Qu’est-ce qu’une clé d’accès ? Les fondamentaux de l’authentification moderne

Qu’est-ce qu’une clé d’accès ?

Un attaquant obtient le mot de passe d’un collaborateur par phishing, contourne l’authentification à deux facteurs par SMS et se déplace latéralement dans votre réseau. Selon le rapport DBIR de Verizon, 88 % des violations relevant de schémas d’attaque fondés sur les identifiants impliquaient des identifiants volés, tandis que le phishing était utilisé dans 57 % des incidents d’ingénierie sociale.

Les clés d’accès éliminent toute cette chaîne d’attaque. Elles reposent sur une authentification cryptographique sans mot de passe, dans laquelle les clés privées ne quittent jamais les appareils des utilisateurs, rendant le vol d’identifiants pratiquement impossible.

Une clé d’accès repose sur la cryptographie à clé publique. Votre appareil génère une paire de clés unique : la clé privée reste sur l’appareil dans un espace de stockage protégé par le matériel, comme un Trusted Platform Module ou une Secure Enclave, tandis que la clé publique est transmise au fournisseur de services. Lors de l’authentification, le service envoie un défi que votre appareil signe avec la clé privée. Aucun mot de passe ne transite sur le réseau. Cela élimine le phishing, le credential stuffing et les attaques par réutilisation de mots de passe, car les clés privées ne quittent jamais les appareils et aucun secret réutilisable n’est transmis.

Les clés d’accès mettent en œuvre la norme FIDO2 (WebAuthn + CTAP), pour une sécurité homogène entre les plateformes, les navigateurs et les services. Les clés d’accès liées à un appareil stockent les clés privées dans des modules de sécurité matériels pour offrir le plus haut niveau d’assurance. Les clés d’accès synchronisées chiffrent et synchronisent les clés entre les écosystèmes de plateformes pour en élargir l’accès.

La différence entre les clés d’accès et les mots de passe qu’elles remplacent montre clairement le gain de sécurité.

Le rôle des clés d’accès en cybersécurité

Les clés d’accès bloquent le phishing au niveau cryptographique. Lorsque des attaquants ciblent vos utilisateurs avec des campagnes de phishing, la liaison au domaine d’origine assurée par le protocole WebAuthn empêche l’authentification sur des domaines usurpés. Même si un utilisateur clique sur un lien de phishing et tente de se connecter, la liaison cryptographique au domaine légitime bloque l’authentification.

Les clés privées stockées dans des modules de sécurité matériels ne peuvent pas être extraites par des attaques logicielles. Les violations de bases de données ne peuvent pas exposer d’identifiants réutilisables, et le credential stuffing échoue, car chaque clé d’accès est propre à un service.

Des incidents réels montrent pourquoi c’est important. En septembre 2023, MGM Resorts a subi une attaque d’ingénierie sociale : des attaquants se sont fait passer pour un collaborateur auprès du support informatique et ont obtenu des identifiants qui ont conduit au ransomware déploiement entraînant des pertes estimées à 100 millions de dollars. En 2022, un important fournisseur d’identité a subi un vol d’identifiants via un prestataire tiers compromis, touchant des centaines de clients.

Les comptes protégés par des clés d’accès éliminent le vol d’identifiants comme méthode d’accès initial, supprimant le vecteur d’attaque à l’origine de la majorité de ces violations. Cette protection repose sur plusieurs composants techniques qui fonctionnent ensemble.

Clés d’accès et mots de passe : quelles différences ?

Les mots de passe sont des secrets partagés. Vous les créez et les transmettez à un serveur, qui en stocke une empreinte. Chaque étape de cette chaîne peut être attaquée : les utilisateurs choisissent des mots de passe faibles, les réutilisent sur plusieurs services et se font piéger par des pages de phishing qui les récupèrent en temps réel. Même les bases de données contenant des empreintes de mots de passe peuvent être compromises, puis leurs empreintes cassées hors ligne.

Les clés d’accès fonctionnent autrement à chaque étape. Votre appareil génère une paire de clés cryptographiques, et la clé privée ne le quitte jamais. Le serveur ne stocke que la clé publique, inutilisable par un attaquant sans la clé privée correspondante. L’authentification repose sur un défi signé : aucun secret réutilisable ne transite sur le réseau.

Les différences sont concrètes. Les mots de passe obligent les utilisateurs à mémoriser des chaînes complexes et à les modifier régulièrement, ce qui favorise leur réutilisation et le choix de mots de passe faibles. Une analyse biométrique ou un code PIN suffit à déverrouiller une clé d’accès, sans rien mémoriser. Les réinitialisations de mots de passe représentent 20 à 50 % des appels au support informatique dans les entreprises ; les clés d’accès éliminent entièrement cette catégorie.

Sur le plan de la sécurité, les mots de passe restent vulnérables au phishing, aux attaques par force brute, au credential stuffing et aux violations de bases de données. Les clés d’accès résistent à ces quatre menaces :

• Phishing — La liaison au domaine empêche l’utilisation des identifiants sur des sites usurpés
• Attaques par force brute et credential stuffing — Aucun mot de passe à deviner ou à réutiliser
• Violations de bases de données — Les serveurs ne stockent que des clés publiques, inutilisables sans les clés privées
• Réutilisation des identifiants — Chaque clé étant propre à un service, la compromission d’un compte ne donne pas accès aux autres

Là où les mots de passe reposent sur un seul facteur d’authentification (ce que vous savez), les clés d’accès en combinent deux : ce que vous possédez (l’appareil qui stocke la clé privée) et ce que vous êtes (la vérification biométrique). Elles intègrent ainsi une authentification multifacteur en une seule étape.

Ces différences se traduisent directement par des résultats de sécurité mesurables face à des scénarios d’attaque réels.

Les composants essentiels des clés d’accès

L’authentification par clé d’accès repose sur cinq composants techniques qui la rendent résistante au phishing :

• Les paires de clés cryptographiques constituent la base. Chaque clé d’accès comprend une clé publique et une clé privée liées mathématiquement. La clé publique se trouve sur le serveur du fournisseur de services ; la clé privée reste sur l’appareil de votre utilisateur, dans un espace de stockage protégé par le matériel.
• Les authentificateurs génèrent et stockent les clés d’accès. Les authentificateurs intégrés aux plateformes utilisent des TPMs, des Secure Enclaves ou des Trusted Execution Environments (TEEs) pour lier les clés privées à un matériel précis. Les authentificateurs nomades comprennent les clés de sécurité USB et les jetons Bluetooth. Tous mettent en œuvre les spécifications CTAP et WebAuthn pour assurer la liaison au domaine, la résistance au phishing et la preuve cryptographique de possession.
• API WebAuthn permet aux applications web et aux navigateurs d'interagir avec les authentificateurs. Cette norme W3C définit le déroulement de l'enregistrement et de l'authentification, pour une mise en œuvre cohérente sur toutes les plateformes.
• Partie utilisatrice désigne le service qui met en œuvre l'authentification par passkey, génère des défis, valide les réponses et tient à jour le registre des clés publiques.
• Vérification de l'utilisateur confirme que l'utilisateur légitime contrôle l'authentificateur grâce à la biométrie, au code PIN de l'appareil ou à un schéma de déverrouillage. Elle s'effectue localement ; les données biométriques ne quittent jamais l'appareil.

Ces composants fonctionnent ensemble selon deux processus fondamentaux : l'enregistrement et l'authentification.

Fonctionnement des passkeys

Les deux processus reposent sur un échange cryptographique défi-réponse qui élimine toute transmission d'identifiants.

Processus d'enregistrement

Lors de l'enregistrement, la partie utilisatrice envoie ses exigences au navigateur de votre utilisateur, qui appelle WebAuthn. L'authentificateur génère une paire de clés unique, liée à ce domaine. Ce lien avec le domaine empêche la réutilisation des identifiants et le phishing.

La clé privée est stockée dans une mémoire protégée par le matériel. Dans les implémentations liées à un appareil, il s'agit de modules de sécurité matériels, de TPM, de Secure Enclaves ou de puces de clés de sécurité. Dans les implémentations synchronisées, il s'agit d'un stockage cloud chiffré sans possibilité d'exportation. L'authentificateur renvoie la clé publique et les métadonnées de l'identifiant à la partie utilisatrice. L'enregistrement s'achève en quelques secondes, sans création de mot de passe.

Processus d'authentification

Lorsque votre utilisateur s'authentifie, la partie utilisatrice génère un défi aléatoire et l'envoie avec l'identifiant de l'identifiant d'authentification. Après vérification de l'utilisateur par biométrie, saisie d'un code PIN ou déverrouillage de l'appareil, l'authentificateur signe le défi avec la clé privée.

Le défi signé est renvoyé à la partie utilisatrice pour validation. Si la signature correspond, l'authentification est terminée. Les défis expirent en quelques minutes et ne peuvent pas être rejoués.

Scénarios d'authentification entre appareils

Les clés d'accès synchronisées chiffrent les clés privées dans des trousseaux de clés cloud (iCloud Keychain ou Google Password Manager) pour y accéder depuis plusieurs appareils du même écosystème. Elles offrent un accès pratique, mais une prise en charge limitée de l'attestation, ce qui empêche parfois les organisations de vérifier par cryptographie le matériel de sécurité utilisé. Les clés d'accès liées à un appareil nécessitent l'authentificateur physique à chaque connexion et offrent un niveau de confiance supérieur grâce à des capacités d'attestation complètes qui permettent aux organisations de vérifier le modèle précis de clé de sécurité ou le module de sécurité matériel utilisé.

Pour les entreprises, le choix entre identifiants synchronisés et identifiants liés à un appareil dépend de leur tolérance au risque. Les environnements hautement sécurisés, comme les comptes d'administration privilégiés, bénéficient d'implémentations liées à un appareil. Les options synchronisées conviennent à l'authentification générale des collaborateurs, lorsque la simplicité favorise l'adoption.

Après le fonctionnement, voyons ce que les passkeys apportent à votre organisation.

Principaux avantages des passkeys

Les passkeys apportent quatre catégories d'améliorations mesurables par rapport à l'authentification par mot de passe, en matière de sécurité, d'exploitation et de conformité.

1. Résistance au phishing grâce à la cryptographie: L'authentification par mot de passe avec code SMS reste vulnérable au phishing en temps réel, lorsque les attaquants relaient les requêtes via de faux sites. Les passkeys éliminent ce risque grâce à leur lien avec le domaine. L'API WebAuthn vérifie le domaine de destination avant l'authentification, qui échoue si les domaines ne correspondent pas. Les codes SMS, les notifications push et les codes TOTP restent vulnérables aux attaques de l'homme du milieu, au détournement de carte SIM et à la fatigue liée aux notifications push. Pas les identifiants cryptographiques.
2. Prévention du vol d'identifiants: Vos clés privées ne quittent jamais les appareils des utilisateurs. Une compromission des serveurs ne peut exposer d'identifiants réutilisables, car seuls les clés publiques y sont stockées. Les malwares infostealers ne peuvent pas extraire les clés des modules de sécurité matériels, même avec un accès au kernel. Les passkeys neutralisent les techniques de collecte d'identifiants sur lesquelles les attaquants comptent le plus.
3. Gains d'efficacité opérationnelle: Le déploiement des passkeys réduit les demandes de réinitialisation de mot de passe, car les utilisateurs ne peuvent pas oublier leurs identifiants cryptographiques. L'implémentation de FIDO par l'USDA a, par exemple, conduit environ 40 000 utilisateurs à adopter l'authentification sans mot de passe, supprimant ainsi toute une catégorie de demandes au support. Les plateformes de sécurité des identités comme Singularity Identity de SentinelOne complètent la prévention offerte par les passkeys par une réponse autonome aux menaces fondées sur les identifiants qui ciblent l'infrastructure d'authentification.
4. Conformité et alignement sur les niveaux d'assurance: Les passkeys répondent aux exigences NIST SP 800-63 AAL3 relatives à l'authentification multifacteur résistante au phishing. La CISA considère les passkeys FIDO/WebAuthn comme la référence pour la MFA, car leurs identifiants liés à un domaine ne peuvent pas être utilisés sur de faux sites. Comme indiqué précédemment, la grande majorité des violations fondées sur les identifiants impliquent des identifiants volés, une catégorie que les passkeys éliminent entièrement.

La cryptographie à clé publique offre aussi des propriétés de sécurité vérifiables que les politiques de mots de passe ne peuvent égaler : preuve cryptographique d'une authentification propre à un domaine, absence de secrets partagés sur le réseau et génération de clés ancrée dans le matériel. Ces propriétés fournissent des preuves vérifiables lors des audits et simplifient la documentation de conformité pour les référentiels, notamment SOC 2, HIPAA et PCI DSS.

Ces avantages en matière de sécurité et d'exploitation ont accéléré l'adoption des passkeys sur les plateformes et dans les différents secteurs.

Prise en charge des passkeys par les plateformes et adoption dans les différents secteurs

Apple, Google, et Microsoft prennent tous en charge les passkeys de manière native dans leurs systèmes d'exploitation et leurs navigateurs, offrant aux organisations une couverture multiplateforme pour la plupart des parcs d'appareils d'entreprise :

• Apple intègre les passkeys via le trousseau iCloud sur iOS, iPadOS et macOS
• Google les prend en charge via Google Password Manager sur Android et Chrome
• Microsoft prend en charge l'authentification par passkey via Windows Hello et Entra ID

Au-delà des fournisseurs de plateformes, de grands services grand public et professionnels ont adopté la connexion par passkey. Amazon, PayPal, GitHub, Shopify et eBay prennent en charge les passkeys pour authentifier leurs clients. Le FIDO Alliance Passkey Directory suit leur adoption croissante dans les secteurs bancaire, de la santé et public. Selon la FIDO Alliance, 53 % des personnes ont activé les passkeys sur au moins un compte.

Pour les équipes de sécurité des entreprises, cette adoption signifie que l'authentification sans mot de passe n'est plus une perspective lointaine. Les fournisseurs d'identité, dont Microsoft Entra ID, Okta et Ping Identity, proposent une intégration native FIDO2/WebAuthn. Un déploiement à l'échelle de l'organisation est donc possible dès aujourd'hui.

La prise en charge croissante par les plateformes n'élimine toutefois pas la complexité du déploiement.

Défis et limites des passkeys

Le déploiement des passkeys en entreprise se heurte à quatre obstacles majeurs qui exigent planification et investissements.

1. Contraintes d'intégration aux systèmes existants : Les applications anciennes qui ne peuvent pas s’intégrer aux services d’authentification modernes constituent le principal obstacle au déploiement. En raison de ces contraintes, de nombreuses organisations utilisent des systèmes hybrides combinant mots de passe et identifiants cryptographiques. Elles doivent alors gérer simultanément plusieurs composants d’infrastructure d’authentification, ce qui complique les opérations. Les applications mainframe, les systèmes de contrôle industriel et les appareils embarqués ne disposent souvent pas des ressources nécessaires pour mettre en œuvre les protocoles WebAuthn. Vous devez choisir entre maintenir des îlots d’authentification par mot de passe, investir dans des passerelles d’authentification ou accepter que certains systèmes restent hors du périmètre des clés d’accès. Anticiper ces lacunes évite les angles morts de sécurité lors du déploiement.
2. Incohérences de mise en œuvre entre plateformes : Malgré la standardisation de WebAuthn, les mises en œuvre varient selon les plateformes et les navigateurs. Les passkeys synchronisées ne fonctionnent qu'au sein d'un même écosystème : les clés privées synchronisées via iCloud Keychain ne sont pas accessibles depuis les appareils Android utilisant Google Password Manager, et inversement. Ces incohérences créent des parcours d'authentification imprévisibles qui compliquent le déploiement en entreprise.
3. Complexité de la récupération des comptes : La perte d'un appareil ou une panne matérielle peut bloquer l'accès au compte et exige des mécanismes de récupération fiables. La crainte de perdre cet accès freine souvent l'adoption. Les organisations qui négligent la récupération constatent davantage de demandes d'assistance et une adoption plus faible. Sa conception doit donc être une priorité dès la planification.
4. Accompagnement du changement organisationnel : Les utilisateurs peuvent hésiter face à des parcours d'authentification inconnus, surtout s'ils n'en comprennent pas les avantages de sécurité. Avant le déploiement, les équipes d'assistance doivent être formées au dépannage, aux procédures de récupération et aux particularités de chaque plateforme. La collaboration entre les équipes UX, de développement et produit lève mieux les freins à l'adoption qu'une approche purement technique des passkeys.

Connaître ces défis vous évite les erreurs de déploiement les plus courantes.

Erreurs courantes lors du déploiement des passkeys

Même un déploiement bien planifié peut échouer si les équipes négligent l'expérience utilisateur, la gestion des erreurs ou la sécurité des méthodes de secours. Voici les quatre erreurs les plus fréquentes.

• Négliger la sensibilisation des utilisateurs avant le déploiement : Annoncer le déploiement sans répondre aux préoccupations des utilisateurs suscite confusion et résistance. Face à des demandes d'authentification inconnues et sans explication, beaucoup demandent à réinitialiser leur mot de passe ou contactent l'assistance. La sensibilisation doit expliquer en amont les conséquences de la perte d'un appareil et les procédures de récupération, avec des parcours propres à iOS, Android et Windows.
• Afficher des messages d'erreur génériques : Les parcours d'authentification qui affichent « Une erreur s'est produite » sans indiquer quoi faire érodent la confiance des utilisateurs. Des messages précis, comme « Cet identifiant est associé à un autre compte » ou « La politique de votre appareil nécessite une mise à jour », les guident vers la résolution du problème et préservent leur confiance en cas d'échec.
• Tester insuffisamment la récupération : Déployer les passkeys sans tester rigoureusement la récupération expose vos utilisateurs au blocage de leur compte. Un appareil peut être perdu sans préavis, un authentificateur de secours peut tomber en panne et la synchronisation cloud peut subir une interruption. Testez les procédures de récupération face à des scénarios de panne réels, avec des instructions étape par étape et des indications visuelles.
• Conserver des méthodes d'authentification de secours non sécurisées : Revenir à des méthodes faibles à facteur unique, comme un code à usage unique envoyé uniquement par e-mail ou SMS, maintient l'exposition aux attaques que les passkeys visent à bloquer. Prévoyez des méthodes de secours multifactorielles. Rendez les parcours de récupération volontairement moins pratiques que l'authentification principale pour décourager leur usage courant, tout en préservant l'accès en cas d'urgence.

Suivre des pratiques éprouvées vous évite ces écueils et renforce la résilience du déploiement.

Bonnes pratiques pour les passkeys

Les déploiements réussis en entreprise suivent des principes communs : déploiement progressif, choix des premiers utilisateurs, conception de la récupération et intégration aux plateformes.

Adopter une stratégie de déploiement par étapes

Procédez par étapes. Établissez d'abord une base d'authentification multifacteur avec des applications d'authentification afin de préparer votre organisation avant l'introduction des passkeys. Déployez ensuite les passkeys avec une MFA résistante au phishing pour les applications sensibles, tout en conservant le mot de passe comme méthode de secours pendant la transition.

À mesure que l'adoption progresse, formalisez les processus de gestion du cycle de vie et de récupération :

• Déverrouillage à distance des appareils et délivrance des identifiants
• Procédures de révocation avec pistes d'audit complètes pour la conformité
• Gestion centralisée des identifiants dans toute votre organisation
• Authentification par mot de passe réservée aux situations d'urgence

Définissez des critères de réussite clairs pour chaque étape avant de passer à la suivante.

Cibler d'abord les groupes d'utilisateurs à haut risque

Déployez d'abord les passkeys auprès des utilisateurs privilégiés, des administrateurs IT et des dirigeants. Ces cibles de grande valeur sont les plus exposées au vol d'identifiants, comme le montre le Verizon DBIR : 57 % des incidents d'ingénierie sociale impliquent le phishing, utilisé comme méthode d'accès initial dans 16 % de toutes les compromissions. Sécurisez les applications essentielles à l'activité, notamment la messagerie, le VPN, les systèmes RH et les outils financiers, avant les services moins sensibles.

Mettre en place une infrastructure de récupération fiable

Mettez en place plusieurs mécanismes de récupération sans créer de portes dérobées fondées sur les mots de passe. Demandez aux utilisateurs d'enregistrer des clés de sécurité matérielles de secours en complément de leurs authentificateurs principaux, afin que la perte d'un appareil ne bloque pas entièrement leur accès.

La récupération administrative doit vérifier l'identité par plusieurs moyens : examen d'une pièce d'identité avec photo, confirmation du responsable et validation des réponses aux questions de sécurité. Les passkeys synchronisées dans le cloud assurent une récupération automatique lorsque les utilisateurs se connectent à un appareil de remplacement avec le même compte de plateforme. Réservez les passkeys liées à un appareil aux accès privilégiés exigeant une authentification attestée par le matériel.

Intégrer les plateformes d'identité

Connectez les passkeys aux plateformes d'identité d'entreprise, notamment Microsoft Entra ID, au moyen de politiques d'accès conditionnel. L'authentification fondée sur le risque peut imposer une vérification par passkey résistante au phishing lorsque le risque est élevé, tout en simplifiant l'authentification dans les situations à faible risque. L'intégration aux plateformes d'identité fournit aussi des pistes d'audit centralisées reliant l'authentification par passkey aux accès aux applications et aux comportements des utilisateurs.

Instaurer des processus d'amélioration continue

Suivez les indicateurs d'adoption : taux d'enregistrement, taux de réussite des authentifications, fréquence des récupérations et escalades vers le support. Ajustez les parcours d'authentification selon les données opérationnelles et les retours des utilisateurs, à mesure que la prise en charge par les plateformes et la maturité de l'organisation évoluent.

Les clés d'accès renforcent votre périmètre d'authentification, mais les attaquants ne se limitent pas au vol d'identifiants.

Réduire les risques liés à l'identité dans l'ensemble de votre organisation

Détecter et répondre aux attaques en temps réel grâce à des solutions globales pour Active Directory et Entra ID.

Obtenir une démonstration

À retenir

Les clés d'accès éliminent le vol d'identifiants et le phishing grâce à une authentification cryptographique dont les clés privées ne quittent jamais les appareils des utilisateurs. Aucun mot de passe ne transite sur le réseau, ce qui supprime la méthode d'accès initial la plus courante que les attaquants exploitent. Le déploiement en entreprise doit se faire par étapes, en commençant par les utilisateurs à haut risque et les applications critiques. Il exige aussi de planifier la gestion des contraintes des systèmes existants, des incohérences entre plateformes et des freins à l'adoption.

Négliger la formation des utilisateurs, employer des messages d'erreur génériques ou conserver des méthodes d'authentification de secours faibles peut compromettre les gains de sécurité des clés d'accès. Les plateformes de sécurité des identités complètent cette protection en détectant les attaques qui ciblent l'infrastructure d'authentification au-delà des identifiants, notamment la compromission d'Active Directory, l'élévation des privilèges et les déplacements latéraux.