Pour créer une passkey, il suffit d’ouvrir les réglages de sécurité de son compte (Google, Microsoft ou Apple), de choisir « Créer une clé d’accès », puis de valider avec l’empreinte, le visage ou le code de déverrouillage de son appareil. Une fois enregistrée, cette clé d’accès remplace le mot de passe à la connexion et ne peut pas être volée par une fausse page d’hameçonnage.
Qu’est-ce qu’une passkey, ou clé d’accès ?
Une passkey, appelée clé d’accès en français, est un identifiant de connexion qui remplace le mot de passe. Au lieu de taper une suite de caractères, on confirme son identité avec le geste qui sert déjà à déverrouiller son téléphone ou son ordinateur : empreinte digitale, reconnaissance faciale ou code PIN.
Techniquement, la clé d’accès repose sur la cryptographie à clé publique, normalisée par l’alliance FIDO et le standard WebAuthn. L’appareil crée deux clés liées entre elles. La clé publique est confiée au site, la clé privée ne quitte jamais l’appareil ou le gestionnaire chiffré qui la conserve.
On peut comparer le système à une boîte aux lettres. Le site possède la serrure (la clé publique), et seul l’utilisateur détient la clé qui l’ouvre (la clé privée). Même si un pirate vole la serrure en attaquant le site, il ne peut rien en faire.
Pourquoi remplacer ses mots de passe par des clés d’accès ?
La clé d’accès supprime les deux grandes faiblesses du mot de passe : la réutilisation et l’hameçonnage. Chaque passkey est unique et propre à un seul site. Elle est aussi liée à l’adresse exacte du service, si bien qu’une fausse page imitant sa banque ou sa messagerie ne peut pas la récupérer.
Ce point compte, car les fuites se multiplient en France. Un mot de passe dérobé lors d’une attaque, comme dans le piratage du prestataire de contrôle technique Auto-Planning, peut être testé sur d’autres comptes. Avec une passkey, le site ne stocke aucun secret réutilisable.
- Rien à retenir ni à taper.
- Aucun secret partagé avec le site, donc rien d’exploitable en cas de fuite.
- Une protection native contre l’hameçonnage.
- Les données biométriques restent sur l’appareil et ne sont jamais envoyées au service.
De quoi a-t-on besoin pour créer une passkey ?
Un appareil récent avec un verrouillage d’écran suffit dans la grande majorité des cas. Google indique les configurations minimales suivantes pour ses comptes, qui donnent une bonne idée de ce qu’exigent la plupart des sites.
| Élément | Version minimale |
|---|---|
| Ordinateur | Windows 10, macOS Ventura ou ChromeOS 109 |
| Smartphone et tablette | Android 9 ou iOS 16 |
| Navigateur | Chrome 109, Safari 16, Edge 109 ou Firefox 122 |
| Alternative matérielle | une clé de sécurité physique compatible FIDO2 |
Il faut aussi activer un verrouillage d’écran (code, empreinte ou visage). Sur iPhone, iPad et Mac, le trousseau iCloud doit être activé, ce qui impose l’authentification à deux facteurs sur le compte Apple. La navigation privée peut bloquer la création d’une clé : mieux vaut utiliser une fenêtre classique.
Comment créer une passkey sur son compte Google ?
La création d’une passkey Google prend moins d’une minute et se déroule de la même façon sur ordinateur, Android et iPhone.
- Ouvrir la page myaccount.google.com/signinoptions/passkeys et se connecter à son compte Google.
- Appuyer sur « Créer une clé d’accès ».
- Déverrouiller l’appareil avec l’empreinte, le visage ou le code demandé.
- Recommencer sur chaque appareil que l’on souhaite utiliser, ou choisir « Utiliser un autre appareil » pour enregistrer la clé sur une clé de sécurité physique.
Sur un smartphone Android, Google crée parfois une clé d’accès automatiquement à la connexion. Elle apparaît alors dans la liste des appareils connectés plutôt que dans celle des clés.
Comment créer une clé d’accès pour un compte Microsoft ?
Pour un compte Microsoft personnel (Outlook, Xbox, OneDrive), la passkey se crée depuis les options de sécurité avancées.
- Se rendre sur account.live.com/proofs/manage depuis l’appareil qui conservera la clé.
- Sélectionner « Ajouter une nouvelle méthode de connexion pour vous connecter ou vérifier ».
- Choisir l’option visage, empreinte digitale, code PIN ou clé de sécurité.
- Valider l’emplacement proposé, ou cliquer sur « Modifier » pour en choisir un autre.
- Confirmer avec le geste de déverrouillage demandé.
Le choix de l’emplacement a son importance. Une clé enregistrée avec Windows Hello, le système de connexion biométrique de Windows, reste sur ce seul PC. Une clé enregistrée dans le gestionnaire de mots de passe de Microsoft, dans celui de Google ou dans le trousseau iCloud est synchronisée sur les autres appareils. Le navigateur Edge peut aussi créer des clés automatiquement, une option réglable dans Paramètres, puis Mots de passe et remplissage automatique.
Comment utiliser les clés d’accès sur iPhone, iPad et Mac ?
Sur les appareils Apple, les passkeys sont enregistrées dans le trousseau iCloud et validées par Face ID ou Touch ID. Lorsqu’un site ou une application propose de créer une clé d’accès, il suffit d’accepter puis de confirmer avec son visage ou son empreinte.
La clé est ensuite synchronisée sur tous les appareils liés au même compte Apple, avec un chiffrement de bout en bout : Apple elle-même ne peut pas la lire. Depuis iOS 18 et macOS Sequoia, toutes les clés sont regroupées dans l’application Mots de passe, aux côtés des mots de passe classiques et des codes de validation.
Pour ajouter un nouvel appareil Apple, la première connexion demande le mot de passe du compte et un code à six chiffres envoyé sur un appareil de confiance. Ensuite, les clés d’accès sont disponibles sans manipulation supplémentaire.
Comment se connecter avec une passkey sur un autre appareil ?
La passkey enregistrée sur un téléphone peut servir à se connecter sur un ordinateur qui ne la possède pas, grâce à un QR code. Le site affiche le code à l’écran, on le scanne avec l’appareil photo du smartphone, puis on valide avec son empreinte ou son visage.
Le Bluetooth doit être activé sur les deux appareils. Il ne transmet pas la clé : il sert seulement à vérifier que le téléphone se trouve bien à proximité de l’ordinateur. Cette vérification empêche un pirate situé à distance de détourner la connexion.
Cette méthode convient pour un ordinateur prêté ou un poste professionnel. Sur un appareil utilisé tous les jours, il est plus pratique de créer une clé propre à cet appareil.
Que faire en cas de perte ou de vol de son appareil ?
Une clé d’accès se supprime à distance, depuis n’importe quel autre appareil connecté au compte. Chez Google, la marche à suivre est la suivante.
- Ouvrir son compte Google, puis la rubrique « Sécurité et connexion ».
- Sous « Comment vous connecter à Google », choisir « Clés d’accès et clés de sécurité ».
- Sélectionner la clé de l’appareil perdu et la supprimer.
- Pour une clé créée automatiquement par Android, passer par « Gérer tous les appareils » et déconnecter le téléphone concerné.
Si les clés sont synchronisées dans un gestionnaire (trousseau iCloud, gestionnaire de mots de passe de Google ou de Microsoft), elles restent accessibles sur les autres appareils. Pour ne jamais se retrouver bloqué, mieux vaut conserver au moins une autre méthode de connexion : un second appareil, une clé de sécurité physique ou des codes de secours. Apple propose aussi de désigner un contact de récupération pour retrouver l’accès à son compte.
Les passkeys protègent-elles de tout ?
Non, les clés d’accès ne suppriment pas tous les risques. Un logiciel malveillant installé sur l’appareil, comme les extensions Chrome piégées découvertes fin octobre 2026, reste une menace à part entière. Pour savoir si ses anciens identifiants circulent déjà, un service comme celui présenté dans l’article consacré à Have I Been Pwned vérifie si une adresse e-mail figure dans une fuite connue.
Voici les points clés à garder en tête :
- Une passkey se crée depuis les réglages de sécurité de chaque compte, en quelques secondes.
- Elle se valide avec le verrouillage de l’appareil, sans mot de passe à taper.
- Elle se synchronise via le trousseau iCloud ou le gestionnaire de Google ou de Microsoft, ou reste sur un seul PC avec Windows Hello.
- Un QR code la rend utilisable sur un ordinateur tiers, Bluetooth activé.
- Une clé perdue se supprime à distance depuis le compte.
Google, Microsoft et Apple proposent les clés d’accès pour leurs propres comptes, et Google les met en avant comme option de connexion par défaut depuis octobre 2023, comme le détaillait l’annonce de Google sur les passkeys. Un nombre croissant de sites marchands, de réseaux sociaux et de services en ligne ajoutent l’option dans leurs paramètres de sécurité.
