Passkeys : la fin des mots de passe ? Ce qu'elles ne remplacent pas
Apple, Google et Microsoft annoncent la disparition du mot de passe depuis trois ans. Les passkeys sont une vraie avancée / elles règlent le hameçonnage mieux que n'importe quelle formation utilisateur. Mais elles ne vident pas votre coffre-fort, et quatre raisons expliquent pourquoi.
Ce qu'est réellement une passkey
Une passkey n'est pas un mot de passe plus long. C'est une paire de clés cryptographiques. La clé publique part chez le site, la clé privée reste sur votre appareil et n'en sort jamais. Pour vous connecter, le site envoie un défi aléatoire, votre appareil le signe avec la clé privée, le site vérifie la signature avec la clé publique.
La conséquence est majeure : il n'y a plus de secret partagé à voler. Un site piraté ne livre que des clés publiques, inutiles seules. Et un faux site ne peut pas récupérer votre passkey, car la signature est liée au nom de domaine réel. C'est ce qui rend les passkeys structurellement résistantes au hameçonnage, là où le meilleur mot de passe du monde reste recopiable sur une page imitée.
Soyons clairs : c'est un vrai progrès
Sur les sites qui les prennent en charge, les passkeys sont meilleures que les mots de passe sur presque tous les plans. Rien de ce qui suit ne dit le contraire. La question n'est pas de savoir si elles sont bonnes, mais si elles suffisent.
Limite 1 / la couverture reste minoritaire
Une passkey ne fonctionne que si le site l'implémente. En 2026, les grandes plateformes l'ont fait : Google, Apple, Microsoft, Amazon, PayPal, les principaux réseaux sociaux. Le reste de votre vie numérique, non.
Faites l'exercice : comptez vos comptes, puis comptez ceux qui acceptent une passkey. Le rapport est rarement flatteur. Et la migration ne dépend pas de vous / elle dépend de chaque éditeur, dont beaucoup n'ont aucune raison commerciale de se presser.
Limite 2 / vos clés vivent chez un tiers
La clé privée ne quitte pas l'appareil, dit la théorie. En pratique, pour que vos passkeys vous suivent du téléphone au PC, elles sont synchronisées : trousseau iCloud chez Apple, gestionnaire Google sur Android et Chrome, compte Microsoft sur Windows.
Autrement dit, le secret qui ouvre vos comptes est stocké chez la même entreprise qui détient votre messagerie, votre téléphone et votre système d'exploitation. Pour qui cherchait à sortir du cloud, le gain est nul / on a simplement déplacé la dépendance, en la rendant plus difficile à quitter.
Le verrou est plus fort qu'avec un mot de passe
Un mot de passe se copie, se note, se transfère d'un outil à l'autre. Une passkey synchronisée dans un écosystème ne s'exporte pas librement. Changer de téléphone entre Android et iOS, ou quitter Chrome, redevient une opération pénible / exactement ce que l'interopérabilité annoncée devait éviter.
Limite 3 / la récupération ne vous appartient plus
Perdez l'accès à votre compte Apple, Google ou Microsoft, et vous perdez d'un coup toutes les passkeys qui y étaient rattachées. La reprise en main dépend alors entièrement des procédures de l'éditeur : formulaires automatisés, délais d'attente, décisions sans recours réel.
C'est le paradoxe de la promesse « plus de mot de passe à retenir » : le mot de passe du compte central, lui, devient un point de défaillance unique. Et les codes de récupération que chaque service vous demande de conserver quelque part sont, eux, du texte brut à stocker en sécurité. Un coffre-fort, donc.
Limite 4 / une passkey n'ouvre qu'une session
Un gestionnaire de mots de passe ne contient pas que des identifiants. Il contient tout ce qui doit rester secret et qu'aucune passkey ne saura porter :
Même dans un monde où chaque site accepterait les passkeys, cette liste resterait entière. Elle justifie à elle seule de conserver un coffre.
Le point que personne ne mentionne : les passkeys ne sont pas post-quantiques
Les passkeys reposent sur la norme WebAuthn, qui s'appuie aujourd'hui sur de la cryptographie asymétrique classique : ECDSA sur la courbe P-256 dans l'immense majorité des cas, parfois EdDSA ou RSA. Ce sont précisément les familles que l'algorithme de Shor casse sur un ordinateur quantique suffisamment puissant.
Il faut être précis sur la nature du risque, parce que les deux situations ne se valent pas :
Données chiffrées volées aujourd'hui
Le risque est rétroactif. Un coffre exfiltré en 2026 peut être conservé puis déchiffré le jour où la machine existe. C'est la logique « récolter maintenant, déchiffrer plus tard ».
Signature d'une passkey
Le risque est futur, pas rétroactif. Personne ne rejouera vos connexions passées. En revanche, à partir d'une clé publique connue, une machine opérationnelle permettrait de dériver la clé privée et de se faire passer pour vous.
Conclusion honnête : les passkeys sont moins exposées qu'un coffre chiffré volé, mais elles ne sont pas « quantum-safe » pour autant, contrairement à ce que laisse parfois entendre la communication marketing autour du sujet. Les travaux de normalisation post-quantique pour WebAuthn existent, ils ne sont pas déployés.
Passkeys et coffre-fort local, côte à côte
| Critère | Passkeys | Coffre local Kyber |
|---|---|---|
| Résistance au hameçonnage | Excellente (liée au domaine) | Dépend de la vigilance |
| Couverture des sites | Minoritaire en 2026 | Universelle |
| Stockage du secret | Trousseau Apple / Google / Microsoft | Fichier .vault sur votre disque |
| Compte requis | Oui, celui de l'écosystème | Aucun |
| Récupération | Procédure de l'éditeur | Votre sauvegarde, votre responsabilité |
| Autres secrets (2FA, notes, licences) | Non | Oui |
| Cryptographie post-quantique | Non (ECDSA P-256) | AES-256 + Argon2id, ML-KEM en défense |
| Fonctionne hors ligne | Partiellement | Totalement |
Ce qu'il faut faire concrètement
La bonne posture n'est pas de choisir un camp. Les deux outils répondent à des problèmes différents et se complètent bien.
Activez les passkeys là où elles existent
Sur vos comptes les plus sensibles et les plus visés : messagerie principale, comptes financiers, réseaux sociaux. Le gain contre le hameçonnage est immédiat.
Gardez un mot de passe fort en secours
La plupart des sites conservent le mot de passe comme méthode de repli. Il reste une porte d'entrée / il doit rester solide et unique.
Stockez ailleurs vos codes de récupération
C'est le point aveugle des passkeys. Ces codes ne doivent pas dormir dans le même écosystème que les clés qu'ils servent à récupérer.
Conservez un coffre pour tout le reste
Secrets 2FA, licences, notes, documents chiffrés, et les centaines de comptes qui n'auront jamais de passkey.
En résumé
Les passkeys règlent élégamment le problème du secret partagé et du hameçonnage. Elles ne règlent ni la couverture, ni la dépendance aux grandes plateformes, ni la conservation des secrets qui ne sont pas des identifiants. Et elles n'apportent, en l'état, aucune réponse à l'échéance quantique.
Annoncer la mort du mot de passe fait un bon titre. Dans les faits, la période qui s'ouvre est une longue cohabitation / et pendant cette période, savoir où vivent vos secrets compte davantage que la technologie employée pour les présenter. C'est exactement le pari de Kyber : un coffre qui reste sur votre disque, sans compte, avec du chiffrement dimensionné pour durer.
Gardez la main sur vos secrets
Gratuit jusqu'à 10 mots de passe. Aucun compte requis. Le coffre reste sur votre disque.