Passkeys vs FIDO2 : comparaison approfondie pour une authentification sécurisée et sans mot de passe

By Mirko Peters · 2026-04-26 · Updated 2026-09-13

Comparez les passkeys et les clés de sécurité FIDO2 pour une authentification sans mot de passe résistante à l’hameçonnage, avec WebAuthn, Microsoft Entra ID, la récupération et le déploiement en entreprise.

Automatically translated with AI from the original post. Read the English original

Passkeys vs FIDO2 exige une décision claire et pragmatique, fondée sur le scénario d’utilisation, les exigences de sécurité et l’environnement Microsoft 365. Commencez par définir le résultat visé, vérifiez les recommandations Microsoft en vigueur, testez avec des utilisateurs représentatifs et documentez les responsabilités avant de généraliser l’approche.

Liste de contrôle pratique : passkeys vs FIDO2

• Définissez le scénario métier et le responsable désigné.
• Validez la conception avec un pilote représentatif.
• Examinez les implications en matière de sécurité, d’accès et de support.

Consultez Microsoft Learn pour les recommandations produit à jour.

Dernière révision : juillet 2026.

Sécuriser les comptes numériques sans la contrainte, ni le risque, des mots de passe devient la nouvelle référence. Si vous étudiez l’authentification moderne, pour vous-même ou pour votre organisation, il est difficile d’échapper aux termes FIDO2 et passkeys. Ces deux termes sont employés à tout bout de champ, mais que signifient-ils réellement, et comment se comparent-ils en matière de sécurité, d’ergonomie et de déploiement concret, en particulier dans des environnements très orientés Microsoft ?

Ce guide détaille l’essentiel : le fonctionnement de FIDO2 et des passkeys, ce qui les distingue et pourquoi ils transforment notre manière de nous connecter sur les appareils et les services cloud. Vous y trouverez des conseils pratiques sur les modèles de menace, la conformité, l’expérience utilisateur et les détails de mise en place d’une authentification sans mot de passe réellement durable. Que vous administriez Microsoft 365, que vous gériez votre propre service informatique ou que vous souhaitiez simplement disposer de comptes que les acteurs malveillants ne peuvent pas facilement compromettre, vous êtes au bon endroit.

Que sont FIDO2 et les passkeys ?

FIDO2 est une norme ouverte d’authentification sans mot de passe, élaborée par la FIDO Alliance et le World Wide Web Consortium (W3C). Son objectif principal est de permettre aux utilisateurs de se connecter en toute sécurité, sans mot de passe, grâce à la cryptographie à clé publique. FIDO2 repose sur deux protocoles principaux : WebAuthn (pour les sites web et les applications) et CTAP (pour la communication avec les authentificateurs, comme les téléphones ou les clés matérielles).

Les passkeys sont une implémentation conviviale de la norme FIDO2. En termes simples, une « passkey » est un identifiant FIDO2 géré pour vous par le système d’exploitation de votre appareil, comme le trousseau iCloud d’Apple, le gestionnaire de mots de passe Google ou Credential Manager de Microsoft. Les passkeys remplacent les mots de passe autonomes : il suffit de déverrouiller votre appareil ou d’utiliser la biométrie, comme Face ID, Touch ID ou Windows Hello, pour vous connecter.

Le point clé : si toutes les passkeys reposent sur FIDO2 sous le capot, tous les identifiants FIDO2 ne sont pas commercialisés comme des « passkeys ». Les passkeys offrent généralement des commodités supplémentaires, comme la synchronisation entre appareils ou une récupération simplifiée, mais les mécanismes cryptographiques qu’elles utilisent, à savoir les clés publique et privée, sont les mêmes. Là où les mots de passe sont des secrets que l’on mémorise, FIDO2 et les passkeys gardent le secret (la clé privée) verrouillé sur votre appareil et ne transmettent au serveur qu’une preuve, jamais la clé elle-même.

En résumé : l’authentification FIDO2 fournit la boîte à outils normalisée, tandis que les passkeys la mettent à votre disposition dans votre poche, sur votre ordinateur portable ou dans le cloud, tout en promettant des connexions sans mot de passe et résistantes à l’hameçonnage.

Supprimer les mots de passe et atteindre la résistance à l’hameçonnage

L’objectif principal de FIDO2 et des passkeys n’est pas seulement de simplifier la connexion, même si c’est un bel avantage supplémentaire. Il s’agit surtout de mettre enfin au rebut les mots de passe, notoirement vulnérables à l’hameçonnage, aux attaques par réutilisation et aux attaques par force brute. Avec FIDO2 et les passkeys, l’authentification repose sur la cryptographie à clé publique : aucun mot de passe n’est transmis ni stocké, et ne peut donc être hameçonné ou dérobé par un attaquant.

Vous initiez la connexion en déverrouillant votre appareil : empreinte digitale, reconnaissance faciale ou code PIN de l’appareil. Votre appareil prouve alors, de manière cryptographique, qu’il possède la clé privée, et ce d’une façon qui ne fonctionne qu’avec le bon serveur (appelé partie de confiance, ou relying party) et qui n’envoie jamais votre clé sur le réseau. Même si un pirate vous trompe avec un faux site web, la clé ne fonctionnera pas, car elle est liée à l’origine du site légitime.

Cette approche rend pratiquement obsolètes les attaques de phishing classiques, comme la collecte d’identifiants via des sites trompeurs à l’apparence identique à l’original. Il n’y a plus de mot de passe à dérober et à réutiliser ailleurs, et les attaquants ne peuvent pas rejouer des identifiants interceptés, car chaque connexion utilise un défi unique. Le credential stuffing, qui consiste à utiliser des mots de passe compromis pour tenter des connexions en masse, n’a plus non plus de prise avec les passkeys.

Les organisations adoptent cette approche non seulement pour des raisons de sécurité technique, mais aussi pour des motifs de conformité et d’activité. En déployant FIDO2 et les passkeys, notamment avec des outils comme Microsoft Defender for Office 365 et Microsoft Purview pour la gouvernance des données, les entreprises peuvent bloquer toute une catégorie d’attaques fondées sur les identifiants, sans alourdir la charge de leurs utilisateurs.

Fonctionnement interne de l’authentification FIDO2

Pour comprendre pourquoi FIDO2 est nettement plus sûr que les connexions traditionnelles, il est utile de regarder à l’intérieur de la boîte noire. Au cœur de FIDO2 se trouve la cryptographie à clé publique, qui permet de prouver votre identité auprès d’un service sans jamais exposer les secrets qui déverrouillent réellement vos comptes.

Lorsque vous configurez une connexion FIDO2 (ou enregistrez une passkey), votre appareil génère une paire de clés unique : une clé publique et une clé privée. La clé publique est transmise au service auquel vous souhaitez vous connecter, tandis que la clé privée ne quitte jamais votre appareil. À chaque connexion, le serveur met votre appareil au défi de prouver qu’il possède la clé privée, en général en signant une valeur aléatoire, et vérifie le résultat à l’aide de la clé publique qu’il conserve.

Tout cela repose sur un stockage et une vérification de l’utilisateur strictement contrôlés. Votre clé privée est enfermée dans un enclave sécurisé, accessible uniquement lorsque vous déverrouillez votre appareil ou fournissez des données biométriques. C’est en grande partie pour cette raison que l’adoption de FIDO2 et des passkeys explose dans les systèmes capables d’imposer une sécurité adossée au matériel, comme Microsoft Windows, Apple macOS/iOS et Android.

Nous détaillerons dans les sections suivantes le fonctionnement précis des flux d’enregistrement et d’authentification, ainsi que la manière dont vos identifiants sont protégés et liés à votre appareil.

Flux d’enregistrement et d’authentification FIDO2 expliqué

1. Enregistrement : lorsque vous vous inscrivez pour la première fois à un service avec FIDO2, votre appareil crée une nouvelle paire de clés cryptographiques. La clé publique est envoyée au service (la partie utilisatrice, ou relying party), tandis que la clé privée reste sur votre appareil.
2. Attestation : l’appareil peut prouver au service qu’il s’agit d’un authentificateur légitime en fournissant un certificat d’attestation, ce qui garantit que l’identifiant a été généré dans un matériel sécurisé.
3. Authentification : lors de la connexion, le service envoie un défi unique. Votre appareil signe ce défi avec la clé privée, après vérification de l’utilisateur par code PIN, empreinte digitale ou autre méthode.
4. Validation côté serveur : le défi signé est renvoyé au serveur, qui le vérifie à l’aide de la clé publique enregistrée. S’il est valide, vous êtes connecté : aucun secret n’est échangé, rien n’est susceptible d’être hameçonné.

Stockage sécurisé et liaison à l’appareil pour les passkeys

• Sécurité adossée au matériel : les passkeys et les identifiants FIDO2 sont souvent stockés dans du matériel sécurisé dédié, comme les Trusted Platform Modules (TPM), l’Secure Enclave (Apple) ou la puce Titan M (Google). Cela isole vos clés du reste de l’appareil, ce qui rend les attaques beaucoup plus difficiles.
• Authentification biométrique ou par code PIN : pour utiliser votre passkey, vous devez la déverrouiller, généralement par une méthode biométrique ou le code PIN de l’appareil. Les données biométriques elles-mêmes ne quittent jamais le matériel et ne sont jamais envoyées au service en ligne, ce qui préserve la confidentialité de vos éléments d’identité.
• Liaison à l’appareil : la paire de clés cryptographiques est rattachée à votre appareil physique, et pas seulement à votre compte en ligne. Un éventuel attaquant doit donc compromettre votre appareil et contourner les protections locales pour y accéder.
• Protections lors de l’export et de la synchronisation des identifiants : pour les plateformes qui synchronisent les passkeys entre appareils (comme le trousseau iCloud ou le gestionnaire de mots de passe Google), les identifiants sont chiffrés de bout en bout. Seuls vos appareils, après une authentification appropriée, peuvent lire ou utiliser les passkeys.
• Sécurité du cycle de vie : Les appareils peuvent effacer de manière sécurisée les identifiants lorsque vous les réinitialisez ou les mettez hors service. Les organisations peuvent appliquer des accès conditionnels et une gouvernance grâce à des solutions telles que Microsoft Entra ID et les stratégies d’accès conditionnel afin de contrôler l’utilisation des identifiants et de remédier aux compromissions.

Comparaison des passkeys synchronisées et des solutions liées au logiciel

Toutes les passkeys ne se valent pas. Une fois l’authentification sans mot de passe mise en place, vous remarquerez rapidement des différences dans la gestion de vos identifiants, principalement selon qu’ils sont synchronisés entre vos appareils via le cloud, ou verrouillés sur un seul appareil. Ces choix d’architecture ont des conséquences réelles sur l’expérience utilisateur et sur le risque.

Les passkeys synchronisées, comme celles proposées par le trousseau iCloud sur les appareils Apple ou par le gestionnaire de mots de passe Google sur Android, vous permettent d’accéder à vos connexions depuis vos téléphones, tablettes et ordinateurs, souvent avec un confort remarquable. Mais cela s’accompagne de compromis en matière de sécurité et de fiabilité, notamment en cas d’exposition potentielle si le fournisseur cloud est compromis ou si la liaison de synchronisation est interrompue.

En revanche, les passkeys liées au logiciel résident entièrement sur un seul appareil. Si vous souhaitez passer à un nouvel appareil, vous devez les transférer ou les réenregistrer manuellement. C’est parfois un léger désagrément, parfois un véritable obstacle pour les organisations qui gèrent des milliers d’utilisateurs et des mises à niveau d’appareils automatisées.

Dans la suite, nous détaillerons les raisons pour lesquelles ces modèles comptent, les risques propres à chaque approche et la manière de choisir le bon modèle pour votre environnement, que vous protégiez des connexions personnelles ou que vous déployiez l’authentification sans mot de passe à l’échelle d’une entreprise entière.

Passkeys synchronisées entre appareils : avantages et risques

• Confort multi-appareils : Les passkeys synchronisées (comme celles d’iCloud ou du gestionnaire de mots de passe Google) vous permettent de vous connecter instantanément depuis n’importe quel appareil de votre écosystème, pour une expérience fluide sur les téléphones, tablettes et ordinateurs portables.
• Récupération automatisée : Vous perdez un appareil ? Vos passkeys restent protégées et récupérables depuis un autre appareil de confiance, ce qui réduit les scénarios de verrouillage de compte et les sollicitations du support.
• Risques liés à la dépendance au cloud : Les identifiants transitent par le cloud, même chiffrés. Le risque augmente donc si le fournisseur de synchronisation est compromis ou subit une panne, ce qui rend votre posture de sécurité dépendante d’un tiers.
• Écosystèmes fermés : La synchronisation fonctionne généralement mieux au sein d’un même écosystème, comme celui d’Apple ou de Google, ce qui crée des frictions lorsque les utilisateurs passent d’iOS à Android, Windows ou macOS.

Passkeys liées au logiciel et compromis de la synchronisation des appareils

• Sécurité strictement locale : Ces passkeys sont étroitement liées à un seul appareil, ce qui signifie qu’aucun cloud tiers ne peut les exposer en cas de piratage. C’est idéal pour les environnements exigeant un isolement plus strict.
• Portabilité limitée : Si vous changez d’appareil, vous devez exporter, migrer ou réinitialiser manuellement vos passkeys. Cela génère une charge supplémentaire, mais peut réduire la surface d’attaque.
• Récupération délicate : Si votre appareil est perdu ou tombe en panne, vos passkeys locales le sont aussi. Prévoir une sauvegarde sécurisée ou des procédures de récupération claires est indispensable pour éviter des verrouillages définitifs.
• Adéquation aux cas d’usage : Les organisations soumises à des exigences élevées de garantie ou à une réglementation (par exemple dans le secteur financier ou public) privilégient souvent cette méthode pour les comptes à privilèges et les systèmes sensibles, malgré l’effort opérationnel supplémentaire.

Clés de sécurité matérielles et authentificateurs externes expliqués

Les clés de sécurité matérielles sont des dispositifs physiques dédiés, utilisés pour l’authentification sans mot de passe avec FIDO2 et les systèmes de passkeys. Elles existent sous diverses formes, généralement des clés USB, NFC ou Bluetooth, que vous portez sur un porte-clés ou que vous gardez à proximité de votre poste de travail. Parmi les modèles courants figurent YubiKey, SoloKey et Feitian.

Ce qui distingue les clés de sécurité matérielles, c’est leur conception qui résiste à la falsification. Les secrets cryptographiques (clés privées) sont générés à l’intérieur de l’appareil et n’en sortent jamais, même si l’ordinateur ou le téléphone connecté est compromis. Cela les rend extrêmement résistantes au hameçonnage comme aux logiciels malveillants, raison pour laquelle elles sont privilégiées pour les comptes administrateur, root ou à forte valeur.

Contrairement aux clés d’accès (passkeys) liées à une plateforme, les clés matérielles reposent sur des normes du secteur comme le Client to Authenticator Protocol (CTAP) pour interagir avec les appareils et les API des navigateurs (comme WebAuthn). Elles peuvent donc généralement être utilisées avec de nombreux systèmes, sans être liées aux plateformes Apple, Google ou Microsoft, à condition que l’application cible prenne en charge FIDO2.

Certains environnements, en particulier les secteurs réglementés ou à haut risque, imposent l’utilisation de ces clés pour des raisons de conformité ou pour le niveau de sécurité AAL3 (le niveau d’assurance le plus élevé défini par le NIST SP 800-63B). Certes, elles sont moins pratiques que les clés d’accès synchronisées sur l’ensemble de vos appareils, mais elles offrent une sécurité de tout premier ordre pour les rôles où une compromission n’est tout simplement pas envisageable.

Cycle de vie des identifiants et sécurité à chaque étape

Passer à FIDO2 et aux clés d’accès ne se limite pas à de meilleurs écrans de connexion : il s’agit de renforcer la sécurité sur l’ensemble du cycle de vie des identifiants. Chaque étape, de la création initiale d’une clé d’accès à son utilisation, son stockage ou sa révocation, présente des défis et des surfaces d’attaque différents.

Comprendre ce cycle de vie aide les organisations à identifier où concentrer leurs contrôles de sécurité et leur gouvernance. Par exemple, la création d’un identifiant nécessite une attestation et une liaison robustes, tandis que son utilisation active doit être surveillée afin de détecter les tentatives d’hameçonnage ou de compromission de l’appareil. Le stockage et les sauvegardes, toujours un point faible avec les mots de passe, peuvent devenir un atout grâce à des identifiants correctement liés à l’appareil ou à un chiffrement robuste dans le cloud.

La gestion du cycle de vie couvre aussi un aspect moins séduisant, mais essentiel : la rotation, la révocation et la récupération de compte. Savoir qui possède quelles clés, garantir un nettoyage rigoureux lorsqu’un collaborateur quitte l’organisation et pouvoir réagir à la perte ou à la compromission d’un appareil sans nuire à la productivité font tous partie d’une stratégie d’authentification sans mot de passe bien pensée.

Dans les environnements Microsoft, l’intégration de bonnes pratiques de gestion du cycle de vie des identifiants s’inscrit pleinement dans une gouvernance des données et une stratégie d’accès plus larges, comme le présentent des ressources telles que Microsoft 365 Data Access Governance, où la propriété, la responsabilité et les processus de revue sont essentiels à une collaboration sécurisée.

Création des identifiants, attaques et gestion des états

• Création sécurisée : générez toujours les identifiants FIDO2 dans un magasin de clés adossé au matériel, avec une attestation robuste pour garantir l’authenticité de l’appareil d’origine.
• Résistance à l’hameçonnage : les flux d’authentification par clé d’accès et FIDO2 sont intrinsèquement résistants à l’hameçonnage, car aucun secret n’est transmis et les challenges de signature sont uniques à chaque session.
• Attaques par rejeu et attaques MITM : des challenges cryptographiques uniques et à usage unique empêchent les attaquants de rejouer des réponses interceptées ou de mener des attaques de type « homme du milieu ».
• Gestion des états : vérifiez régulièrement l’état des identifiants, révoquez les clés inutilisées ou compromises et tenez un inventaire à jour, en particulier pour les comptes privilégiés ou à accès étendu.

Récupération, révocation et limites des identifiants

Aucun système n’est parfait : même les clés d’accès et les clés de sécurité les plus robustes peuvent être perdues, volées ou endommagées. Il est essentiel de prévoir la récupération et la révocation des identifiants, surtout si vous faites passer votre équipe ou votre organisation à une authentification sans mot de passe à grande échelle.

En cas de perte d’une clé d’accès ou d’un identifiant FIDO2, les options de récupération dépendent de la manière dont il est géré. Pour les clés d’accès synchronisées (comme le trousseau iCloud d’Apple ou le gestionnaire de mots de passe Google), vous pouvez généralement restaurer vos identifiants sur un nouvel appareil une fois l’authentification au niveau de l’appareil et les étapes de récupération franchies. Cela limite les interruptions de service, mais repose sur la confiance accordée aux mécanismes de sécurité et de récupération du fournisseur cloud.

Les clés de sécurité ajoutent un niveau de complexité : la perte d’une clé matérielle implique de disposer de clés de secours enregistrées ou de procédures d’intervention administrateur établies. Sans cela, vous pourriez être totalement bloqué. La révocation est gérée côté serveur : dès qu’une clé est signalée comme perdue, la clé publique est supprimée de votre profil, ce qui rend l’identifiant perdu inutilisable.

En revanche, trop s’appuyer sur les fonctions de sauvegarde et de récupération peut fragiliser la sécurité : les processus de récupération doivent être durcis contre l’ingénierie sociale et les menaces internes. Des revues fréquentes et l’automatisation via des outils comme Microsoft Purview Audit peuvent aider les organisations à surveiller l’utilisation des identifiants, les événements de révocation et les risques potentiels pour la conformité ou les besoins d’investigation forensique.

En définitive, choisir une stratégie de récupération et de révocation revient à concilier la commodité pour les utilisateurs et des contrôles robustes : il n’existe pas de solution universelle. Cartographier les scénarios de perte d’appareil et déployer des mécanismes de récupération de compte à plusieurs niveaux sont indispensables à tout déploiement sans mot de passe sérieux.

Clés d’accès ou clés de sécurité : bien choisir

Au moment de trancher, le choix entre clés d’accès et clés de sécurité matérielles dépend de votre cas d’usage, des besoins de confort des utilisateurs et de votre contexte de menaces. Les deux reposent sur un socle commun, les protocoles FIDO2 et la cryptographie à clé publique, mais leur fonctionnement au quotidien diffère nettement.

Les clés d’accès brillent dans les environnements où les utilisateurs ont besoin d’un accès fluide sur plusieurs appareils : pensez aux utilisateurs finaux équipés de téléphones, de tablettes, d’ordinateurs portables et d’applications cloud comme Microsoft 365. Leur force réside dans l’ergonomie : déverrouillez votre appareil et vous êtes connecté, y compris sur un parc d’appareils personnels ou professionnels.

Les clés de sécurité, en revanche, offrent le niveau de sécurité le plus élevé, ce qui est crucial pour les administrateurs, les utilisateurs disposant de privilèges ou toute personne ne pouvant absolument pas prendre le risque d’une compromission. Leur portabilité les rend idéales lorsqu’il faut s’authentifier depuis des systèmes non gérés ou publics. L’inconvénient : si vous oubliez de l’emporter, si vous la perdez ou si vous la cassez, la restauration de l’accès peut s’avérer plus lourde.

Dans les contextes réglementés et à haut risque, l’intégration de clés de sécurité dans une approche Zero Trust (comme celle détaillée dans Zero Trust for Microsoft 365) garantit une vérification continue, capable de suivre des modèles de menaces en évolution rapide, tout en limitant les frictions pour les utilisateurs.

Applications pour les entreprises et les secteurs réglementés : 1Kosmos 1Key et au-delà

1. 1Kosmos 1Key pour une assurance élevée : Cette solution propose une authentification sans mot de passe conforme à FIDO2, conçue pour répondre aux exigences strictes du niveau AAL3 défini par la norme NIST SP 800-63B. Elle combine une vérification biométrique, la confiance accordée à l’appareil et des facteurs d’authentification dynamiques, destinés aux utilisateurs privilégiés et aux comptes à haut risque.
2. Intégration renforcée à l’entreprise : 1Key s’intègre sans heurt aux plateformes professionnelles de Microsoft, en automatisant le provisionnement des identités, la gestion du cycle de vie des accès et leur révocation pour des déploiements cloud à grande échelle.
3. Conformité réglementaire : La plateforme fournit, dès sa mise en service, des correspondances de conformité pour les secteurs réglementés (finance, santé et administration publique), permettant la vérification d’identité, une journalisation rigoureuse et des pistes d’audit répondant aux obligations strictes de reporting.
4. Accès sécurisé pour les citoyens et les collaborateurs : Les organisations qui déploient des applications cloud ou des portails destinés aux citoyens bénéficient d’un accès sans mot de passe tout en conservant la vérification d’identité et la gouvernance, ce qui réduit les lourdeurs opérationnelles liées aux identifiants perdus ou aux réinitialisations de mots de passe.
5. Synergie avec Power Platform et la gouvernance : Intégrer des solutions comme 1Key dans des cadres de gouvernance plus larges (comme détaillé dans Power Platform governance best practices) permet d’aligner la sécurité fondée sur l’identité avec les stratégies d’entreprise relatives aux données, aux connecteurs et aux environnements.

Améliorer l’expérience utilisateur et l’authentification multi-appareils

S’il est un point sur lequel utilisateurs et administrateurs s’accordent, c’est que les mots de passe sont une véritable plaie. Les clés d’accès visent à y remédier en rendant la connexion simple, intuitive et moins stressante, en particulier sur plusieurs appareils et plateformes cloud. Avec les clés d’accès, plus besoin de mémoriser des phrases complexes ni de réinitialiser son mot de passe après chaque campagne trimestrielle de « sensibilisation à la sécurité ».

L’authentification multi-appareils constitue un atout majeur des clés d’accès. Une fois enregistrées dans le trousseau de votre compte (qu’il s’agisse d’Apple, de Google ou de Microsoft), vous bénéficiez de connexions quasi instantanées sur les appareils de votre écosystème. Valider une connexion par simple reconnaissance faciale ou empreinte digitale accélère non seulement les choses, mais réduit considérablement les frictions pour les utilisateurs qui passent d’un appareil ou d’un lieu à l’autre.

Du point de vue de l’adoption, réduire les frictions est essentiel. Beaucoup d’équipes informatiques redoutent une levée de boucliers face à des stratégies de mots de passe imposées ou à la hausse des tickets du support pour cause de verrouillage de comptes. Les clés d’accès limitent ce risque : les utilisateurs ne gèrent plus de mots de passe, ni de lassitude face aux connexions répétées, ni de boucles de réinitialisation. Les obstacles à l’adoption tiennent plutôt à la compatibilité des écosystèmes ou à la configuration initiale des appareils, deux aspects qui progressent rapidement.

Les organisations avisées priorisent leurs stratégies de déploiement en pilotant les passkeys auprès de petites équipes, en recueillant leurs retours et en automatisant l'inscription des appareils. Le processus reste ainsi maîtrisé et convivial, sans renoncer à la sécurité.

Questions fréquentes, clés de sécurité ou passkeys, et sécurité de l'accès à distance

• Les passkeys et les clés de sécurité sont-elles la même chose ? Pas tout à fait. Les passkeys sont des identifiants FIDO2 numériques gérés par votre appareil ou votre cloud, tandis que les clés de sécurité sont des dispositifs physiques que vous branchez ou approchez pour vous authentifier. Les deux reposent sur le même socle cryptographique.
• Peut-on utiliser les passkeys sur les appareils Apple, Google et Windows ? Dans une certaine mesure. Les passkeys synchronisées fonctionnent au mieux au sein d'un même écosystème ; la prise en charge multiplateforme réelle existe, mais elle peut être inégale, et la compatibilité des navigateurs avec les fonctionnalités FIDO2 varie.
• Quelqu'un peut-il voler mon passkey à distance ? Sauf si votre appareil (et le compte cloud de sauvegarde associé) est compromis, le vol à distance de passkeys est très peu probable. Les clés elles-mêmes ne quittent jamais votre appareil sous forme non chiffrée.
• Les passkeys sont-elles sûres pour le télétravail et l'accès au cloud ? Oui, à condition de les associer à des stratégies d'appareils et à des outils comme Microsoft Defender et Purview. Les passkeys offrent une authentification à distance robuste et réduisent nettement les risques liés à l'hameçonnage, aux logiciels malveillants et au vol d'identité.
• Les gestionnaires de mots de passe peuvent-ils stocker des passkeys ? Les versions récentes de gestionnaires comme 1Password, iCloud Keychain et Gestionnaire de mots de passe Google prennent désormais en charge les passkeys. Vérifiez toutefois toujours la compatibilité et la prise en charge de FIDO2/WebAuthn lorsque vous les intégrez à votre flux d'authentification.

Conclusion, comparaison de la sécurité et recommandations finales

1. Point clé sur la sécurité : les passkeys comme les identifiants FIDO2 éliminent les mots de passe et leurs faiblesses. Les passkeys l'emportent en matière de simplicité d'usage pour la plupart des utilisateurs, tandis que les clés de sécurité matérielles restent incontournables dans les scénarios exigeant une garantie élevée.
2. Facilité d'usage ou portabilité : les passkeys synchronisées offrent des connexions fluides sur plusieurs appareils, ce qui en fait une excellente option pour l'utilisateur moyen ou un parc d'entreprise. Les clés matérielles sont portables, mais elles exigent de garder un jeton physique à portée de main.
3. Stratégie de déploiement : dans les environnements réglementés, mettez en place une sécurité en couches : combinez les passkeys pour les utilisateurs généraux, les clés de sécurité pour les administrateurs et des solutions d'entreprise comme 1Kosmos 1Key pour les flux de travail conformes à l'AAL3.
4. Cycle de vie et récupération : prévoyez les flux de récupération et de révocation avant la migration. Les sauvegardes et les audits (voir Governance for AI and access control) sont essentiels pour éviter les interruptions de service et la dérive de conformité.
5. Pérennité : suivez l'évolution des normes d'interopérabilité et de conformité, en particulier dans les environnements Microsoft 365 et Azure, afin de garder une longueur d'avance face aux nouveaux enjeux d'identité et de menaces.

Prochaines étapes et pour aller plus loin sur la sécurité des identités

• Documentation Microsoft : consultez la documentation officielle sur FIDO2, les passkeys et le déploiement sans mot de passe dans Microsoft 365 et Azure.
• Podcasts sur la sécurité des identités : écoutez les discussions pratiques sur l'audit et la gouvernance dans M365.fm: Auditing User Activity with Microsoft Purview.
• Guides techniques : consultez les blogs techniques sur la configuration et le dépannage de l'authentification FIDO2 et par passkeys à grande échelle en entreprise.
• Bonnes pratiques de conformité : étudiez la norme NIST SP 800-63B et découvrez comment les principales solutions sans mot de passe s'alignent sur les niveaux de garantie (IAL, AAL).
• Forums communautaires : rejoignez les forums consacrés à la sécurité, à Microsoft 365 et à la gestion des identités pour poser vos questions et partager des retours d'expérience concrets avec vos pairs.

🎧 À écouter également

• Identity Governance in Microsoft Entra

  Découvrez les bonnes pratiques de propriété et de contrôle d'accès pour Microsoft 365.

• Microsoft 365 Governance Operating Model

  Explorez les décisions qui rendent l'adoption technologique durable.

• AI Agents – Simply Explained

  Comprenez le contexte de gouvernance du travail assisté par l'IA.

Passkeys vs FIDO2 : recommandations pratiques pour l'entreprise

Les passkeys et les clés de sécurité FIDO2 offrent toutes deux une authentification résistante au hameçonnage, mais elles présentent des compromis différents en matière de portabilité, de récupération, de contrôle des appareils et d’expérience utilisateur. Un déploiement réussi définit le modèle d’identifiants, le parcours d’enregistrement, le processus de récupération, les exigences applicables aux utilisateurs privilégiés et les exceptions pour les applications héritées.

Liste de contrôle de mise en œuvre

1. Inventoriez les fournisseurs d’identité, les navigateurs, les appareils et les applications prises en charge.
2. Choisissez, pour chaque profil de risque, des identifiants synchronisés ou liés à l’appareil.
3. Enregistrez plusieurs authentificateurs avant l’application de la stratégie.
4. Protégez la récupération de compte et la vérification effectuée par le support.
5. Testez le dispositif auprès des utilisateurs privilégiés et mesurez les échecs avant un déploiement généralisé.

Erreurs courantes

• Imposer une connexion sans mot de passe sans chemin de récupération.
• Supposer que chaque navigateur et chaque application héritée prend en charge le même identifiant.
• Autoriser des authentificateurs partagés, ce qui affaiblit la traçabilité des actions.
• Ignorer le cycle de vie des appareils et les procédures en cas de perte d’un authentificateur.

Questions fréquentes

Qu’est-ce qu’un passkey ?

Un passkey est un identifiant FIDO qui utilise la cryptographie à clé publique et se déverrouille par un geste sur l’appareil, un élément biométrique ou un code PIN local.

Qu’est-ce que FIDO2 ?

FIDO2 est la norme d’authentification fondée sur WebAuthn et sur le protocole Client to Authenticator, qui permet une connexion résistante au hameçonnage.

Les passkeys et FIDO2 sont-ils la même chose ?

Les passkeys constituent une expérience d’identification conviviale reposant sur les normes FIDO. FIDO2 désigne l’écosystème technique et les protocoles d’authentification dans leur ensemble.

Les passkeys sont-ils plus sûrs que les mots de passe ?

Oui. Les passkeys utilisent une cryptographie à clé publique liée à l’origine du site : un site web ne reçoit donc jamais de secret réutilisable que des attaquants pourraient voler ou rejouer.

Les passkeys sont-ils résistants au hameçonnage ?

Oui, à condition d’être correctement mis en œuvre. L’identifiant est lié à l’origine du site légitime et ne révèle aucun mot de passe à une page frauduleuse.

Une YubiKey est-elle un passkey FIDO2 ?

Une YubiKey peut stocker des identifiants FIDO2 et faire office de clé de sécurité. Son appellation de passkey dépend de l’identifiant et de la terminologie du produit.

Les passkeys sont-ils plus sûrs qu’une YubiKey ?

Aucune des deux solutions n’est systématiquement plus sûre. Les passkeys synchronisés améliorent la récupération et la facilité d’utilisation, tandis que les clés liées au matériel offrent un contrôle fort de l’appareil et une séparation nette des usages.

Qu’est-ce qu’un passkey synchronisé ?

Un passkey synchronisé est sauvegardé par l’intermédiaire d’un gestionnaire d’identifiants approuvé ou d’un écosystème de plateforme, afin d’être disponible sur plusieurs appareils.

Qu’est-ce qu’un passkey lié à l’appareil ?

Un passkey lié à l’appareil reste sur un seul authentificateur ou appareil et n’est pas synchronisé avec une autre plateforme.

FIDO2 remplace-t-il complètement les mots de passe ?

Il peut remplacer les mots de passe pour les applications prises en charge, mais les organisations doivent toujours définir des stratégies de récupération, de gestion de l’authentification héritée et de cycle de vie des comptes.

Microsoft Entra ID prend-il en charge les passkeys ?

Microsoft Entra ID prend en charge les clés de sécurité FIDO2 ainsi que les options d’authentification liées aux passkeys, sous réserve de la configuration du locataire et des fonctionnalités actuelles du service.

Quel est le lien entre WebAuthn et les passkeys ?

WebAuthn est l’API du navigateur et de la plateforme qui permet aux sites web et aux fournisseurs d’identité de créer et d’utiliser des identifiants à clé publique.

Que se passe-t-il si un utilisateur perd son appareil passkey ?

L’utilisateur doit disposer d’un autre authentificateur enregistré ou d’une méthode de récupération approuvée. Les entreprises doivent enregistrer plusieurs authentificateurs avant d’imposer un accès sans mot de passe.

Les passkeys peuvent-ils être utilisés sur plusieurs appareils ?

Les passkeys synchronisés peuvent être disponibles sur les appareils pris en charge, tandis que les identifiants liés à l’appareil doivent être enregistrés sur chaque authentificateur.

Les passkeys peuvent-ils être partagés entre plusieurs utilisateurs ?

Non. Les identifiants doivent représenter une seule personne ou une identité de charge de travail approuvée. Les authentificateurs partagés affaiblissent la traçabilité.

Les passkeys protègent-ils contre le rejeu d’identifiants ?

Oui. La clé privée reste sur l’authentificateur, et chaque authentification comporte un défi qui empêche tout simple rejeu.

Un passkey peut-il être volé ?

Un attaquant peut voler un appareil, mais l’identifiant est normalement protégé par un facteur de déverrouillage local et n’expose aucun mot de passe réutilisable.

Qu’est-ce que l’authentification sans mot de passe ?

L’authentification sans mot de passe vérifie un utilisateur à l’aide d’un authentificateur cryptographique, d’un élément biométrique, d’un code PIN ou d’une clé de sécurité, au lieu d’un mot de passe mémorisé.

Quels sont les inconvénients des passkeys ?

Les difficultés concernent notamment la récupération, l’interopérabilité entre plateformes, les scénarios d’appareils partagés, les applications héritées et la compréhension du fonctionnement par les utilisateurs pendant le déploiement.

Comment les entreprises doivent-elles gérer la récupération des passkeys ?

Exigez plusieurs authentificateurs, définissez la procédure de vérification du support, protégez les méthodes de récupération et surveillez les événements d’enregistrement et de réinitialisation.

Les passkeys fonctionnent-ils sur les appareils mobiles ?

Oui. Les systèmes d’exploitation mobiles pris en charge peuvent créer ou utiliser des clés d’accès, au moyen d’authentificateurs de plateforme ou de clés de sécurité externes.

Les clés d’accès fonctionnent-elles avec tous les navigateurs ?

La prise en charge dépend du navigateur, du système d’exploitation, du fournisseur d’identité et du type d’identifiant. Testez les parcours utilisateur cibles avant le déploiement.

Les clés d’accès conviennent-elles aux administrateurs ?

Oui. Elles sont particulièrement utiles pour les utilisateurs disposant de privilèges élevés, qui doivent recourir à une authentification résistante à l’hameçonnage et utiliser des identités d’administration distinctes.

Quel est l’effet des clés d’accès sur l’accès conditionnel ?

Elles peuvent satisfaire aux exigences d’authentification forte lorsque le fournisseur d’identité reconnaît l’authentificateur et que les conditions de la stratégie sont remplies.

Comment déployer les clés d’accès ?

Commencez par les utilisateurs privilégiés et les utilisateurs à haut risque, mettez en place une procédure de récupération, réalisez un pilote avec des appareils représentatifs, puis étendez le déploiement en suivant les indicateurs d’inscription et de support.

Que faut-il surveiller après le déploiement ?

Surveillez les inscriptions, les échecs d’authentification, les événements de récupération, les contournements de stratégie, le volume de sollicitations du support technique et le risque de connexion.

Les clés d’accès éliminent-elles l’authentification multifacteur (MFA) ?

Une clé d’accès peut offrir une expérience d’authentification multifacteur résistante à l’hameçonnage lorsqu’elle combine la possession de l’authentificateur avec un facteur de déverrouillage local.

Les clés d’accès peuvent-elles protéger les comptes de service ?

Les clés d’accès destinées aux personnes ne remplacent pas l’identité des charges de travail. Pour les services, utilisez des identités managées, des certificats ou d’autres identifiants appropriés pour les entités non humaines.

Quel est le principal avantage pour l’entreprise ?

Le principal avantage est la réduction du risque d’hameçonnage et de réinitialisation de mots de passe, tout en améliorant la sécurité des connexions et l’expérience utilisateur.

Quelle est la première étape de mise en œuvre ?

Inventoriez les applications et les utilisateurs, vérifiez la prise en charge par le fournisseur d’identité, définissez la procédure de récupération et réalisez un pilote auprès d’un petit groupe avant d’imposer la connexion sans mot de passe.

Explorez les ressources associées de M365.fm : M365.fm Learning Hub, liste de contrôle de la gouvernance Microsoft 365 et modèle de sécurité de Microsoft Copilot.