Mots de passe et passkeys : moins de règles, plus d’outils

Pourquoi les règles de mots de passe ne fonctionnent pas

La politique classique demande une majuscule, un chiffre, un signe de ponctuation, au moins douze caractères et un nouveau mot de passe chaque trimestre. Cela se lit comme du sérieux. En pratique, cela produit l’inverse.

Ce qui se passe, c’est que les gens inventent un motif et s’y tiennent, parce qu’il n’y a pas d’autre façon de retenir vingt mots de passe différents. Le mot de passe trimestriel devient Ete2026! puis Automne2026!. Le changement obligatoire ne donne donc pas un nouveau secret mais une suite prévisible, et qui connaît le précédent devine le suivant.

Les recommandations ont été révisées sur ce point il y a des années. Le conseil actuel est : pas de changement périodique obligatoire, pas de règles de composition, mais autoriser des mots de passe longs et les confronter aux listes de fuites. On change quand il y a une raison, pas parce que le calendrier le dit.

Le vrai problème est ailleurs, et c’est la réutilisation. Le même mot de passe qu’une personne utilise sur votre portail professionnel se trouve aussi sur une boutique en ligne qui a fui il y a trois ans. Cette fuite figure dans une liste, la liste est essayée, et personne n’a eu besoin de casser quoi que ce soit.

Le gestionnaire de mots de passe est la première étape, pas la dernière

La réutilisation ne disparaît que lorsque la mémorisation disparaît. C’est pourquoi un gestionnaire de mots de passe n’est pas un luxe pour le service informatique mais la mesure au meilleur rendement de toutes : chacun obtient partout un mot de passe différent, long et aléatoire, sans avoir rien à faire pour cela.

Ce qu’il règle en pratique, et c’est plus que le coffre lui-même :

• Les comptes partagés trouvent une place. Le compte de l’accueil, l’identifiant du fournisseur, le mot de passe administrateur de la boutique en ligne vivent aujourd’hui dans un groupe de discussion ou sur un papier dans un tiroir. Dans un coffre partagé, ils sont à un seul endroit, avec la liste de qui peut y accéder.
• Les départs deviennent gérables. Quand quelqu’un s’en va, vous voyez exactement quels mots de passe partagés il connaissait et donc lesquels remplacer. Sans coffre, cette réponse est toujours « on ne sait pas, donc on ne remplace rien ».
• L’hameçonnage devient visible. Un gestionnaire ne remplit que sur l’adresse où il a enregistré le mot de passe. Si l’utilisateur est sur une page imitée, il ne se passe rien — et ce rien est l’avertissement.

La résistance que vous rencontrez est prévisible et porte sur le mot de passe maître : tout au même endroit, n’est-ce pas justement le danger ? La réponse honnête est que vous déplacez un risque. Vous échangez vingt secrets faibles et réutilisés contre un secret fort assorti d’un second facteur. C’est un meilleur échange, et c’est pourquoi nous le recommandons plutôt que de faire comme s’il n’y avait pas d’arbitrage.

Ce qu’est une passkey, en mots simples

Une passkey n’est pas un mot de passe qu’on n’a plus à retenir. C’est autre chose, et la différence tient à ce qui circule sur la ligne.

Avec un mot de passe, vous envoyez le secret au site. Le site doit le recevoir pour le vérifier, et il peut donc être intercepté en route ou remis au mauvais site. Avec une passkey, votre appareil crée une paire de clés. La moitié privée reste sur l’appareil et n’en sort jamais ; le site ne reçoit que la moitié publique. À la connexion, le site envoie un défi, votre appareil le signe, et le site vérifie la signature.

Il en découle la propriété dont tout dépend : une passkey est rivée à l’adresse pour laquelle elle a été créée. Une fausse page de connexion sur une adresse qui diffère d’une lettre ne reçoit rien — non parce que l’utilisateur est attentif, mais parce que le navigateur ne propose tout simplement pas la clé. Il n’y a aucun secret que l’on puisse livrer par mégarde.

C’est une protection fondamentalement différente d’un code issu d’une application. Un utilisateur devant une fausse page convaincante recopie ce code sans réfléchir, et l’attaquant s’en sert dans les trente secondes où il est valable. Avec une passkey, cela ne peut pas arriver.

Le déverrouillage se fait par votre empreinte, votre visage ou le code de votre appareil. Ceux-ci ne partent pas vers le site ; ils ouvrent seulement la clé déjà présente.

Où cela coince en pratique

Aussi bonne que soit l’idée, trois endroits font obstinément échouer un déploiement. Ils figurent rarement dans le discours commercial.

• Le chemin de récupération est le point faible. Une passkey vit sur un appareil. Si cet appareil est perdu, cassé, ou si son propriétaire part, il faut un chemin de retour. Si ce chemin est « appelez l’assistance et l’on rouvre votre compte », c’est cela qu’un attaquant attaquera, et vous aurez déplacé la porte au lieu de la fermer. Réglez la façon dont quelqu’un prouve son identité avant de déployer les passkeys, pas après.
• Le repli annule le gain. Si le mot de passe reste disponible en solution de rechange, un attaquant peut emprunter ce chemin. Tant que ce bouton existe, vous n’avez pas réellement de résistance à l’hameçonnage. Le désactiver n’est possible qu’une fois tout le monde passé, et c’est précisément pourquoi un déploiement a besoin d’une date de fin.
• Tout ne suit pas. Votre environnement bureautique et les grands services cloud le prennent désormais bien en charge. Le logiciel comptable de votre fédération, le portail d’un fournisseur et la machine de l’atelier, souvent non. Pour ceux-là, un gestionnaire de mots de passe reste nécessaire, et ce n’est pas une solution d’attente mais la situation des prochaines années.

Un quatrième point revient plus souvent qu’on ne croit : les comptes partagés. Les passkeys sont personnelles par conception. Un compte d’accueil utilisé par trois personnes s’y prête mal, et c’est en général un bon moment pour constater que ce compte aurait dû en être trois.

L’ordre que nous suivons

Tout à la fois ne marche pas, et commencer par les passkeys non plus. Voici l’ordre dans lequel le plus gros du risque part en premier.

• Un : un gestionnaire de mots de passe pour tous. Avec un coffre partagé pour les comptes qui n’appartiennent à personne en particulier. Cela supprime la réutilisation, et c’est le plus grand gain isolé.
• Deux : un second facteur partout, et sur les administrateurs d’abord. Plutôt une application ou une clé qu’un SMS ; un code par message peut être intercepté et contourné.
• Trois : des passkeys sur les comptes qui comptent. Commencez par les administrateurs et par la connexion à votre environnement bureautique. C’est ce que vise l’hameçonnage et donc là que le gain est le plus grand.
• Quatre : refermer le chemin de récupération. Qui peut rouvrir un compte, comment il établit l’identité, et si cela est journalisé. Sans cela, l’étape trois est une fausse sécurité.
• Cinq : alors seulement, couper le mot de passe de repli, groupe par groupe, et pas avant d’être certain que tout le groupe est passé.

C’est la même couche identité que dans Zero Trust, et ce n’est pas un hasard si les deux sujets aboutissent au même endroit. Le compte est la porte d’entrée de presque tous les incidents, et voici le travail qui la rétrécit.

Comptez un trimestre pour les étapes un et deux dans une organisation de cent personnes, et de la résistance les deux premières semaines. Cette résistance retombe dès que les gens comprennent qu’ils n’ont plus rien à retenir : c’est le cas rare où plus sûr est aussi plus facile.