Ce qu’est une clé d’accès
Une clé d’accès (passkey) remplace le mot de passe par une paire de clés cryptographiques, selon les standards FIDO2 et WebAuthn. La clé privée reste sur l’appareil de la personne ou dans son gestionnaire de clés ; le service ne conserve que la clé publique.
La personne déverrouille sa clé comme elle déverrouille son appareil : empreinte, visage ou code. Il n’y a rien à retenir, et rien à réutiliser d’un site à l’autre.
Pourquoi elle résiste à l’hameçonnage
Une clé d’accès est liée au domaine du service pour lequel elle a été créée. Sur un faux site, le navigateur ne la propose pas : il n’y a pas de secret à saisir, donc rien à voler. Et comme le service ne détient que des clés publiques, une fuite de sa base ne livre aucun secret utilisable.
Préparer la récupération avant le déploiement
La vraie question n’est pas la connexion, mais la perte : un téléphone cassé, un ordinateur remplacé. Une récupération mal conçue redevient la porte d’entrée que les clés d’accès avaient fermée.
- Encouragez chaque personne à enregistrer au moins deux clés (deux appareils, ou une clé de sécurité physique en secours).
- Fournissez des codes de récupération à usage unique, affichés une seule fois, et conservés côté service sous forme d’empreinte.
- Limitez ce qu’une connexion de récupération permet : ajouter une nouvelle clé, et rien d’autre.
- Journalisez chaque récupération et prévenez la personne concernée.
Déployer par étapes
Commencez par les comptes d’administration, les plus exposés et les plus faciles à accompagner. Étendez ensuite service par service, avec un support disponible les premiers jours. Mesurez le nombre de récupérations : c’est le meilleur indicateur des difficultés réelles.