Comment utiliser les clés d’accès (passkeys)

Comment fonctionnent les clés d’accès?
Comment créer et utiliser une clé d’accès?
Questions en vrac sur les clés d’accès

Les mots de passe représentent le talon d’Achille de la sécurité informatique.

C’est qu’ils peuvent bien vous protéger, du moins si vous adoptez de bonnes pratiques – comme l’utilisation de mots de passe variés et difficiles à retenir – et que vous activez l’authentification à deux facteurs de vos comptes en ligne (lorsque vous recevez, par exemple, un texto pour confirmer que vous essayez d’accéder à un site web). En pratique, cependant, peu de gens le font.

« On a noté du progrès dans la dernière décennie, mais les mots de passe représentent encore un gros problème en sécurité informatique », se désole Tony Anscombe, évangéliste technologique pour l’entreprise de sécurité informatique européenne ESET.

Une nouvelle technologie qui commence à faire son apparition sur le Web vise toutefois à remplacer les mots de passe et à régler les problèmes qui y sont associés : les clés d’accès (ou passkeys en anglais, aussi appelées « clés d’authentification »).

Les clés d’accès constituent une méthode moderne d’authentification qui simplifie et sécurise la connexion aux services en ligne. « Les clés d’accès sont plus sécuritaires que les mots de passe », confirme Tony Anscombe. Celles-ci sont un peu comme une clé de maison qui serait créée automatiquement à chaque nouveau compte, et devrait absolument être rangée dans un porte-clés sécuritaire.

Comment fonctionnent les clés d’accès?

Une clé d’accès est une preuve numérique de votre identité. Elle se compose d’un code public enregistré dans un serveur web (l’équivalent d’une serrure) et d’un code privé en votre possession (ce qui correspondrait grosso modo à la clé). On s’en sert dans les mêmes occasions qu’un mot de passe, généralement pour se connecter à un compte en ligne, sur le Web ou dans une application mobile.

Pour utiliser une clé d’accès, vous devez avoir le code privé avec vous (sur un téléphone ou un ordinateur, par exemple) et y accéder grâce au mécanisme de déverrouillage de votre appareil, comme un lecteur d’empreintes digitales ou un code NIP. Vous êtes alors en mesure d’accéder à un compte en ligne sans nom d’utilisateur, sans mot de passe et sans authentification à deux facteurs.

Cette technologie est encore jeune et peu répandue, mais elle est appelée à gagner en importance au cours des prochaines années, peut-être même au point – c’est le souhait de l’industrie – de remplacer les mots de passe. Dans cet article, nous vous expliquons comment créer des clés d’accès, comment les utiliser et où les sauvegarder.

Comment créer et utiliser une clé d’accès?

Des dizaines de sites et d’applications – Coinbase, eBay, TikTok, X… – permettent de créer des clés d’accès. Parfois, l’option est offerte au moment de créer un compte (vous avez alors le choix de définir un mot de passe ou de créer une clé d’accès), mais en règle générale, vous devez plutôt définir un mot de passe d’abord, puis accéder aux paramètres de votre compte pour créer une clé.

Vous aurez alors le choix de sauvegarder la partie privée de la clé sur votre ordinateur, sur votre téléphone, sur une clé USB ou – ce qui est préférable – dans un service en ligne, généralement un gestionnaire de mots de passe ou le service de sauvegarde de votre appareil (comme iCloud d’Apple).

La marche à suivre est sensiblement la même, peu importe l’appareil utilisé.

Windows (et généralités)

Création de la clé

- Dans cet exemple, une clé d’accès a été créée sur le site Coinbase.com à partir d’un ordinateur Windows. Il suffit d’utiliser le mécanisme de déverrouillage de votre ordinateur pour enregistrer ou utiliser une clé d’accès.

Lorsque vous créez une clé d’accès avec un ordinateur Windows 10 ou Windows 11, une fenêtre « Sécurité Windows » s’ouvre automatiquement. Vous aurez alors à vous identifier avec Windows Hello – le nom donné à l’outil d’authentification du système d’exploitation –, que ce soit avec un mot de passe, un numéro d’identification personnel (NIP), un schéma ou une preuve biométrique, tel votre visage. Par défaut, la clé est enregistrée sur votre ordinateur.

Au lieu de vous identifier, vous pouvez aussi sélectionner l’option « Utiliser un autre appareil », pour que la clé soit enregistrée sur votre téléphone ou votre tablette (vous devrez alors numériser un code-barres bidimensionnel, plus communément appelé « code QR ») ou encore sur une clé USB.

À supposer qu’un gestionnaire de mots de passe soit déjà activé sur votre ordinateur, c’est lui qui sera priorisé pour créer la clé. Une fenêtre de votre gestionnaire devrait alors s’ouvrir automatiquement dans votre navigateur. L’interface change d’un logiciel à l’autre, mais le concept reste le même. Il vous faudra généralement cliquer sur un bouton pour confirmer l’enregistrement de la clé d’accès; 1Password, par exemple, vous demande de cliquer sur « enregistrer », tandis que Proton Pass exige que vous cliquiez sur « enregistrer la clé d’accès ».

- Quand vous avez un gestionnaire de mots de passe, celui-ci est utilisé par défaut pour enregistrer ou utiliser une clé d’accès.

Pour afficher vos clés d’accès enregistrées localement dans Windows, dirigez-vous vers Paramètres > Comptes > Paramètres de clé d’accès. Les clés enregistrées dans un gestionnaire sont quant à elles habituellement rangées au même endroit que les mots de passe.

Utilisation de la clé

La plupart des sites web vous offrent différentes options pour vous authentifier, comme celles qui consistent à entrer un mot de passe ou à vous connecter avec votre compte Facebook ou Google. Les sites compatibles avec les clés d’accès proposeront en plus cette option.

Si vous utilisez un gestionnaire de mots de passe, celui-ci ouvrira une fenêtre et vous demandera de confirmer que vous voulez bien utiliser votre clé d’accès.

Vous n’utilisez pas de gestionnaire de ce genre? Une fenêtre de « Sécurité Windows » vous demandera de vous connecter avec votre clé d’accès. Si votre clé se trouve sur votre téléphone, vous devrez sélectionner l’option « Appareil iPhone, iPad ou Android ». Un code QR apparaîtra à l’écran de votre ordinateur, et il vous faudra le numériser avec l’appareil photo de votre iPhone ou de votre appareil Android.

Une interface s’affichera alors pour vous demander de confirmer votre identité, par exemple par la reconnaissance du visage Face ID avec un iPhone.

À noter que l’inverse n’est toutefois pas vrai : au moment de publier cet article, il n’était pas possible d’utiliser une clé d’accès enregistrée localement sur un ordinateur pour ouvrir un compte à partir d’un téléphone.

Mac

- Par défaut, macOS enregistre les clés dans le trousseau iCloud. Dans cet exemple comme dans les exemples subséquents, une clé a été créée à partir d’un site web de Google conçu pour mettre les clés d’accès à l’essai.

Avec un ordinateur doté de macOS 13 ou plus récent, le fonctionnement est sensiblement le même que sur un ordinateur Windows. Quand vous créez une clé d’accès ou que vous avez à en utiliser une, une fenêtre s’affiche automatiquement et vous demande de déverrouiller votre appareil, par exemple avec votre empreinte digitale.

Par défaut, macOS sauvegarde les clés d’accès avec les mots de passe dans le trousseau iCloud, accessible dans Réglages > Mots de passe. Ce dernier peut être utilisé sur iPhone, iPad, Mac et Windows, mais pas sur Android. L’utilisation d’un gestionnaire de mots de passe est donc à privilégier si vous vous servez d’un appareil Android.

Soulignons qu’à compter de l’automne, avec la mise à jour macOS Sonoma, les clés d’accès et les mots de passe seront plutôt enregistrés dans l’application Mots de passe d’Apple, dont l’interface se rapproche plus de celle d’un gestionnaire de mots de passe. L’application ne sera cependant pas offerte sur Android.

iOS (et iPadOS)

- L’interface pour enregistrer ou utiliser une clé d’accès dans iOS 17.

Le système d’exploitation iOS sauvegarde par défaut les mots de passe et les clés d’accès dans le trousseau iCloud, accessible dans les paramètres de l’appareil (Réglages > Mots de passe).

Ici aussi, l’interface pour sauvegarder une nouvelle clé d’accès ou pour en utiliser une se veut simple et intuitive. Une fenêtre de dialogue s’affiche au bas de l’écran pour confirmer l’enregistrement ou l’utilisation d’une clé, et vous devez vous servir du mécanisme de déverrouillage de l’appareil pour vous authentifier.

Vous pouvez aussi employer un gestionnaire de mots de passe. Pour l’activer, dirigez-vous vers Réglages > Mots de passe, puis sélectionnez Options des mots de passe. Il vous sera alors possible de choisir où les clés d’accès et les mots de passe doivent être sauvegardés. Vous avez l’option d’activer deux gestionnaires : le trousseau iCloud et un autre (Dashlane, Proton Pass, etc.). Dans ce cas, iOS vous demandera à chaque utilisation où vous voulez sauvegarder une clé, ou à partir de quel endroit vous souhaitez l’utiliser.

À l’arrivée d’iOS 18, à l’automne, toutes ces options devraient changer. Les mots de passe seront enregistrés par défaut dans l’application Mots de passe d’Apple. Les options pour utiliser des gestionnaires tiers seront proposées dans Réglages > Général > Remplissage auto. et mots de passe. Vous pourrez alors sélectionner plus d’un gestionnaire de mots de passe tiers à utiliser à la fois.

Android

- L’interface pour enregistrer ou utiliser une clé d’accès dans Android 14.

Au moment d’écrire ces lignes, le système d’exploitation mobile Android tirait un peu de l’arrière par rapport aux autres systèmes dans sa gestion des clés d’accès. Par défaut, le système enregistre les clés dans le Gestionnaire de mots de passe Google. Il s’agit du moins bon gestionnaire parmi tous ceux qui ont été essayés ici, puisqu’il offre moins d’options avancées – il est impossible de personnaliser la génération de mots de passe complexes, par exemple –, et, surtout, cet outil n’est compatible qu’avec Chrome sur Windows et macOS, ce qui vous restreint à ce navigateur.

Avec une application mobile, il vous est possible d’enregistrer et d’utiliser des clés dans un gestionnaire de mots de passe d’une autre entreprise, comme Dashlane ou Microsoft Authenticator, mais pas à partir d’un navigateur.

D’ici à ce que cela soit modifié (si ce l’est un jour), il vaut probablement mieux adopter de bonnes pratiques de gestion de mots de passe et conserver ceux-ci.

À supposer que vous décidiez d’utiliser quand même les clés d’accès, la marche à suivre ressemble à celle des autres plateformes. Quand vous créez une clé, une fenêtre s’affiche au bas de l’écran pour confirmer le tout. Il suffit alors d’appuyer sur Continuer, puis d’utiliser le mode de déverrouillage de votre écran (NIP, schéma, empreinte digitale) pour l’enregistrer.

Une fenêtre de dialogue similaire s’affiche au bas de l’écran quand vient le temps d’utiliser une clé d’accès. Vous pouvez dès lors aussi cliquer sur Options de connexion pour utiliser une clé sur un autre appareil, ou pour vous servir d’une autre clé que celle qui est proposée par défaut dans le gestionnaire de mots de passe.

Questions en vrac sur les clés d’accès

Pourquoi les clés d’accès sont-elles plus sécuritaires que les mots de passe?

Les clés d’accès résistent à l’hameçonnage (quand des pirates tentent de vous soutirer votre mot de passe à l’aide d’un faux site, par exemple), et il est impossible de les utiliser sans avoir un accès physique à vos appareils. Par rapport aux mots de passe avec les meilleures pratiques qui soient en matière de sécurité informatique (mots de passe complexes et uniques, et adoption de l’authentification à deux facteurs), les clés d’accès sont aussi plus sécuritaires, mais la différence est alors moindre.

Les clés d’accès sont-elles répandues?

L’industrie technologique – notamment des entreprises comme Apple et Google – a créé les clés d’accès avec l’objectif de remplacer un jour les mots de passe. Néanmoins, à l’heure actuelle, moins de 200 sites web et services seraient compatibles avec cette technologie (Adobe, Amazon, Apple, Coinbase, Google, LinkedIn, Microsoft, X, etc.), selon une base de données du gestionnaire de mots de passe 1Password. Bref, les clés d’accès n’en sont encore qu’à leurs débuts.

Dans nos essais, la mise en œuvre de cette technologie laisse d’ailleurs parfois à désirer. Il a par exemple été possible de créer une clé d’accès sur un téléphone Android pour le voyagiste en ligne Kayak.com, mais impossible de l’utiliser pour s’enregistrer avec un iPhone par la suite (dans cet exemple précis, nous avons dû nous connecter par Google, puis créer un nouveau mot de passe pour Kayak).

Où devez-vous sauvegarder vos clés d’accès?

La partie privée des clés d’accès peut être sauvegardée sur un appareil électronique, comme un ordinateur ou un téléphone. Il y a aussi moyen de les sauvegarder dans l’outil de sauvegarde du système d’exploitation de votre appareil (iCloud d’Apple, par exemple) ou dans un gestionnaire de mots de passe. Vous avez également la possibilité de les enregistrer sur une clé USB, mais vous aurez alors besoin d’un ordinateur pour y accéder.

De préférence, optez pour une sauvegarde dans un service en ligne offert sur le plus de plateformes possible, ce qui vous permettra de vous connecter plus facilement à vos comptes à partir de différents appareils. Cela vous évitera aussi d’avoir à créer de nouvelles clés si vous changez de téléphone. Les gestionnaires de mots de passe représentent la meilleure option pour vous en ce moment. Au moment d’écrire ces lignes, la plupart des gestionnaires étaient compatibles avec la technologie, notamment 1Password, Bitwarden, Dashlane, Keeper et Proton Pass.

Une clé d’accès peut-elle être utilisée sur un appareil public?

Une clé d’accès enregistrée sur un téléphone peut être employée pour déverrouiller un compte sur un autre appareil, comme l’ordinateur d’un ami, en numérisant un code QR affiché à l’écran. La clé ne quitte alors jamais le téléphone.

Pouvez-vous exporter vos clés d’accès d’un appareil ou d’un gestionnaire à un autre?

Oui… et non. À l’heure actuelle, il n’est généralement pas possible de faire migrer une clé d’accès d’un service à un autre. Vous ne pouvez par exemple pas copier une clé du gestionnaire de mots de passe Dashlane et la coller dans 1Password ni exporter toutes vos clés d’accès du trousseau iCloud d’un coup. Si vous changez de gestionnaire, vous aurez donc généralement à créer de nouvelles clés d’accès à partir des paramètres de chacun de vos comptes.

Cela devrait cependant changer avec le temps. Sur iPhone, il y a d’ailleurs moyen d’exporter une clé d’accès à la fois d’un iPhone à un autre appareil d’Apple, à l’aide de l’outil AirDrop. Certains gestionnaires, tels que Bitwarden et Proton Pass, permettent aussi déjà d’exporter les clés d’accès, mais la plupart des autres gestionnaires ne peuvent pas les importer pour le moment.

Pouvez-vous partager une clé d’accès avec d’autres?

Certains gestionnaires de mots de passe, comme 1Password et Apple Passwords (attendu à l’automne), permettent de partager vos clés d’accès avec d’autres utilisateurs de votre choix. Ces derniers doivent toutefois utiliser le même gestionnaire que vous. Contrairement à une simple exportation, un partage vous permet de révoquer l’accès au besoin.

Qu’arrive-t-il si vous perdez votre appareil avec vos clés d’accès?

Perdre une clé d’accès est comme oublier un mot de passe. Vous devrez utiliser les outils de récupération de compte du service auquel vous souhaitez accéder pour retrouver votre accès, généralement suivant un lien reçu par courriel.

Pouvez-vous effacer les mots de passe de vos comptes?

Si vous avez une clé d’accès, vous pouvez parfois effacer le mot de passe de votre compte, ce qui augmente la sécurité (puisque vous retirez dès lors une possibilité d’attaque pour les pirates). Passez par les paramètres de votre de compte en ligne pour le faire.

Comment effacer une clé d’accès?

Dans le cas où vous souhaiteriez effacer une clé d’accès – enregistrée localement sur un appareil mobile que vous voulez réinitialiser, par exemple –, effacez tout d’abord la partie publique de la clé dans les paramètres du compte en ligne qu’elle protège (il vous faudra alors ajouter un autre mode de protection, comme une seconde clé d’accès ou un mot de passe). Ensuite, effacez la version privée de la clé sur votre appareil.

À lire aussi : Comparaison de 5 services pour gérer vos mots de passe, Comment activer l’authentification à deux facteurs dans vos comptes en ligne et Comment sauvegarder vos clés d’authentification à deux facteurs