Passkeys : peut-on enfin se passer des mots de passe ?

Entre les mots de passe oubliés, réutilisés ou volés, la méthode classique montre ses limites depuis longtemps. Les passkeys, ou clés d’accès, promettent de s’y connecter avec une empreinte, un visage ou un code, sans rien taper. Mais comment ça marche vraiment, sont-elles plus sûres, et comment les activer sur son téléphone et son PC ? Voici un guide pratique pour y voir clair, sans jargon inutile.

Passkey : de quoi parle-t-on exactement ?

Une passkey est un identifiant qui remplace le mot de passe pour se connecter à un site ou à une application. Elle repose sur la norme FIDO2, développée avec Apple, Google et Microsoft, et sur le standard web WebAuthn. Concrètement, vous déverrouillez votre appareil avec votre visage, votre empreinte ou votre code, et la connexion se fait automatiquement. Cela vaut surtout pour les comptes qui contiennent de l’argent ou des moyens de paiement, comme un compte bancaire, une boutique en ligne ou un compte de jeu sur un site tel que Casino Revery Play, où un identifiant volé a des conséquences immédiates.

Comment ça marche, en deux phrases

Lors de la création, votre appareil génère deux clés : une clé publique, enregistrée sur le serveur du site, et une clé privée, qui reste sur votre appareil. Pour vous connecter, le site envoie un défi que seule votre clé privée peut signer, après validation par votre biométrie ou votre code.

Pourquoi c’est plus sûr qu’un mot de passe

Aucun secret n’est tapé ni transmis, donc il n’y a rien à voler sur un faux site. Une passkey est liée au site pour lequel elle a été créée : elle ne fonctionne pas sur une copie frauduleuse, ce qui la rend naturellement résistante au phishing. Il n’y a pas non plus de mot de passe à réutiliser d’un compte à l’autre.

Où en est l’adoption en 2026 ?

Le mouvement est bien lancé. Selon l’estimation de la FIDO Alliance publiée en octobre 2026, environ 7 milliards de passkeys sont en usage dans le monde. Chez Microsoft, des centaines de millions d’utilisateurs se connectent chaque jour avec une passkey à ses services grand public, comme OneDrive, Xbox et Copilot.

Les mots de passe ne sont pas morts pour autant : beaucoup de sites ne proposent pas encore cette option.

Ce qu’il faut pour commencer

Les passkeys fonctionnent sur les iPhone et iPad récents, sur les téléphones Android à partir de la version 9, et sur Windows grâce à Windows Hello. Les navigateurs Chrome, Safari et Edge les prennent en charge. L’essentiel est d’avoir un verrouillage d’écran activé, avec empreinte, visage ou code.

Activer ses clés d’accès pas à pas

La marche à suivre varie selon l’écosystème que vous utilisez. Voici un aperçu des principaux, à adapter selon la version de votre système, car les menus évoluent.

Sur iPhone et Android

Sur iPhone, vérifiez que le Trousseau iCloud est activé, puis connectez-vous à un site compatible : l’iPhone vous propose alors de créer une passkey. Sur Android, le gestionnaire de mots de passe Google s’en charge. Vous pouvez créer une passkey pour votre compte Google depuis la page dédiée aux clés d’accès, g.co/passkeys, puis la valider avec votre empreinte ou votre code.

Sur Windows et PC

Sous Windows 11, les passkeys passent par Windows Hello, avec visage, empreinte ou code PIN. Par défaut, une passkey créée ainsi reste liée à ce PC. Pour la retrouver ailleurs, vous pouvez utiliser votre téléphone : le site affiche un QR code, vous le scannez, puis vous validez la connexion sur le téléphone.

Les pièges à éviter

La plupart des problèmes viennent de la sauvegarde et de la compatibilité entre écosystèmes. Quelques réflexes évitent les mauvaises surprises :

• garder un second moyen d’accès, comme un code de récupération ou une clé physique FIDO2

• ne pas supprimer ses anciens mots de passe avant d’avoir testé la nouvelle connexion

• vérifier que la passkey est bien synchronisée si vous utilisez plusieurs appareils

• penser à un gestionnaire multiplateforme si vous mélangez Apple, Android et Windows

Faut-il tout basculer dès maintenant ?

Pas forcément, mais commencer par ses comptes sensibles, comme la messagerie, la banque ou les achats en ligne, est une bonne idée. Activez les passkeys sur vos comptes principaux, gardez un plan de secours et testez chaque connexion avant de supprimer l’ancien mot de passe. La transition se fera compte par compte, et dans quelques mois, taper un mot de passe pourrait bien devenir l’exception.