Comment sécuriser Bitwarden avec une passkey
Se connecter à Bitwarden sans votre mot de passe maître
Web
Depuis les paramètres de sécurité de Bitwarden, activez « Se connecter avec une clé d'accès », choisissez une clé de sécurité plutôt que la biométrie intégrée de votre appareil, puis connectez votre Seedkeeper PRO pour l'enregistrer.
Activez Utiliser pour le chiffrement du coffre-fort pendant l'enregistrement et votre Seedkeeper PRO déchiffre également le coffre - une présentation et un PIN remplacent alors entièrement le mot de passe maître au quotidien.
Vue d'ensemble
Bitwarden propose en réalité trois fonctionnalités passkey distinctes - il vaut la peine de savoir laquelle est traitée ici :
- Stocker les passkeys d'autres services dans votre coffre-fort Bitwarden (Bitwarden agissant comme gestionnaire de passkeys) - ce n'est pas l'objet de ce guide.
- Se connecter à Bitwarden lui-même avec une passkey - c'est l'objet de ce guide.
- Utiliser une passkey comme 2FA sur votre compte Bitwarden (configuration distincte) - ce n'est pas l'objet de ce guide.
Se connecter avec une passkey contourne entièrement la connexion en deux étapes habituelle de Bitwarden - votre Seedkeeper PRO couvre l'authentification en une seule étape, sans que votre mot de passe maître soit nécessaire pour vous connecter. Cela ne fonctionne actuellement que dans l'extension navigateur de Bitwarden (navigateurs fondés sur Chromium) et dans l'application web - pas dans les applications mobiles ni de bureau.
Il y a une seconde couche à configurer en même temps : votre Seedkeeper PRO peut aussi déchiffrer le coffre-fort, pas seulement prouver qui vous êtes. Voir Déverrouiller le coffre-fort, pas seulement se connecter ci-dessous.
Vous pouvez ajouter jusqu'à 5 passkeys par compte. Même avec le déchiffrement du coffre-fort activé, le mot de passe maître demeure le moyen de rentrer si vous perdez toutes vos passkeys enregistrées - gardez-le donc solide et conservé en lieu sûr plutôt que de l'oublier.
Une note sécurisée sur une Seedkeeper est un bon emplacement : hors ligne, adossée au matériel, et disponible même si tous vos navigateurs ont disparu.
L'option que votre navigateur propose par défaut - Face ID, Touch ID, Windows Hello, ou un gestionnaire d'identifiants synchronisé - crée une passkey parfaitement valable.
Choisir votre Seedkeeper PRO à la place change trois choses :
- La clé n'existe qu'à un seul endroit. Une passkey synchronisée est recopiée sur tous les appareils de votre compte cloud, et ce compte est généralement protégé par un mot de passe. Une passkey matérielle est générée à l'intérieur d'un secure element certifié et ne peut physiquement pas en sortir.
- Personne d'autre n'est dans la chaîne. Aucun compte fournisseur, aucun cloud, aucune connexion tierce entre vous et vos propres identifiants.
- Elle voyage. La même carte ou la même bague fonctionne sur votre téléphone, votre ordinateur portable, et une machine qui n'est pas la vôtre - un poste professionnel, un ordinateur partagé - sans rien y laisser.
Voir « Toutes les passkeys ne sont pas stockées de la même façon » pour la comparaison complète.
Instructions pas à pas
Étape 1 : aller dans Paramètres → Sécurité
Dans l'application web Bitwarden, rendez-vous dans Paramètres → Sécurité.
Étape 2 : sélectionner Mot de passe maître
Étape 3 : activer la connexion par clé d'accès
Sous Se connecter avec une clé d'accès, sélectionnez Activer (ou Nouvelle clé d'accès si vous en avez déjà une). Saisissez votre mot de passe maître lorsqu'on vous le demande.
Étape 4 : choisir une clé de sécurité plutôt que votre appareil
Votre navigateur privilégiera par défaut la biométrie de votre appareil (comme Touch ID). Il peut être nécessaire d'annuler cette invite pour choisir une clé de sécurité matérielle à la place.
Étape 5 : connecter votre Seedkeeper PRO
Insérez votre Seedkeeper PRO, ou approchez-la d'un lecteur NFC.
Étape 6 : saisir votre PIN
Fournissez votre PIN de passkey pour finaliser l'enregistrement.
Étape 7 : la nommer et activer le chiffrement du coffre-fort
Saisissez un nom pour votre passkey. Avant de confirmer, activez Utiliser pour le chiffrement du coffre-fort - c'est ce qui permet à l'appareil de déchiffrer votre coffre en plus de vous connecter.
Sélectionnez ensuite Activer.
L'option de chiffrement du coffre-fort n'est proposée qu'à la création de la passkey. Si vous la sautez, la passkey ne servira qu'à la connexion, et l'activer ensuite impose de supprimer cette passkey et d'en enregistrer une nouvelle.
Vous pouvez désormais vous connecter à Bitwarden avec votre Seedkeeper PRO plutôt qu'avec votre mot de passe maître.
Déverrouiller le coffre-fort, pas seulement se connecter
Se connecter et déchiffrer le coffre-fort sont deux choses différentes chez Bitwarden, et il vaut la peine de comprendre pourquoi.
Votre coffre-fort est chiffré avec une clé dérivée de votre mot de passe maître. Prouver votre identité avec une passkey vous fait franchir la porte ; sans quoi que ce soit dont dériver une clé de déchiffrement, Bitwarden devrait encore réclamer le mot de passe maître pour ouvrir le coffre derrière.
PRF résout cela. Le mécanisme permet à Bitwarden de dériver un secret stable depuis votre passkey - la même valeur à chaque fois, produite à l'intérieur du secure element et qui n'en sort jamais. Ce secret devient la clé de déchiffrement du coffre-fort : c'est donc le matériel lui-même qui l'ouvre.
Résultat pratique : présentez votre Seedkeeper PRO, saisissez votre PIN, et vous êtes dans le coffre. Aucun mot de passe maître nulle part dans le parcours.
Ce que cela demande
| Prérequis | État |
|---|---|
L'authentificateur prend en charge hmac-secret | ✅ La Seedkeeper PRO le fait - voir Device Capabilities |
Le navigateur expose l'extension WebAuthn prf | ✅ Navigateurs fondés sur Chromium - Chrome, Edge, Brave |
| Utiliser pour le chiffrement du coffre-fort activé à l'enregistrement | À vous de voir, voir Étape 7 |
La prise en charge hors Chromium reste inégale : Firefox et Safari peuvent donc vous connecter sans déverrouiller le coffre. C'est une limite du navigateur, pas de l'appareil.
Pourquoi cela compte plus ici qu'ailleurs
Un gestionnaire de mots de passe est le seul compte qui garde tous les autres. Déplacer sa clé de déchiffrement de quelque chose que vous retenez - qui peut être hameçonné, deviné ou divulgué - vers quelque chose qui n'existe qu'à l'intérieur d'un secure element certifié change d'un coup la sécurité de tout le contenu du coffre.
Cela supprime aussi la friction quotidienne qui pousse les gens vers des mots de passe maîtres faibles.
Gérer vos passkeys
Rendez-vous dans Paramètres → Sécurité → Mot de passe maître pour voir vos passkeys enregistrées.
- Supprimer : sélectionnez Supprimer à côté de la passkey. Cela la déconnecte de Bitwarden - l'identifiant lui-même reste sur votre Seedkeeper PRO.
- En ajouter une autre : répétez les étapes ci-dessus pour un appareil de secours - voir Stratégie de sauvegarde des passkeys.
La connexion par clé d'accès n'est pas disponible si votre organisation impose l'authentification unique (SSO), le SSO avec appareils de confiance, ou utilise Key Connector.
Où cela s'inscrit
Bitwarden et une Seedkeeper PRO résolvent des problèmes voisins plutôt que concurrents : le coffre-fort contient des centaines d'identifiants avec remplissage automatique, tandis que la clé matérielle contrôle qui y accède - et, avec le chiffrement du coffre activé, détient la clé qui l'ouvre.
Conserver votre mot de passe maître sur l'appareil comme note sécurisée complète le dispositif : le matériel gère l'accès quotidien, et le même objet détient la voie de récupération dont vous n'avez désormais que rarement besoin. Voir Les gestionnaires de mots de passe expliqués pour la façon dont les deux se combinent.
Ressources officielles Bitwarden
FAQ
Se connecter avec une passkey déverrouille-t-il aussi mon coffre-fort ?
Oui, lorsque vous activez Utiliser pour le chiffrement du coffre-fort à l'enregistrement et que vous utilisez un navigateur fondé sur Chromium. La Seedkeeper PRO prend en charge l'extension hmac-secret derrière WebAuthn PRF, celle qu'utilise Bitwarden pour dériver la clé de déchiffrement du coffre. Voir Déverrouiller le coffre-fort, pas seulement se connecter ci-dessus.
J'ai activé la passkey mais Bitwarden réclame toujours mon mot de passe maître. Pourquoi ?
Deux causes probables : le chiffrement du coffre-fort n'était pas activé au moment de la création de la passkey, ou votre navigateur n'expose pas l'extension prf. Les navigateurs Chromium le font ; la prise en charge de Firefox et Safari est inégale.
Puis-je oublier mon mot de passe maître une fois que cela fonctionne ?
Non. Il reste la voie de récupération si vous perdez toutes vos passkeys enregistrées, et Bitwarden ne peut pas le réinitialiser à votre place. Conservez-le en lieu sûr et hors ligne plutôt que de vous fier à votre mémoire.
Cela remplace-t-il aussi la connexion en deux étapes ?
Oui - se connecter avec une passkey contourne entièrement la connexion en deux étapes. C'est différent de l'usage d'une passkey comme méthode 2FA, qui est une fonctionnalité Bitwarden distincte.
Puis-je ajouter plusieurs Seedkeeper PRO en secours ?
Oui, jusqu'à 5 passkeys par compte - voir Stratégie de sauvegarde des passkeys pour la configuration recommandée.
Pourquoi enregistrer une Seedkeeper PRO plutôt que la passkey intégrée de mon téléphone ?
Les deux mettent le phishing en échec : la réponse honnête est que cela dépend de ce que vaut le compte. Une passkey synchronisée est recopiée sur tous les appareils de votre compte cloud, et ce compte devient la nouvelle cible. Une passkey Seedkeeper PRO existe sur une seule puce certifiée qui ne peut pas l'exporter, sans aucun fournisseur dans la chaîne - ce qui compte quand le compte protège le coffre-fort contenant tous vos autres mots de passe. Voir Toutes les passkeys ne sont pas stockées de la même façon.