Passkeys synchronisées ou liées à l’appareil dans Microsoft Entra ID : lequel choisir ?

By Mirko Peters · 2026-10-28

Comparez les passkeys synchronisées et les passkeys liées à l’appareil dans Microsoft Entra ID. Découvrez quelle méthode d’authentification convient aux utilisateurs courants en entreprise et à celle des administrateurs informatiques.

Automatically translated with AI from the original post. Read the English original

Lors de la mise en œuvre d’une authentification moderne, le choix entre passkeys synchronisées et passkeys liées à l’appareil dans Microsoft Entra ID est sans doute la décision d’architecture la plus critique pour les responsables informatiques. Si les deux options éliminent les mots de passe vulnérables et déjouent l’hameçonnage assisté par l’IA, elles gèrent très différemment la perte d’appareil, la synchronisation dans le cloud et la visibilité pour les administrateurs.

Points clés

• Les passkeys synchronisées stockent les identifiants dans des comptes cloud de confiance, comme iCloud ou Google, ce qui leur permet de circuler d’un appareil à l’autre et de survivre à la perte d’un téléphone.
• Les passkeys liées à l’appareil résident strictement sur un seul appareil physique, comme une clé de sécurité matérielle ou l’application Microsoft Authenticator, et ne peuvent pas être synchronisées.
• Microsoft recommande les passkeys synchronisées pour les collaborateurs courants, en raison de leur grande simplicité d’usage et de la réduction des frictions.
• Les administrateurs informatiques et les comptes à privilèges élevés doivent utiliser des clés matérielles liées à l’appareil afin de conserver un contrôle total sur les identifiants.
• Microsoft Entra ID prend en charge les deux types d’identifiants, ce qui permet aux organisations de concilier productivité des utilisateurs et stratégies de sécurité rigoureuses.

Comprendre les passkeys synchronisées en entreprise

Les passkeys synchronisées incarnent le meilleur compromis entre sécurité et simplicité pour le lieu de travail moderne. Lorsqu’un utilisateur crée une passkey synchronisée sur son appareil mobile ou son poste de travail, la clé privée est chiffrée et stockée dans un compte auprès d’un fournisseur cloud de confiance, comme le trousseau iCloud d’Apple, le gestionnaire de mots de passe de Google ou des solutions tierces telles que 1Password et Dashlane. Cette architecture permet à l’identifiant de suivre l’utilisateur sans heurt à travers son écosystème.

Si un collaborateur achète un nouvel ordinateur portable ou remplace un smartphone endommagé, la connexion à son compte auprès du fournisseur cloud rétablit immédiatement l’accès à ses passkeys. Selon les données mises en avant par Microsoft, environ 99 % des utilisateurs enregistrent avec succès des passkeys synchronisées, et leurs connexions sont environ quatorze fois plus rapides qu’avec un mot de passe associé à l’authentification multifacteur. Pour les travailleurs de l’information qui utilisent au quotidien des applications Microsoft 365 comme Teams et Outlook, les passkeys synchronisées suppriment les frictions tout en renforçant la sécurité globale de l’organisation.

Cette simplicité comporte toutefois un point de vigilance pour les administrateurs informatiques. Comme les passkeys synchronisées se répliquent entre les écosystèmes cloud, les administrateurs perdent le contrôle précis des appareils qui détiennent une copie de la clé privée. Cette absence d’isolement matériel rend les options synchronisées peu adaptées aux rôles informatiques à privilèges élevés, pour lesquels une maîtrise absolue des frontières des identifiants est primordiale.

Le rôle des passkeys liées à l’appareil pour les utilisateurs privilégiés

Contrairement à leurs homologues synchronisées dans le cloud, les passkeys liées à l’appareil sont ancrées de façon permanente à un seul élément matériel physique. La clé privée est générée directement sur l’appareil et ne peut physiquement pas en sortir. Cette catégorie comprend les clés de sécurité matérielles dédiées ainsi que les passkeys stockées localement dans l’application Microsoft Authenticator.

Pour les administrateurs informatiques et les comptes qui détiennent les clés du royaume de l’entreprise, les passkeys liées à l’appareil constituent la référence absolue. Si un collaborateur perd un téléphone sur lequel une passkey liée à l’appareil est configurée dans l’application Authenticator, cette passkey précise disparaît avec le matériel. Aucune sauvegarde dans le cloud ne permet de la restaurer automatiquement, ce qui supprime entièrement le risque de réplication des identifiants dans le cloud.

Cette approche entraîne des difficultés de récupération si le jeton physique est perdu ou endommagé, mais elle offre le niveau de sécurité intransigeant exigé pour la gestion de l’infrastructure Azure et pour les rôles d’administrateur général. Les organisations peuvent appliquer ces paramètres stricts dans Microsoft Entra ID en exploitant les paramètres d’attestation pour imposer une authentification adossée au matériel.

Gérer les compromis dans Microsoft Entra ID

Déployer les passkeys avec succès à l’échelle d’une entreprise suppose de prendre en compte les compromis opérationnels inhérents à chaque format. Le déploiement des passkeys n’est plus un concept futuriste : Microsoft Entra ID faisant des passkeys l’expérience de connexion par défaut et supprimant progressivement les codes SMS et vocaux hérités, les organisations doivent concevoir une stratégie à deux volets.

Pour la majorité des collaborateurs, le déploiement de passkeys synchronisées garantit un taux d’adoption élevé, réduit au minimum les tickets de réinitialisation de mot de passe adressés au support et améliore nettement le taux de réussite des authentifications. L’expérience reste rapide, reposant sur des invites biométriques familières, comme la reconnaissance faciale ou l’empreinte digitale.

À l’inverse, pour les utilisateurs privilégiés, imposer des clés de sécurité matérielles liées à l’appareil crée un périmètre infranchissable face aux menaces cyber sophistiquées. Les entreprises doivent définir des processus de récupération clairs pour les jetons matériels perdus, en veillant à ce que les administrateurs disposent de capacités de révocation rapides dans Entra ID sans compromettre l’intégrité du système d’identité.

Conclusion

Choisir entre passkeys synchronisées et passkeys liées à l’appareil ne consiste pas à trouver une solution universelle unique, mais à associer le bon contrôle de sécurité au bon profil d’utilisateur. En déployant des passkeys synchronisées pour la productivité quotidienne et en réservant les clés matérielles liées à l’appareil aux équipes d’administration, les organisations peuvent atteindre un niveau de sécurité optimal sans sacrifier l’expérience utilisateur. Pour explorer plus en détail les mécanismes techniques sous-jacents à ces identifiants, vous pouvez écouter l’épisode complet du podcast M365 FM, une discussion d’experts sur la sécurité du cloud Microsoft moderne.

Questions fréquentes

Puis-je utiliser des passkeys synchronisées pour les comptes d’administration dans Microsoft Entra ID ?

Bien que techniquement possible, Microsoft recommande vivement des clés matérielles liées à l’appareil pour les administrateurs informatiques et les rôles hautement privilégiés, afin d’empêcher la réplication non autorisée des identifiants dans le cloud.

Que se passe-t-il pour une passkey synchronisée si je perds mon smartphone ?

Rien de catastrophique. Les passkeys synchronisées étant sauvegardées de manière sécurisée dans le compte de votre fournisseur cloud de confiance, la connexion à un nouvel appareil avec ce même compte restaure immédiatement vos passkeys.

Les passkeys liées à l’appareil sont-elles compatibles avec l’application Microsoft Authenticator ?

Oui. Les passkeys stockées directement dans l’application Microsoft Authenticator sont classées comme liées à l’appareil : elles restent attachées à ce téléphone précis et ne se synchronisent pas avec les trousseaux cloud externes.

Les administrateurs peuvent-ils imposer des types de passkeys précis dans Microsoft Entra ID ?

Oui. Les administrateurs peuvent utiliser des stratégies d’attestation dans Microsoft Entra ID pour restreindre les connexions aux seules passkeys liées à l’appareil dans les environnements à haute sécurité.