Un mot de passe oublié, un lien de réinitialisation, et la session repart de zéro. Ce rituel devient caduc avec les passkeys, que Google et Apple poussent dans leurs comptes depuis 2024, avec Microsoft en poursuite. Le point d’entrée, c’est la clé d’accès : un identifiant qui ne se tape pas, ne se réutilise pas et ne se laisse pas voler par un site imité. Voici comment l’activer, étape par étape.
Qu’est-ce qu’une passkey, exactement ?
Une passkey, appelée clé d’accès en français, est une paire de clés cryptographiques. La partie publique est enregistrée par le service en ligne. La partie privée reste enfermée dans votre appareil, derrière son verrouillage d’écran : empreinte, reconnaissance du visage ou code. Pour vous connecter, vous déverrouillez votre téléphone ou votre ordinateur, et l’authentification se fait sans rien saisir.
La différence avec un mot de passe tient à un détail qui change tout. Un mot de passe, vous le tapez sur n’importe quelle page qui y ressemble, y compris un site d’hameçonnage. Une passkey est liée au domaine légitime du service : le site imité ne peut pas déclencher votre clé. Google décrit les clés d’accès comme une protection robuste contre les attaques d’hameçonnage, capables de supprimer les mots de passe à usage unique envoyés par SMS (documentation Google for Developers). L’ANSSI, de son côté, recommande depuis longtemps des mots de passe différents pour chaque service et l’usage d’un gestionnaire de mots de passe ; la passkey règle ces deux problèmes d’un coup (recommandations ANSSI, authentification multifacteur et mots de passe).
Où en est l’usage des passkeys en 2026 ?
La FIDO Alliance, l’organisme derrière le standard, a publié son rapport annuel le 7 mai 2026. L’échantillon porte sur 11 000 consommateurs et 1 400 décideurs dans dix pays, dont la France, avec une marge d’erreur de 0,9 point. Les chiffres montrent un basculement en cours, pas encore achevé.
| Indicateur (FIDO Alliance) | Valeur | Lecture |
|---|---|---|
| Passkeys en usage dans le monde | 5 milliards | Estimation FIDO, données publiques et internes |
| Part des connexions réussies via passkey | 36 % | 26 % en 2025 (Passkey Index, octobre 2026) |
| Succès des connexions par passkey vs authentification classique | 93 % contre 78 % | Passkey Index, octobre 2026 |
| Temps gagné par connexion | 27 secondes en moyenne | Passkey Index, octobre 2026 |
Le même rapport de la FIDO Alliance chiffre ce que les mots de passe coûtent encore : 33 % des personnes ont subi une compromission de compte ou reçu une notification de fuite dans l’année, et 47 % déclarent qu’elles abandonneraient un achat ou une connexion si elles ne retrouvaient pas leur mot de passe. Le signal le plus parlant reste celui du Passkey Index : plus d’une connexion réussie sur trois passe désormais par une passkey, contre une sur quatre un an plus tôt (FIDO Alliance, Passkey Index 2026).
Étape 1 : vérifier que vos appareils sont prêts
Le prérequis tient en une phrase : l’appareil doit avoir un verrouillage d’écran. Sans capteur biométrique ni code ni schéma, pas de clé d’accès, puisque le déverrouillage sert d’authentification (aide Google, Android). Côté Apple, les clés d’accès fonctionnent avec iOS 16 et au-delà, et sont rangées dans l’app Mots de passe. Un ordinateur récent accepte lui aussi les clés, avec Touch ID sur Mac ou Windows Hello sur PC. En pratique, activez d’abord le code sur le téléphone : c’est l’appareil que vous avez toujours sur vous.
Étape 2 : créer la première clé sur votre compte principal
Commencez par le compte qui commande tous les autres, Google ou Apple. Chez Google, rendez-vous sur myaccount.google.com/signinoptions/passkeys, appuyez sur Créer une clé d’accès, puis déverrouillez l’appareil. La procédure prend moins d’une minute (aide Compte Google). Deux remarques de la même page : une clé créée sur un appareil partagé est déconseillée, car quiconque déverrouille cet appareil accède au compte. Et une clé nouvellement créée peut être indisponible pour la connexion pendant sept jours, un délai de sécurité contre le vol de compte.
Chez Apple, la clé s’active au moment de la connexion à un site compatible, ou se gère ensuite dans l’app Mots de passe. Si vous utilisez les deux mondes, créez une clé de chaque côté : elles coexistent, et Google permet d’en créer sur tous les appareils compatibles en répétant la même opération.
Étape 3 : activer les passkeys sur les services du quotidien
Ensuite, il faut aller site par site. Lors de la connexion à un service compatible, la proposition de créer une clé d’accès apparaît généralement après la saisie du mot de passe, ou se trouve dans les paramètres de sécurité du compte. La documentation Google le rappelle : toutes les applications et tous les sites ne sont pas compatibles, et il faut d’abord être inscrit au service (aide Google, Android). Priorisez les comptes sensibles : messagerie, banque, réseaux sociaux, boîtes qui hébergent la réinitialisation de tous vos autres comptes. Cinq à dix minutes suffisent pour les principaux.
Étape 4 : vérifier la synchronisation entre appareils
Une clé créée seulement sur le téléphone devient un point unique de défaillance. Sur Android et Chrome, les clés d’accès sont enregistrées et synchronisées par le gestionnaire de mots de passe, ce qui les rend utilisables depuis vos autres appareils. Chez Apple, le trousseau iCloud fait le même travail entre les appareils Apple, à condition qu’il soit activé. Vérifiez dans les réglages que la synchronisation est bien en route avant de supprimer quoi que ce soit de l’ancien monde.
Étape 5 : garder une méthode de secours et faire le ménage
Le piège classique : activer des passkeys partout, changer de téléphone, et découvrir que le service demande l’ancien appareil. Gardez votre mot de passe à jour tant que le site le propose comme option de repli, et notez où se trouve votre méthode de récupération. Si une clé devient inutile, supprimez-la : sur iPhone, l’app Mots de passe liste les clés par compte, et une clé supprimée peut toujours être recréée (guide iPhone, Apple). La clé d’accès protège la connexion, pas le reste : une sauvegarde de vos données reste nécessaire (la méthode 3-2-1 pour ne rien perdre), et les tentatives d’hameçonnage par email ne disparaissent pas pour autant (repérer les emails frauduleux).
Ce que la passkey ne règle pas
La couverture des sites reste incomplète, et beaucoup de services français n’ont pas encore basculé. Une passkey dépend aussi de votre écosystème : synchronisée par Google, Apple ou un gestionnaire tiers, elle suppose que vous fassiez confiance à ce stockage. Et tant que les sites exigent encore le mot de passe en option de secours, celui-ci doit rester solide et unique.
La passkey remplace-t-elle la double authentification ?
Elle remplace le couple mot de passe + code de vérification en un seul geste, puisqu’elle prouve à la fois qui vous êtes et que vous détenez l’appareil. Certains services continuent d’exiger un second facteur pour les opérations sensibles. Pour comprendre ce que la double authentification couvre encore, voir notre article sur les mots de passe et la double authentification.
Que se passe-t-il si je perds mon téléphone ?
Si la synchronisation était active, vos clés se retrouvent sur le nouvel appareil après restauration de votre compte. Sinon, chaque service garde une alternative : mot de passe de secours, clé de sécurité matérielle ou support client. C’est la raison pour laquelle l’étape 5 recommande de ne pas supprimer le mot de passe avant d’avoir vérifié la synchronisation.
Peut-on partager une passkey avec un collègue ou un proche ?
Non. La partie secrète reste dans l’appareil de son propriétaire, elle ne se transmet pas comme un mot de passe. Google déconseille explicitement de créer une clé d’accès sur un appareil partagé. Pour un compte d’équipe, chaque personne doit avoir son propre accès nominatif.
Combien coûte une passkey ?
Rien. La fonction est intégrée aux systèmes d’exploitation et aux navigateurs, sans abonnement ni matériel. Seule exception : les clés de sécurité matérielles USB ou NFC, option avancée pour les comptes les plus critiques, se vendent quelques dizaines d’euros selon les modèles.
Faut-il supprimer ses mots de passe une fois les passkeys activées ?
Pas immédiatement. Beaucoup de sites gardent le mot de passe comme option de connexion et comme méthode de récupération. Laissez-le en place, unique et robuste, jusqu’à ce que le service propose une récupération sans mot de passe. Le gestionnaire de mots de passe continue de jouer son rôle pour tous les sites sans passkey.
Sources :
- FIDO Alliance, communiqué World Passkey Day 2026 (7 mai 2026), étude Sapio Research
- FIDO Alliance, Passkey Index 2026
- Aide Compte Google, se connecter avec une clé d’accès
- Aide Google, clés d’accès sur Android
- Assistance Apple, à propos de la sécurité des clés d’accès
- Google for Developers, clés d’accès
- ANSSI, recommandations authentification multifacteur et mots de passe (PDF)