Les mots de passe ont régné sans partage pendant quarante ans. Quarante ans à les réinitialiser, à les oublier, à les réutiliser, à les voir fuiter par millions. Quarante ans à expliquer aux utilisateurs qu’il faut des majuscules, des chiffres, des symboles, et qu’il ne faut surtout pas les noter sur un post-it.

Cette ère touche à sa fin. En 2026, plus de cinq milliards de passkeys sont en circulation, et trois utilisateurs sur quatre en ont déjà activé au moins une sur un compte. Ce n’est pas une mode. C’est un basculement.

Ce qu’est vraiment une passkey

Derrière ce terme un peu mystérieux se cache un mécanisme cryptographique d’une simplicité élégante. Lorsque vous créez un compte avec une passkey, votre téléphone, votre ordinateur ou votre clé USB génère une paire de clés : une clé publique que le service en ligne conserve, et une clé privée qui, elle, ne quitte jamais votre appareil. Cette clé privée est enfermée dans un coffre-fort numérique – la Secure Enclave des iPhone, le TPM des PC, le Titan M des Pixel. Pour l’utiliser, vous n’avez pas besoin de la connaître, ni de la taper, ni de la retenir. Un simple geste suffit : votre empreinte, votre visage ou votre code PIN.

Quand vous vous connectez, le site vous envoie un défi aléatoire. Votre appareil le signe avec la clé privée, et le site vérifie la signature avec la clé publique. Aucun secret ne transite sur le réseau. Et parce que la signature est liée au nom de domaine du site, une passkey créée pour votre banque ne fonctionnera jamais sur un site pirate. Le phishing, qui reste la porte d’entrée de la majorité des cyberattaques, devient mathématiquement impossible.

La révolution des clés de sécurité matérielles

Mais il faut distinguer deux réalités bien différentes. D’un côté, les passkeys dites « synchronisées » – celles qui voyagent dans votre trousseau iCloud, votre compte Google ou votre gestionnaire Bitwarden. Elles sont pratiques, accessibles, et suffisantes pour la plupart des usages. Elles sont toutefois hébergées dans le cloud, et leur sécurité dépend de celle de votre compte et de votre fournisseur.

De l’autre, il y a les passkeys « liées à un appareil », et parmi elles, les clés de sécurité matérielles comme les YubiKey, SoloKey ou Google Titan. Ces petits objets en forme de clé USB – parfois dotés du NFC pour fonctionner sans fil avec les téléphones.

Elles représentent l’arme absolue contre les menaces les plus sérieuses. La clé privée est générée et stockée dans une puce infalsifiable ; elle ne peut ni être extraite, ni copiée, ni synchronisée à votre insu.

Si vous branchez votre YubiKey sur un ordinateur infecté, le malware ne peut rien faire d’autre que vous demander d’appuyer sur le bouton physique – et si vous ne le faites pas, la clé ne signe rien. C’est ce niveau de protection que le NIST américain qualifie de AAL3, le plus élevé. C’est aussi celui que les agences fédérales exigent désormais de leurs agents.

Dans un monde où les menaces évoluent vite, la question n’est plus de savoir si vous devez adopter les passkeys, mais de choisir entre la souplesse des passkeys synchronisées et la robustesse des clés matérielles. La sagesse consiste à utiliser les premières pour vos comptes courants, et les secondes pour vos comptes sensibles – votre messagerie principale, votre banque, vos accès administrateur, votre coffre de mots de passe.

Ce qui change sur chaque système

Ce qui rend l’adoption des passkeys si concrète, c’est que les grands systèmes d’exploitation les ont intégrées nativement. Mais cette intégration n’est pas uniforme, et chaque écosystème a ses habitudes.

Sur Windows, la passkey s’appuie sur Windows Hello. Vous créez une clé dans le TPM de votre machine, et chaque connexion se valide par votre empreinte ou votre code PIN. La gestion se fait dans les paramètres, sous la rubrique « Clés d’accès ». L’expérience est fluide, à condition d’utiliser un navigateur récent – Chrome, Edge ou Firefox.

Sur MacOS et iOS, l’affaire est encore plus transparente. iCloud Keychain synchronise vos passkeys sur tous vos appareils Apple, et la validation se fait en un regard (Face ID) ou une pression (Touch ID). L’application Mots de passe, devenue centrale sous Sonoma, vous permet de consulter, partager ou supprimer vos passkeys en quelques clics. Si vous utilisez Safari, tout se fait sans intervention ; avec Chrome ou Edge, il faut parfois sélectionner manuellement la passkey dans le trousseau.

Sous Android, le Google Password Manager joue le même rôle.

Et puis il y a Linux. Le bât blesse. Contrairement aux autres plateformes, Linux ne dispose d’aucun service système pour les passkeys. Vous pouvez utiliser l’extension Bitwarden ou 1Password dans votre navigateur, et c’est une solution qui fonctionne parfaitement en pratique. Vous pouvez aussi brancher une clé matérielle FIDO2 : elle est reconnue nativement par le noyau, et Chrome, Edge ou Firefox la prennent en charge sans difficulté. Mais il n’existe pas d’équivalent de Windows Hello ou de iCloud Keychain. Les projets pour y remédier existent – Credentials for Linux, notamment – mais ils n’ont pas encore abouti à une solution standardisée. Pour l’instant, sur Linux, la clé matérielle reste la voie la plus fiable.

Guide pratique : clés physiques, Android et Linux

En 2026, les modèles les plus solides sont la YubiKey 5 Series (Yubico) et la Google Titan Security Key. La YubiKey existe en USB-A, USB-C et NFC – privilégiez l’USB-C avec NFC si vous utilisez aussi un smartphone.

Avant toute utilisation, vous devez définir un code PIN FIDO2 sur votre clé. Contrairement au PIN de votre téléphone, celui-ci est stocké dans la clé elle-même et protège l’accès à vos passkeys. Pour le définir :

• Sous Windows ou MacOS, connectez-vous sur un site de test comme webauthn.io. Lors de l’enregistrement d’une passkey, le navigateur vous proposera automatiquement de créer un PIN.
• Sous Linux, préférez Chrome ou Chromium, car Firefox peut échouer à cette étape. Vous pouvez aussi utiliser l’outil en ligne de commande ykman (disponible pour YubiKey) : ykman fido access set-pin.

Si vous perdez ou oubliez ce PIN, la seule solution est de réinitialiser entièrement la clé, ce qui efface toutes les passkeys stockées. Conservez ce PIN dans un endroit sûr, comme votre gestionnaire de mots de passe.

Pour créer une passkey sur votre clé, rendez-vous sur un site compatible (Google, GitHub, etc.) et choisissez l’option « Utiliser une clé de sécurité » ou « Passkey ». Branchez la clé, touchez son bouton métallique (ou approchez-la en NFC), puis saisissez votre code PIN FIDO2. La passkey est désormais liée physiquement à votre clé : elle ne fonctionne qu’avec elle.

Utiliser une passkey sous Android

Si vous utilisez Android 9, le support est basique et se limite aux clés de sécurité externes – pas de synchronisation possible. À partir d’Android 13, le Google Password Manager gère les passkeys de manière native, et Android 14/15 étend ce support aux fournisseurs tiers comme NordPass ou Bitwarden.

Pour utiliser une clé physique sur Android :

• Si votre clé est en USB-C, branchez-la simplement dans le port de votre téléphone.
• Si elle est en NFC, activez le NFC dans les paramètres rapides et approchez la clé de l’antenne du téléphone (généralement située à l’arrière).
• Installez l’application YubiKey Passkey Enabler. Elle vous permet de définir la clé comme fournisseur de passkeys par défaut, d’activer l’option « Toujours demander le PIN » pour ne saisir le code qu’une seule fois par session, ou encore de changer le PIN directement depuis l’application.

Au quotidien, lorsqu’un site ou une application vous demande une passkey, votre téléphone vous proposera la clé physique. Il vous suffira de tapoter la clé (ou de l’approcher) et de saisir son code PIN.

Utiliser une passkey sous Linux

Linux ne dispose d’aucun service système équivalent à Windows Hello ou iCloud Keychain. Firefox, en particulier, ne peut pas stocker de passkeys et ne supporte pas les connexions par QR code.

Vous avez trois options concrètes.

La plus fiable est d’utiliser une clé matérielle FIDO2. Assurez-vous qu’elle supporte le protocole FIDO2 (et pas seulement le plus ancien U2F). Utilisez Chrome, Chromium ou Brave – ce sont les navigateurs les mieux intégrés. Branchez la clé, créez ou utilisez votre passkey sur le site, et le navigateur gère le dialogue avec la clé.

La plus pratique est d’installer l’extension Bitwarden ou 1Password sur votre navigateur (Chrome ou Chromium). Elle intercepte les demandes de passkey, les stocke dans votre coffre chiffré, et les synchronise sur tous vos appareils.

Une troisième option, plus avancée, consiste à utiliser votre smartphone comme passkey distante. Avec un navigateur Chromium, vous pouvez établir une connexion Bluetooth avec votre téléphone Android et l’utiliser pour signer les requêtes. L’expérience reste perfectible.

En résumé : sous Linux, privilégiez une clé matérielle FIDO2 avec Chrome ou Chromium, ou bien l’extension Bitwarden. Évitez Firefox pour les passkeys, et n’attendez pas de solution système intégrée avant plusieurs mois.

Gestionnaires de mots de passe : Bitwarden et Vaultwarden à la loupe

Un mot sur les gestionnaires de mots de passe, qui sont devenus les hébergeurs naturels des passkeys synchronisées. Bitwarden, très populaire pour son modèle open source et sa transparence, a intégré les passkeys de manière complète, même dans son offre gratuite. Vous pouvez créer une passkey depuis l’extension navigateur, la stocker dans votre coffre chiffré, et la retrouver sur tous vos appareils. Mieux : Bitwarden vous permet désormais de vous connecter à votre propre compte avec une passkey – jusqu’à cinq clés par compte, ce qui vous permet d’enregistrer plusieurs appareils ou plusieurs clés matérielles. L’activation se fait dans les paramètres de sécurité, dans la section dédiée.

Vaultwarden, l’alternative auto-hébergée, suit le mouvement avec un léger retard. Vous pouvez stocker des passkeys dans les éléments « Login » et les utiliser pour vous connecter à des sites tiers. Le support WebAuthn fonctionne également pour la double authentification avec des clés matérielles. En revanche, vous ne pouvez pas encore remplacer votre mot de passe principal par une passkey – mais cette fonctionnalité est en cours de développement. Pour l’heure, si vous utilisez Vaultwarden, sachez que le stockage des passkeys est opérationnel, mais que la connexion sans mot de passe à votre coffre n’est pas encore disponible. L’autre condition, technique, est que votre instance soit accessible via un nom de domaine valide avec un certificat TLS sans cela, WebAuthn refuse de fonctionner.

Les zones d’ombre à connaître

Tout n’est pas parfait pour autant. Les passkeys posent la question de la récupération. Si vous perdez tous vos appareils et que vous n’avez pas de clé de secours, le processus de récupération repose souvent sur une réinitialisation par email – exactement le système qu’on cherche à dépasser. C’est pour cela que les experts recommandent d’enregistrer au moins deux passkeys par compte, idéalement sur des supports distincts. Les entreprises, elles, songent à des solutions de récupération d’entreprise, mais le sujet est encore jeune.

Le partage pose aussi question. Vous pouvez partager une passkey par AirDrop ou via un gestionnaire, un peu comme on partage un mot de passe. Mais contrairement à un mot de passe, une passkey ne peut pas être devinée, ce qui change la donne. Enfin, l’adoption reste inégale : les grandes plateformes sont toutes compatibles, mais de nombreux services, notamment les sites institutionnels ou les applications métier anciennes, ne le sont pas encore. Selon la FIDO Alliance, seuls 13 % des organisations ont déployé les passkeys à grande échelle, même si 68 % les testent ou les déploient partiellement.

Un futur déjà en marche

Le mouvement est lancé, et il est irréversible. La FIDO Alliance, qui pilote les standards, travaille à l’interopérabilité entre fournisseurs – afin que vous puissiez transférer vos passkeys de Google à 1Password ou à Bitwarden sans perdre un seul compte. Plus de deux cents organisations ont signé le Passkey Pledge, s’engageant à rendre leurs services compatibles.

Sur Linux, comme on l’a dit, des projets portés par la communauté et des industriels comme Google visent à combler le vide. L’objectif est de faire fonctionner les passkeys sur le bureau open source, avec un support TPM et une intégration dans les environnements GNOME et KDE.

Ce qui est fascinant, c’est que nous ne sommes pas en train d’ajouter une couche de sécurité supplémentaire. Nous sommes en train de supprimer le maillon faible. Les passkeys ne sont pas une amélioration incrémentale des mots de passe – elles en sont la négation. Plus besoin de les mémoriser, plus besoin de les changer tous les quatre-vingt-dix jours, plus de risque de les voir réutilisées sur un autre site. Le phishing perd son sens, les fuites de bases de données deviennent inoffensives pour l’authentification, et les utilisateurs retrouvent un geste simple : poser un doigt ou regarder une caméra.

En pratique, aujourd’hui, deux conseils simples. Pour vos comptes quotidiens – réseaux sociaux, streaming, achats – utilisez les passkeys synchronisées de votre écosystème ou de votre gestionnaire favori. Pour vos comptes critiques – banque, messagerie principale, accès administrateur, coffre de mots de passe – investissez dans une, ou mieux, deux clés matérielles. Conservez l’une sur vous, l’autre dans un endroit sûr. Vous aurez alors atteint ce que peu d’utilisateurs peuvent se vanter d’avoir : une authentification véritablement résistante aux menaces les plus sérieuses.

Les mots de passe ont fait leur temps. Ils ont rendu d’immenses services, mais ils ont aussi été le cauchemar des équipes de sécurité et le terrain de jeu favori des attaquants. Leur remplacement, qui semblait impossible il y a encore cinq ans, est en train de s’opérer sous nos yeux. En 2026, cinq milliards de passkeys en attestent : le futur de l’authentification est déjà là, et il est sans mot de passe.