On entend partout : « remplacez vos mots de passe par des passkeys ». C'est une bonne idée. Mais ce n'est pas magique — surtout si un fraudeur vous guide au téléphone pour en créer une à sa place.
C'est quoi, une passkey ?
Au lieu d'un mot de passe que vous tapez, votre téléphone ou ordinateur prouve votre identité avec une clé cryptographique liée au site (Google, Apple, Microsoft…). Vous déverrouillez avec Face ID, empreinte ou code de l'appareil. Même si un faux site ressemble à votre banque, la passkey refuse en général de s'y connecter : le domaine ne correspond pas.
Pourquoi c'est mieux que le SMS
- Moins vulnérable au vol de numéro (SIM swapping).
- Moins utile aux page de phishing classiques qui recopient un formulaire.
- Plus simple au quotidien une fois configuré.
Les 3 cas où ça peut échouer
- Enrôlement frauduleux : on vous fait ajouter une passkey contrôlée par l'attaquant (campagne de vishing récente).
- Perte de tous vos appareils sans méthode de récupération prévue.
- Compte sans supervision : personne ne regarde la liste des clés / appareils de confiance.
Bonnes pratiques
- Activez les passkeys vous-même, en allant sur le site officiel — jamais via un lien reçu pendant un appel.
- Gardez un code de secours ou une deuxième méthode dans un endroit sûr (gestionnaire de mots de passe).
- Sur un compte professionnel, demandez à l'équipe TI la procédure officielle avant d'ajouter quoi que ce soit.
- Vérifiez régulièrement les appareils et méthodes enregistrés ; retirez ce que vous ne reconnaissez pas.
La passkey améliore vraiment la sécurité. Elle ne remplace pas la prudence quand quelqu'un vous presse d'agir « pour votre propre bien ».