas à celui pour lequel la passkey a été créée : votre appareil refuse, tout simplement. Il n'y a aucune alerte à outrepasser, aucun avertissement à ignorer, rien que vous puissiez faire de travers.
Ce n'est ni de la pédagogie utilisateur ni un filtre plus intelligent. C'est une propriété structurelle du protocole - l'attaque n'a plus de prise.
Où réside la clé privée
C'est là que les passkeys diffèrent le plus en pratique, et là que se situe le véritable arbitrage de sécurité.
- Les passkeys synchronisées sont conservées dans un coffre-fort logiciel - Apple iCloud Keychain, Google Password Manager, ou un gestionnaire de mots de passe - et recopiées sur tous vos appareils via le cloud de ce fournisseur. Pratique, mais vos identifiants ne valent alors que la sécurité de ce compte.
- Les passkeys liées au matériel sont générées à l'intérieur d'un secure element dédié et ne peuvent physiquement pas en être exportées. Elles existent sur un seul appareil et nulle part ailleurs. Aucune copie cloud à compromettre, aucun compte fournisseur entre vous et vos identifiants.
La Seedkeeper PRO relève du second modèle. Les passkeys sont créées à l'intérieur d'un secure element certifié EAL6+ et n'en sortent jamais, ce qui explique aussi qu'elles ne soient pas transférées par une sauvegarde d'appareil à appareil - voir Stratégie de sauvegarde des passkeys pour anticiper ce point.
Ce que vous faites concrètement
La cryptographie est invisible à l'usage. En pratique :
- Dans les réglages de sécurité du service, vous choisissez d'ajouter une passkey.
- Vous approchez votre Seedkeeper PRO de votre téléphone, ou vous la connectez sur votre ordinateur.
- Vous saisissez votre PIN FIDO et vous confirmez.
À partir de là, se connecter consiste à présenter l'appareil et à saisir le PIN. Aucun mot de passe à retenir, aucun code à recopier avant expiration, aucune seconde application à ouvrir.
Le PIN mérite d'être bien compris : il déverrouille l'appareil localement et n'est jamais transmis au service. C'est lui qui empêche quiconque volerait physiquement votre Seedkeeper PRO de s'en servir - le second facteur de « quelque chose que vous possédez, quelque chose que vous savez », le couple décrit dans Les facteurs d'authentification expliqués.
Les standards qui les sous-tendent
Les passkeys ne sont pas une fonctionnalité propriétaire. C'est un standard ouvert, bâti sur deux spécifications :
- FIDO2 - le cadre général, défini par la FIDO Alliance, qui régit la façon dont les authentificateurs et les services dialoguent.
- WebAuthn - l'API côté navigateur qui permet à un site web de demander une signature à votre authentificateur.
Parce qu'il s'agit de standards ouverts, une passkey créée avec une Seedkeeper PRO fonctionne avec n'importe quel service compatible FIDO2, sur n'importe quel système d'exploitation, sans dépendance à un fournisseur. Voir Qu'est-ce que FIDO2 ? pour le tableau complet.
FAQ
Une passkey est-elle la même chose qu'une connexion biométrique ?
Non, même si l'on confond souvent les deux. Votre empreinte ou votre visage déverrouille l'appareil qui détient la clé privée - ce n'est pas l'identifiant lui-même, et il n'est jamais transmis au service. Avec la Seedkeeper PRO, ce rôle de déverrouillage est tenu par votre PIN FIDO.
Que se passe-t-il si je perds mon appareil ?
Avec des passkeys liées au matériel, perdre l'appareil signifie perdre ces identifiants : il n'existe aucune copie cloud à restaurer. C'est pourquoi il faut enregistrer un second appareil, ou conserver une méthode de récupération du service, avant d'en avoir besoin. Voir Stratégie de récupération des passkeys.
Ai-je besoin de la Seedkeeper PRO App pour me connecter avec une passkey ?
Non. Votre navigateur ou votre système d'exploitation dialogue directement avec l'appareil via WebAuthn. La Seedkeeper PRO App n'est nécessaire que pour gérer les passkeys - définir le PIN FIDO, lister les passkeys stockées ou en supprimer une.
Puis-je utiliser une même passkey pour plusieurs comptes ?
Non, et c'est délibéré. Une paire de clés distincte est générée pour chaque service : rien ne relie vos comptes entre eux, et compromettre l'un ne révèle rien des autres.
Les passkeys sont-elles déjà largement prises en charge ?
La prise en charge a progressé rapidement - Google, Microsoft, Amazon, PayPal, GitHub et bien d'autres les acceptent désormais. La couverture reste inégale, de sorte que la plupart des gens utilisent les passkeys en parallèle des mots de passe plutôt qu'en remplacement immédiat partout. Nos tutoriels pas à pas couvrent les services qui les prennent en charge aujourd'hui, notamment Google, Microsoft et les boutiques en ligne.