Clé d’accès (passkey) : se connecter sans mot de passe

Fiche complémentaire de la leçon « Clés d’accès : se connecter sans mot de passe » — cours Sécurité en ligne

Une clé d’accès vous permet de vous connecter avec le même geste que celui qui déverrouille votre téléphone ou votre ordinateur : votre visage, votre empreinte digitale ou votre code de déverrouillage. Il n’y a aucun mot de passe à retenir, aucun code à recopier. Cette fiche explique comment se connecter sans mot de passe avec une clé d’accès, pourquoi elle est plus difficile à dérober par hameçonnage que tout ce qui se tape, où il est prudent d’en créer une, et comment ajouter la première sans perdre votre chemin du retour.

Une note de vocabulaire d’abord. En anglais, on dit passkey ; en français, Apple, Google et Microsoft écrivent tous « clé d’accès », et la CNIL parle de « clé d’accès logicielle (passkey) ». Trois confusions sont faciles à faire, et à éviter : une clé d’accès n’est pas le mot de passe principal de votre gestionnaire de mots de passe ; ce n’est pas non plus une clé de sécurité physique, ce petit objet USB qu’on branche ; et quand Cybermalveillance.gouv.fr décrit le mot de passe comme « la clé d’accès numérique » qui vous authentifie, c’est une image, pas cette technologie.

A. Pourquoi c’est important

Les mots de passe ont deux faiblesses qu’aucune précaution ne supprime complètement : ils peuvent être volés aux sites qui les conservent, et ils peuvent être saisis sur une page qui a seulement l’air authentique. Un deuxième facteur aide beaucoup, mais un code peut lui aussi être saisi sur la mauvaise page.

Une clé d’accès supprime les deux. Le site ne conserve jamais rien qui vaille la peine d’être volé, et votre appareil ne répond qu’au site pour lequel la clé a été créée. Apple le résume ainsi : « Contrairement aux mots de passe, ces clés sont résistantes au phishing ». Google va dans le même sens : les clés d’accès « ne peuvent pas être partagées, copiées, notées ni communiquées accidentellement à quelqu’un d’autre, ce qui les rend plus sûres contre l’hameçonnage ».

Ce qui change, c’est l’endroit où se trouve la protection. Le secret ne vit plus dans votre mémoire mais dans vos appareils, et c’est le verrouillage de chacun d’eux qui le garde.

En France, une définition, pas encore de recommandation

Il vaut la peine de le dire clairement, car c’est le point où cette fiche s’écarte des autres. Une autorité française a défini les clés d’accès : la CNIL, dans sa recommandation de 2025 sur l’authentification multifacteur, adressée aux organisations. Elle y apporte une nuance utile : une authentification « cryptographiquement robuste n’est pas forcément multifacteur », et c’est « notamment le cas des solutions impliquant une clé d’accès logicielle ». Autrement dit, une clé d’accès résiste à l’hameçonnage, mais elle ne compte pour deux facteurs que si l’appareil qui la garde est lui-même bien verrouillé.

En revanche, ni l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information, ni Cybermalveillance.gouv.fr ne consacrent encore de page aux clés d’accès pour le grand public. FranceConnect et France Identité, les dispositifs de connexion et d’identité numérique de l’État, reposent sur d’autres mécanismes : ce ne sont pas des clés d’accès. La documentation pratique en français, de bonne qualité, vient des fabricants, et c’est sur elle que s’appuie cette fiche.

B. Notions clés

Six idées sur ce qu’est une clé d’accès et sur ce qui la protège.

Clé d’accès

Un identifiant de connexion fait de deux clés numériques qui vont ensemble, créé par votre appareil pour un site ou une application précis. La CNIL la définit comme « une paire unique de clés privée et publique, générée dans un dispositif matériel ou logiciel (jeton) lors de l’inscription à un service en ligne ». Elle repose sur des normes ouvertes, celles de l’alliance FIDO, ce qui lui permet de fonctionner sur les principaux systèmes et navigateurs.

Pourquoi c’est important pour vous : elle se déverrouille comme vous déverrouillez votre appareil. Il n’y a rien à inventer, à retenir ou à réutiliser.

La moitié publique et la moitié privée

La moitié publique est confiée au site, et ne sert à rien toute seule. La moitié privée reste chez vous, dans l’appareil ou le gestionnaire de mots de passe, et le site ne la connaît jamais. Quand vous vous connectez, le site envoie un défi, et votre appareil y répond avec la moitié privée. Le CSIRT de Bourgogne-Franche-Comté, centre régional de réponse aux incidents, parle de cryptographie asymétrique.

Pourquoi c’est important pour vous : si le site subit une fuite de données, il n’y a chez lui aucun mot de passe à voler, ni rien qui permettrait à quelqu’un de se connecter à votre place.

Liée à un seul site

Chaque clé d’accès est liée à l’adresse du site qui l’a créée. Le navigateur et le système d’exploitation s’assurent qu’elle ne peut servir que là.

Pourquoi c’est important pour vous : une copie convaincante du site n’obtient rien, parce que votre appareil ne la reconnaît pas. C’est ce que veut dire « résistante à l’hameçonnage ». L’appareil vérifie l’adresse à votre place, et c’est une vérification qu’aucune personne pressée ne fait aussi bien.

Le verrouillage de l’écran

Pour utiliser une clé d’accès, vous déverrouillez l’appareil avec votre visage, votre empreinte, votre code de déverrouillage ou votre schéma. Chez Apple, c’est Face ID ou Touch ID. La donnée biométrique ne part jamais vers le site : elle sert seulement à ouvrir l’appareil.

Pourquoi c’est important pour vous : une clé d’accès n’est pas plus sûre que le verrouillage qui l’ouvre. Un code court ou facile à deviner, ou un appareil que d’autres personnes savent déverrouiller, affaiblit toutes les clés d’accès qu’il contient. C’est exactement la nuance de la CNIL.

Clés d’accès synchronisées et clés liées à un appareil

Les clés d’accès créées sur un téléphone ou un ordinateur sont en général synchronisées : conservées de façon chiffrée via votre compte Apple ou Google, ou votre gestionnaire de mots de passe, et restaurées quand vous configurez un nouvel appareil. La CNIL le note : la clé privée est conservée « sur un ou plusieurs terminaux de l’utilisateur et synchronisée dans un environnement cloud ». Apple les synchronise dans le trousseau iCloud, « chiffré de bout en bout à l’aide de clés robustes non connues d’Apple ». Certaines clés d’accès ne quittent jamais un seul appareil — celles qui sont enregistrées sur une clé de sécurité physique, par exemple.

Pourquoi c’est important pour vous : une clé d’accès synchronisée survit à la perte du téléphone, à condition que vous puissiez toujours vous connecter au compte qui la synchronise. Ce compte mérite votre meilleure protection.

Le téléphone comme passerelle

Sur un ordinateur qui n’a pas votre clé d’accès, la page de connexion peut afficher un code QR. Vous le lisez avec votre téléphone, qui confirme que les deux appareils sont proches l’un de l’autre, et la session s’ouvre.

Pourquoi c’est important pour vous : vous pouvez utiliser une clé d’accès sur un nouvel ordinateur sans en créer une autre. C’est aussi pour cela qu’il vaut mieux ne pas en créer sur des ordinateurs qui ne sont pas les vôtres.

C. Un exemple concret : l’ordinateur portable chez une amie

Léa passe quelques jours chez une amie et doit consulter sa messagerie sur l’ordinateur portable de celle-ci. À la connexion, le service lui propose de créer une clé d’accès, « pour aller plus vite la prochaine fois ». Il est tard, et elle a presque touché « Oui ».

Elle s’arrête, parce qu’elle se souvient de ce qui garde une clé d’accès : le verrouillage de l’appareil. Sur cet ordinateur, c’est le mot de passe de son amie — et n’importe qui dans la maison qui le connaît pourrait ouvrir la messagerie de Léa sans jamais connaître son mot de passe à elle. Google le dit sans détour : « Ne créez des clés d’accès que sur les appareils dont vous êtes propriétaire et que vous utilisez personnellement ».

Ce qui a changé l’issue

• Léa a choisi « Plus tard » sur l’ordinateur de son amie, et a terminé sa connexion avec son mot de passe et son deuxième facteur.
• Elle s’est déconnectée avant de rendre l’ordinateur.
• Chez elle, elle a créé la clé d’accès sur son propre téléphone, protégé par un code de six chiffres qu’elle seule connaît.
• La fois suivante où elle a eu besoin de sa messagerie sur un autre ordinateur, elle a utilisé le code QR et son téléphone au lieu de créer une nouvelle clé d’accès.

Rien ne s’est mal passé. La différence a tenu à une question : à qui appartient le verrouillage qui allait garder la clé ?

D. Essayez : votre première clé d’accès (20 minutes)

Quatre étapes courtes, dans cet ordre. C’est la première qui décide de la solidité des autres.

Étape 1 — Vérifier le verrouillage de l’écran

• Sur le téléphone ou l’ordinateur que vous allez utiliser, vérifiez que le verrouillage de l’écran est activé.
• Sur un téléphone, préférez un code de déverrouillage d’au moins six chiffres que personne ne peut associer à vous. C’est la recommandation R5 de Cyber Welfare, et ce code ouvre désormais aussi vos clés d’accès.
• Si quelqu’un d’autre sait déverrouiller cet appareil, choisissez-en un autre.

Étape 2 — Ajouter une clé d’accès à votre messagerie principale

• Connectez-vous à votre messagerie principale et ouvrez les paramètres de sécurité.
• Cherchez une option nommée « clé d’accès » : c’est le terme qu’emploient Apple, Google et Microsoft en français. Tous les services ne la proposent pas encore.
• Suivez les indications et confirmez avec votre visage, votre empreinte ou votre code de déverrouillage.

Étape 3 — Vous connecter une fois avec elle

• Déconnectez-vous du compte, puis reconnectez-vous en choisissant la clé d’accès.
• Faites-le maintenant, et non le jour où vous serez pressé.

Étape 4 — Vérifier le chemin du retour

• Dans les mêmes paramètres de sécurité, vérifiez que l’adresse e-mail et le numéro de téléphone de récupération sont à jour.
• Si le service propose des codes de secours — c’est le nom que leur donne Google ; d’autres services emploient d’autres mots —, conservez-en un jeu à un endroit accessible sans votre téléphone.
• Gardez le mot de passe dans votre gestionnaire : beaucoup de services continuent de l’accepter comme autre moyen d’entrer, et vous pourriez en avoir besoin sur un appareil où la clé d’accès n’est pas disponible.

Quand cela fonctionne pour la messagerie, refaites l’étape 2 sur le prochain compte important pour vous, dès qu’il propose une clé d’accès.

E. Vidéos, articles et autres ressources

Une définition institutionnelle, puis la documentation des fabricants en français — c’est ce qui existe dans cette langue —, puis la norme technique en anglais.

Sources françaises

CNIL — Recommandation relative à l’authentification multifacteur (PDF, 2025)
La seule définition institutionnelle française de la clé d’accès, et la nuance à retenir : une clé d’accès logicielle n’est « pas forcément multifacteur ». Adressée aux organisations.
https://www.cnil.fr/sites/cnil/files/2025-03/recommandation_relative_a_l_authentification_multifacteur.pdf

Apple — À propos de la sécurité des clés d’accès
Pourquoi les clés d’accès sont « résistantes au phishing », et comment le trousseau iCloud les synchronise, chiffrées de bout en bout.
https://support.apple.com/fr-fr/102195

Apple — Utiliser l’app Mots de passe pour créer, gérer et partager des mots de passe et des clés d’accès sur les appareils Apple
Mots de passe et clés d’accès au même endroit, avec des alertes pour les mots de passe faibles, réutilisés ou présents dans des fuites de données connues.
https://support.apple.com/fr-fr/120758

Google — Se connecter avec une clé d’accès au lieu d’un mot de passe
Pourquoi les clés d’accès sont « plus sûres contre l’hameçonnage », et la règle à retenir : ne les créer que sur vos propres appareils.
https://support.google.com/accounts/answer/13548313?hl=fr

Microsoft — Créer et enregistrer une clé d’accès
Comment ajouter une clé d’accès à un compte Microsoft, pas à pas. Attention : le titre de la page et son adresse ne correspondent pas.
https://support.microsoft.com/fr-fr/account-billing/connexion-avec-une-cl%C3%A9-d-acc%C3%A8s-09a49a86-ca47-406c-8acc-ed0e3c852c6d

CSIRT Bourgogne-Franche-Comté — Présentation des clés d’accès (janvier 2024)
Une page d’un centre régional de réponse aux incidents, en langage simple : la cryptographie asymétrique, et pourquoi il n’y a plus de mot de passe à hameçonner. Une source régionale, faute de page nationale.
https://www.csirt-bfc.fr/que-sont-les-passkeys/

Références internationales conservées

NIST — Digital Identity Guidelines, SP 800-63B (Revision 4) (en anglais)
La norme américaine d’authentification, qui traite aussi des clés d’accès synchronisées. Aucun texte national français n’en fixe encore l’usage pour le grand public.
https://pages.nist.gov/800-63-4/sp800-63b.html

Liens vérifiés le 26 septembre 2026. En français, les autorités de référence sont l’ANSSI et Cybermalveillance.gouv.fr pour la cybersécurité, et la CNIL pour la protection des données personnelles.

F. Le Framework Cyber Welfare : Compétences, Conscience du risque, Comportements sûrs

Cette leçon relève du pilier Compétences, au niveau FL2 — Initié. Elle vient après les leçons sur le deuxième facteur, et présente la méthode de connexion qui rend l’hameçonnage beaucoup plus difficile.

Compétences

• Créer une clé d’accès sur un service qui la propose.
• Se connecter avec une clé d’accès, y compris sur un autre ordinateur grâce au téléphone.
• Vérifier les options de récupération avant de dépendre d’une nouvelle façon de se connecter.

Pour les professionnels et les organisations

• Savoir que le même mécanisme résistant à l’hameçonnage se trouve dans les clés FIDO que cite l’ANSSI dans son guide sur l’authentification multifacteur, et que la clé d’accès en est la forme sans matériel dédié.

Conscience du risque

• Comprendre que le site ne conserve que la moitié publique d’une clé d’accès, qui ne sert à rien toute seule.
• Savoir qu’une clé d’accès est liée à un seul site, et qu’une fausse page n’en obtient donc rien.
• Reconnaître que ce sont désormais le verrouillage de l’écran et le compte de synchronisation qui gardent le secret — d’où la nuance de la CNIL : une clé d’accès n’est pas forcément multifacteur.
• Admettre qu’en France, la question n’a pas encore de recommandation officielle pour le grand public : la décision vous revient, éclairée par la CNIL et par les fabricants.

Pour les futurs formateurs et ambassadeurs

• Employer un seul terme, clé d’accès, que partagent la CNIL, Apple, Google et Microsoft, et ne pas en inventer d’autre.
• Séparer clairement la clé d’accès, la clé de sécurité physique et le mot de passe principal du gestionnaire : ce sont les confusions les plus faciles en français.

Comportements sûrs

• Ne créer de clés d’accès que sur vos propres appareils, que vous seul savez déverrouiller.
• Garder un chemin du retour en état de marche : informations de récupération, codes de secours et gestionnaire de mots de passe.

Pour les organisations

• Proposer la clé d’accès comme option sur les comptes clients, sans retirer tout de suite le deuxième facteur classique.

G. Questions à emporter

1. Si votre messagerie principale vous proposait aujourd’hui une clé d’accès, sur quel appareil la créeriez-vous ? Qui d’autre sait déverrouiller cet appareil ?
2. Quel compte synchronise vos clés d’accès, et à quel point est-il bien protégé ?
3. Si vous perdiez tous vos appareils en même temps, par où rentreriez-vous ?
4. Vous a-t-on déjà proposé de créer une clé d’accès sur un ordinateur qui n’était pas le vôtre ? Qu’avez-vous répondu ?

H. Ce que vous pouvez faire maintenant

Les recommandations (R) et les mesures de sécurité (MS) de la base Cyber Welfare qui s’appliquent ici le plus directement.

1. Garder le verrouillage

• R5 — Un code PIN à six chiffres sur les appareils mobiles : ce code de déverrouillage ouvre désormais aussi vos clés d’accès.
• R7 — Un verrouillage de l’écran après inactivité, pour qu’un appareil laissé seul se verrouille de lui-même.
• MS4 — Là où c’est possible, un code alphanumérique de 8 caractères ou plus.

Engagement minimum : vérifiez que l’appareil sur lequel vous allez créer votre première clé d’accès a un verrouillage que vous seul savez ouvrir.

2. Garder un chemin du retour

• R2 — Conservez vos mots de passe en sécurité dans un gestionnaire de mots de passe fiable. Vous en aurez encore besoin partout où les clés d’accès ne sont pas proposées.
• R4 — Gardez un deuxième facteur sur vos comptes, et conservez les codes de secours à un endroit accessible sans votre téléphone.
• R8 — Activez les alertes de connexion aux comptes, y compris sur le compte qui synchronise vos clés d’accès.

Engagement minimum : ajoutez une clé d’accès à votre messagerie principale, et vérifiez le même jour les informations de récupération de ce compte.

En résumé

• Une clé d’accès est une paire de clés. Le site ne conserve que la moitié publique, qui ne sert à rien toute seule ; la moitié privée reste chez vous.
• Elle est liée à un seul site : une fausse page n’en obtient rien. Apple dit ces clés « résistantes au phishing », Google « plus sûres contre l’hameçonnage ».
• Elle n’est pas plus sûre que le verrouillage qui l’ouvre — c’est la nuance de la CNIL. Créez-en uniquement sur vos propres appareils, que vous seul déverrouillez.
• En français, un seul terme : clé d’accès, chez la CNIL comme chez Apple, Google et Microsoft. À ne pas confondre avec la clé de sécurité physique ni avec le mot de passe principal.
• Gardez un chemin du retour : informations de récupération, codes de secours et gestionnaire de mots de passe.

Découvrez d’autres fiches complémentaires des cours du programme Protégez votre Vie Privée Numérique.