Une clé d’accès remplace un secret partagé par une paire de clés cryptographiques. Le site n’enregistre plus rien de réutilisable, votre empreinte ne bouge pas de l’appareil, et le nom de domaine entre dans la signature.
Une clé d’accès est une paire de clés cryptographiques créée pour un seul site. La partie privée reste dans votre téléphone, votre ordinateur ou une clé matérielle ; la partie publique part chez le site, qui n’en tire rien d’exploitable ailleurs. Se connecter consiste à signer un défi, pas à envoyer un secret : il n’y a donc plus de mot de passe à deviner, à rejouer ni à voler dans une base. Le déverrouillage par empreinte ou par code ne libère que la clé locale, et aucune donnée biométrique ne quitte l’appareil.
Un site propose de « créer une clé d’accès ». Vous acceptez, le téléphone demande votre empreinte, et c’est fini. Aucun mot de passe à choisir, aucun courriel de confirmation, aucun code à recopier. La réaction la plus fréquente est un léger malaise : si rien n’a été saisi, qu’est-ce qui a été enregistré, et où ?
Deux idées fausses circulent. La première veut que la clé d’accès soit un mot de passe caché quelque part, généré et rempli à votre place. La seconde veut que votre empreinte digitale soit partie chez le site. Ni l’une ni l’autre n’est vraie, et la mécanique réelle est plus intéressante : le secret n’est plus partagé du tout.
À la création, votre appareil fabrique une paire de clés fondée sur les courbes elliptiques : une clé privée et une clé publique, liées mathématiquement. La clé privée reste sur place. La clé publique part chez le site, qui la range à côté de votre identifiant.
Pour vous connecter, le site envoie un nombre aléatoire, appelé défi. Votre appareil le signe avec la clé privée et renvoie la signature. Le site vérifie la signature avec la clé publique dont il dispose. À aucun moment un secret réutilisable ne traverse le réseau.
La conséquence est brutale pour l’attaquant. Une base de mots de passe volée reste attaquable hors ligne : les empreintes se cassent, lentement ou vite selon la fonction de hachage employée, comme le détaille notre article sur ce qui rend un mot de passe solide. Une base de clés publiques volée ne donne rien : ces valeurs sont, par construction, faites pour être connues. Il n’y a plus rien à casser, plus rien à rejouer sur un autre site, plus rien à revendre. Cela ne rend pas la fuite anodine pour autant, puisque les adresses et les données de compte restent exposées, avec les conséquences décrites dans notre article sur les fuites de données.
La biométrie n’authentifie pas auprès du site. Elle déverrouille l’usage de la clé privée sur l’appareil, exactement comme le code de verrouillage de l’écran. La comparaison se fait dans un composant matériel dédié, isolé du système, et le gabarit enregistré n’en sort pas.
Ce que le site reçoit, en plus de la signature, tient dans quelques indicateurs : l’appareil confirme qu’une présence humaine a été constatée et qu’une vérification de l’utilisateur a eu lieu. Il ne dit pas si c’était un visage, une empreinte ou un code à six chiffres. Le service ne traite donc aucune donnée biométrique, ce qui change tout du point de vue du règlement européen sur les données personnelles, où la biométrie appartient aux catégories particulières soumises à un régime strict.
Corollaire pratique : la solidité de votre clé d’accès dépend de la solidité du verrouillage de l’appareil. Un téléphone déverrouillé par un code à quatre chiffres devinable protège mal une clé d’accès bancaire. La première mesure de sécurité d’une clé d’accès n’est pas cryptographique, elle est sur l’écran de verrouillage.
Le point qui fait basculer la sécurité tient en une ligne de la norme : le navigateur intègre l’origine, c’est-à-dire le domaine réellement affiché, dans les données signées, et n’associe la clé qu’à ce domaine.
Un faux site ne peut donc rien obtenir d’utile. Le navigateur ne trouve aucune clé enregistrée pour son domaine et ne propose rien à signer. S’il pousse à créer une nouvelle clé, celle-ci vaudra pour le domaine de l’escroc, pas pour le vrai service. Le relais en direct, qui met en échec les codes à usage unique décrits dans notre article sur les seconds facteurs, n’a plus de prise ici : il n’y a aucune valeur à intercepter, et la seule valeur produite est spécifique à un domaine que l’attaquant ne contrôle pas.
Cette vérification est faite par la machine, pas par vous. C’est l’essentiel : les techniques de l’hameçonnage reposent sur la confusion visuelle entre deux noms très proches, une confusion à laquelle un comparateur de chaînes de caractères est totalement insensible. Le lien entre le domaine et le certificat qui l’atteste est expliqué dans notre article sur HTTPS et les certificats.
Toutes les clés d’accès partagent la cryptographie décrite plus haut. Elles se séparent sur un point : la clé privée est-elle recopiable d’un appareil à l’autre ?
| Clé d’accès synchronisée | Clé liée à un appareil | Mot de passe et code à usage unique | |
|---|---|---|---|
| Où vit le secret | Trousseau chiffré de bout en bout, répliqué sur vos appareils | Puce de la clé matérielle ou de l’appareil, sans copie | Base du site, votre mémoire, votre gestionnaire |
| Ce que donne une fuite du site | Rien d’exploitable | Rien d’exploitable | Des empreintes attaquables hors ligne |
| Résistance à l’hameçonnage | Totale | Totale | Nulle face à un relais en direct |
| Perte de l’appareil | Restauration depuis le compte d’écosystème | Accès perdu sans seconde clé | Récupération par courriel ou par SMS |
| Point de confiance | Votre compte d’écosystème | L’objet physique | Le site et votre messagerie |
| Coût | Nul | Quelques dizaines d’euros par clé | Nul |
Le tableau montre que la clé synchronisée et la clé matérielle offrent la même résistance à l’hameçonnage. Elles diffèrent sur la disponibilité et sur la question de savoir à qui vous confiez le stockage.
Une clé d’accès synchronisée est chiffrée avant de quitter l’appareil, avec une clé dérivée d’un secret que le fournisseur ne détient pas, en général le code de verrouillage de vos appareils. Le trousseau qui transite est donc illisible pour l’hébergeur, selon le principe expliqué dans notre article sur le cloud.
Reste que votre compte d’écosystème devient la clé de voûte de toute votre vie numérique. Qui reprend ce compte reprend, à terme, l’ensemble des clés d’accès qu’il abrite. Ce compte doit donc porter la protection la plus forte disponible, un moyen de récupération sérieux, et une vigilance particulière sur les appareils autorisés.
Sur un ordinateur qui ne détient aucune de vos clés, le site affiche un code graphique à scanner avec le téléphone. Le détail utile est ce qui se passe ensuite : le téléphone et l’ordinateur établissent une vérification de proximité par liaison sans fil courte portée avant d’aller plus loin.
Cette contrainte physique n’est pas cosmétique. Sans elle, un escroc pourrait afficher son propre code graphique sur une page piégée et faire valider une connexion à distance. Avec elle, l’appareil qui autorise doit se trouver dans la même pièce que l’appareil qui se connecte. Le code graphique ne transporte pas la clé : il sert à établir un canal chiffré, et la clé privée ne bouge toujours pas.
Sur un poste partagé, préférez malgré tout cette méthode à toute autre : rien n’est enregistré sur l’ordinateur, et la session se ferme avec le navigateur. La question du poste public rejoint celle de la connexion aux services publics, où la tentation de cocher « rester connecté » sur un ordinateur de médiathèque coûte cher.
Une clé d’accès est fabriquée pour un seul service. Deux sites qui compareraient leurs bases n’y trouveraient aucune valeur commune : les clés publiques sont indépendantes, tirées au sort à chaque inscription. Il n’existe donc pas d’identifiant transversal permettant de suivre une même personne d’un service à l’autre, contrairement à ce que produit une connexion déléguée à un grand fournisseur, qui apprend à chaque fois quel site vous visitez et à quel moment.
Le service voit tout de même trois choses. Le nombre de clés enregistrées et leur date de création, ce qui lui permet de vous signaler un appareil inconnu. Le fait qu’une vérification de l’utilisateur a eu lieu. Et, selon les réglages, un identifiant de modèle qui désigne le type d’authentificateur employé, pas son numéro de série : une banque peut s’en servir pour refuser les clés d’accès synchronisées et n’accepter que du matériel certifié, pratique répandue dans les usages professionnels.
Cette faculté explique une bizarrerie que rencontrent les utilisateurs pressés : un service accepte votre clé d’accès, un autre la refuse en réclamant une clé matérielle. Ce n’est pas un défaut de votre appareil, c’est une exigence de niveau fixée par le service, du même ordre que celle qui sépare les deux niveaux de garantie décrits pour les services publics.
La technologie est mûre, son déploiement ne l’est pas. Quatre frictions reviennent.
Le point 7 est celui que tout le monde saute. Une clé d’accès abandonnée sur un téléphone revendu ou sur un ordinateur professionnel rendu reste valide côté service tant que personne ne la révoque. La révocation se fait dans les réglages du compte, pas sur l’appareil, et la logique est la même que pour la suppression complète d’un compte : ce qui n’est pas retiré côté serveur continue d’exister.
Avant d’activer une clé d’accès sur un compte, posez deux questions. Où vivra la clé privée, et donc à qui je confie ce stockage : à un objet dans ma poche, ou à un compte d’écosystème que je dois protéger d’autant mieux ? Et par où pourra-t-on encore entrer dans ce compte quand la clé existera : mot de passe, code par SMS, lien envoyé à une messagerie ? La clé d’accès ne vaut vraiment que lorsque la réponse à la seconde question tient sur une ligne.
Non, dans la plupart des cas. Une clé d’accès synchronisée se retrouve sur tout appareil connecté au même compte d’écosystème : un nouveau téléphone la récupère après restauration. Le risque réel concerne les clés liées à un appareil unique, matériel ou non synchronisé. La précaution s’applique dans les deux cas : enregistrez au moins deux moyens de connexion sur chaque compte important, et conservez les codes de secours imprimés.
Jamais. La biométrie est comparée localement, dans un composant sécurisé de l’appareil, et sert uniquement à autoriser l’usage de la clé privée. Le site reçoit une signature accompagnée d’un indicateur signalant qu’une vérification de l’utilisateur a bien eu lieu, sans savoir si c’était une empreinte, un visage ou un code. Aucun gabarit biométrique ne circule, ce qui écarte la question du traitement de données biométriques par le service.
Partiellement, et cela s’améliore. Les clés d’accès ont d’abord été enfermées dans le trousseau qui les avait créées, sans exportation possible. L’alliance FIDO a publié depuis les spécifications d’un format d’échange destiné aux transferts entre gestionnaires, dont le déploiement est progressif. En attendant, la méthode sûre reste de recréer une clé d’accès sur le nouvel appareil pour chaque compte, puis de supprimer l’ancienne dans les réglages du site.
Oui, sur le compte où elle est utilisée, parce qu’elle combine déjà la détention de l’appareil et son déverrouillage. Un site correctement conçu ne demande donc pas de code supplémentaire. Attention toutefois : si le mot de passe et son second facteur restent actifs en parallèle, la double authentification continue de protéger ce chemin de secours, et il faut la garder.
Quand le service le permet, oui, mais pas le jour même. Créez d’abord la clé d’accès sur au moins deux appareils, vérifiez qu’une connexion réelle fonctionne depuis chacun, imprimez les codes de secours, puis seulement retirez le mot de passe. Beaucoup de services ne proposent pas encore cette suppression : dans ce cas, laissez un mot de passe long et unique généré par un gestionnaire, il ne sert plus qu’aux situations de repli.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Mots de passe, arnaques, fuites de données et réflexes qui changent vraiment quelque chose.