Biométrie, clés de sécurité et passkeys : les notions essentielles
Déverrouiller son téléphone avec le visage ou une empreinte digitale est devenu banal. Vous avez peut-être aussi vu des sites proposer de « se connecter avec une clé d'accès » sans mot de passe. Derrière ces gestes simples se cache l'une des plus grandes avancées en sécurité des dernières années. Cette leçon vous explique, sans jargon, comment cela fonctionne et ce que cela change pour vous.
Dans les leçons précédentes, nous avons construit des mots de passe solides, un gestionnaire et une double authentification. Voyons maintenant la direction que prend l'authentification : moins de secrets à retenir et à saisir, plus de protection contre le phishing.
La biométrie : ce que vous êtes
La biométrie utilise une caractéristique physique pour vous reconnaître : empreinte digitale, visage, parfois iris ou voix. Sur un téléphone ou un ordinateur, c'est le plus souvent un moyen de déverrouiller l'appareil localement, sans rien envoyer sur internet.
Ce qu'il faut savoir
- Le gabarit n'est pas votre photo. Votre appareil enregistre une représentation mathématique de votre empreinte ou de votre visage, stockée dans une zone protégée de l'appareil. Dans les systèmes sérieux, elle ne quitte pas l'appareil.
- La biométrie n'est pas un secret. Votre visage est visible, vos empreintes se laissent sur tout ce que vous touchez. Elle sert à confirmer qu'un humain autorisé est devant l'appareil, pas à garder un secret.
- Elle ne se change pas. Un mot de passe compromis se remplace ; vos empreintes, non. C'est pourquoi une biométrie ne doit pas être le seul rempart d'un compte critique, ni être transmise à un service peu fiable.
- Elle s'accompagne toujours d'un code de secours. Votre téléphone vous demande son code PIN après un redémarrage ou plusieurs échecs : ce code est le vrai verrou.
Avantages et limites
| Avantages | Limites |
|---|---|
| Rapide et pratique : on l'utilise vraiment | Peut être imposée sous la contrainte (un tiers qui approche l'appareil de votre visage) |
| Difficile à copier à distance | Non révocable : on ne peut pas « changer » son visage |
| Évite de saisir un code en public (où l'on peut être observé) | Taux d'erreurs possibles (faux rejets, faux acceptations selon les dispositifs) |
Quelques bonnes pratiques : activez la biométrie pour déverrouiller vos appareils et gardez un code PIN long (six chiffres minimum, de préférence une phrase ou un code alphanumérique pour un ordinateur) ; sachez comment désactiver rapidement la biométrie de votre téléphone en cas de situation sensible, comme un contrôle ou un risque de contrainte.
Le problème que les passkeys veulent résoudre
Malgré les gestionnaires et la double authentification, le phishing reste efficace : un faux site imitant parfaitement une page de connexion peut récupérer votre mot de passe et votre code à usage unique, puis les rejouer immédiatement sur le vrai site. La cause profonde est que le mot de passe est un secret partagé : vous le donnez au service, il peut donc être volé ou fuiter chez lui, ou vous être demandé par un imposteur.
Et si l'on pouvait prouver son identité sans jamais transmettre de secret ? C'est ce que permet la cryptographie à clé publique.
La clé publique et la clé privée, avec une analogie
Imaginez un cadenas et sa clé. Vous donnez au service un cadenas ouvert (la clé publique) : tout le monde peut en avoir un exemplaire, il ne permet que de fermer. Vous gardez la clé (la clé privée), qui seule peut l'ouvrir. Pour vous connecter, le service vous envoie un message enfermé avec votre cadenas ; seul vous pouvez le rouvrir avec votre clé et prouver ainsi que vous êtes bien le propriétaire, sans jamais révéler cette clé.
Techniquement, le principe est celui de la signature : le service envoie un défi aléatoire, votre appareil le signe avec la clé privée, le service vérifie la signature avec la clé publique. La clé privée ne quitte jamais l'appareil (ou son coffre sécurisé), et la clé publique n'a aucune valeur pour un voleur.
FIDO2, WebAuthn et passkeys
Ces trois termes désignent la même famille de technologies :
- FIDO2 : un ensemble de standards ouverts d'authentification forte, développé par une alliance d'acteurs du secteur ;
- WebAuthn : la partie qui permet aux sites web et aux navigateurs de l'utiliser ;
- Passkey (« clé d'accès ») : le nom grand public d'un identifiant FIDO2 stocké sur votre appareil ou dans un gestionnaire, et déverrouillé par votre biométrie ou votre code d'appareil.
Concrètement, quand vous vous connectez avec une passkey, vous ne tapez pas de mot de passe : votre appareil vous demande de confirmer par empreinte, visage ou code, puis il signe le défi du service. La biométrie sert ici à autoriser l'usage de la clé privée sur l'appareil, et n'est envoyée nulle part.
Pourquoi c'est résistant au phishing
Une passkey est liée au nom de domaine du service. Si vous êtes sur un faux site dont l'adresse diffère, votre appareil ne trouve aucune clé correspondante et ne répond pas. Il n'y a rien à taper, donc rien à voler ; l'utilisateur ne peut pas être « convaincu » de donner une réponse. C'est un changement de nature : la protection ne dépend plus de votre vigilance.
Passkey ou clé de sécurité physique ?
| Passkey sur appareil ou gestionnaire | Clé de sécurité physique | |
|---|---|---|
| Où est la clé privée ? | Dans l'appareil ou dans un coffre synchronisé | Dans le boîtier |
| Confort | Très élevé : un geste biométrique | Il faut avoir la clé sur soi |
| Sauvegarde | Synchronisation entre appareils possible | Prévoir une seconde clé |
| Cas d'usage | Usage quotidien pour la plupart des gens | Comptes critiques, profils à risque |
Dans les deux cas, la protection contre le phishing est excellente. Le choix dépend de votre niveau de risque et de votre confort.
Les limites et les points de vigilance
- La récupération : si vos passkeys sont synchronisées dans un coffre lié à un compte, la sécurité de ce compte devient critique. Protégez-le avec un mot de passe solide et une authentification forte.
- Tous les services ne les proposent pas encore. Pendant longtemps, mots de passe, double authentification et passkeys coexisteront. Activez-les là où elles existent, et gardez ailleurs les bonnes pratiques précédentes.
- L'appareil perdu ou volé : si le déverrouillage de l'appareil est faible (code à quatre chiffres), la passkey l'est aussi. Un code d'appareil solide est la base.
- Ne confondez pas « se connecter avec le visage » (déverrouillage local) et « envoyer son visage à un service » : avec une passkey, seule une signature voyage.
- Gardez des méthodes de secours : une seconde clé, des codes de secours, un appareil de confiance enregistré.
Astuce : activer une passkey, dans les grandes lignes
- Connectez-vous à votre compte de manière habituelle.
- Rendez-vous dans les paramètres de sécurité et cherchez « Passkey », « Clé d'accès » ou « Se connecter sans mot de passe ».
- Suivez les étapes proposées : l'appareil vous demandera de confirmer par votre biométrie ou votre code.
- Testez la connexion, puis vérifiez que vous disposez toujours d'un moyen de secours.
Rien n'est magique
Les passkeys réduisent fortement le risque de phishing, mais pas celui d'un appareil infecté par un logiciel malveillant, ni celui de la manipulation par ingénierie sociale (par exemple convaincre quelqu'un d'accorder l'accès à son compte). Les bonnes habitudes des chapitres précédents restent valables.
Carnet de sécurité : page 2, bilan du chapitre
Complétez la page « Mots de passe et authentification » de votre carnet avec un tableau simple, une ligne par compte prioritaire :
| Compte | Mot de passe unique ? | Double authentification (méthode) | Passkey possible ? | Secours rangés ? |
|---|---|---|---|---|
| Messagerie principale | à compléter | à compléter | à compléter | à compléter |
| Banque | à compléter | à compléter | à compléter | à compléter |
| Gestionnaire de mots de passe | à compléter | à compléter | à compléter | à compléter |
À vous de jouer
Pour chaque situation, indiquez la meilleure solution parmi : mot de passe seul, SMS, application, passkey ou clé physique.
- Un compte de forum de quartier, sans données sensibles ;
- La messagerie principale d'une personne qui reçoit des documents confidentiels ;
- Le compte d'un journaliste qui travaille sur un sujet sensible.
Voir une solution
- Mot de passe unique généré par le gestionnaire, éventuellement avec une double authentification si le service la propose : l'enjeu est faible.
- Passkey ou application d'authentification, avec codes de secours rangés ; une clé physique si l'on veut le meilleur niveau.
- Clé de sécurité physique (deux exemplaires, dont un de secours) et passkeys, car le risque d'attaque ciblée justifie la protection la plus forte contre le phishing.
À retenir
- La biométrie déverrouille localement un appareil ; elle n'est pas un secret et ne se change pas : gardez un code solide.
- Une passkey repose sur une paire de clés : la clé privée reste sur l'appareil, seule une signature est envoyée.
- Elle est liée au domaine du site : un faux site n'obtient rien, d'où une excellente résistance au phishing.
- La récupération et les moyens de secours restent indispensables.
- Les passkeys complètent, sans les remplacer, les bonnes pratiques de mots de passe et de vigilance.
Vos comptes sont mieux défendus. Il est temps de protéger les appareils sur lesquels vous vous connectez : c'est le sujet du chapitre 3.