Clés d’accès : pourquoi l’ordinateur partagé n’est plus prévu
LA RÉPONSE COURTE
Une clé d’accès remplace votre mot de passe par le déverrouillage de votre appareil : empreinte, visage ou code de l’écran. Elle est plus rapide et bien plus difficile à voler, mais elle vit dans un appareil précis, et Google écrit noir sur blanc qu’il ne faut pas en créer sur un ordinateur partagé. Avant d’en activer une, pour vous ou pour un proche, assurez-vous d’un second appareil, d’un mot de passe de secours conservé et d’une marche à suivre le jour où le téléphone tombe dans l’eau.
EN BREF
- Public visé : dirigeants de TPE et PME, formateurs et médiateurs numériques, aidants familiaux.
- Enjeu : la connexion sans mot de passe devient la norme, mais suppose un appareil personnel que tout le monde n’a pas.
- Chiffre clé : 36 pour cent des connexions réussies se font déjà avec une clé d’accès, contre 26 pour cent un an plus tôt.
- Temps de lecture : environ 8 minutes.
1. Une clé d’accès, en une minute
Vous l’avez peut-être déjà vue apparaître sans l’avoir demandée : au lieu du champ habituel, le site propose de vous reconnaître par votre empreinte, votre visage ou le code qui déverrouille votre téléphone. C’est une clé d’accès, ou passkey en anglais.
Le principe tient en deux phrases. Au moment de la création, votre appareil fabrique deux moitiés d’un même secret : il garde la première, verrouillée derrière le déverrouillage de l’écran, et confie la seconde au service. Pour vous connecter, il prouve qu’il détient sa moitié sans jamais la transmettre.
La rupture est là. Un mot de passe peut être deviné, réutilisé ailleurs, arraché par une page imitée à la perfection. Une clé d’accès, non : elle ne fonctionne que sur le vrai site, parce qu’elle a été fabriquée pour lui et pour personne d’autre. Nous montrions en août que l’attaquant ne force plus les serrures, il se connecte avec des identifiants valides : c’est précisément cette porte que la clé d’accès ferme.
2. Le basculement est mesuré, et la France traîne
Pendant des années, la fin du mot de passe a été une promesse de salon professionnel. Les chiffres publiés en octobre racontent autre chose. Le Passkey Index 2026, publié le 15 octobre par l’alliance FIDO qui réunit les grands fournisseurs du secteur, constate que plus d’une connexion réussie sur trois utilise désormais une clé d’accès, soit 36 pour cent, contre environ une sur quatre en 2025. La formule du rapport est sèche : les clés d’accès sont passées du déploiement à l’adoption.
Le reste explique pourquoi les grands services poussent si fort : 93 pour cent de connexions réussies avec une clé d’accès, contre 78 pour cent avec la double authentification classique, celle du code reçu par message, et près de trois fois moins de temps, soit environ 27 secondes gagnées à chaque fois. Le 20 octobre, le site spécialisé Biometric Update rapportait que l’alliance estime désormais à 7 milliards le nombre de clés en circulation dans le monde.
Pourquoi 93 pour cent plutôt que 78
Le code reçu par message échoue pour des raisons banales : réseau absent, message en retard, mauvais numéro enregistré, personne qui ne sait pas où le lire. La clé d’accès ne dépend d’aucun réseau tiers. Argument de confort autant que de sécurité, décisif auprès des publics qui abandonnent au premier obstacle.
L’enquête State of Passkeys 2026 de la même alliance, menée en avril 2026 par l’institut Sapio auprès de 11 000 adultes dans dix pays dont la France, donne la photographie des usages. À l’échelle mondiale, 90 pour cent des personnes interrogées connaissent les clés d’accès et 75 pour cent en ont activé au moins une. En France, ce dernier chiffre tombe à 64 pour cent, derrière le Royaume-Uni à 77 pour cent et l’Allemagne à 70 pour cent.
Le même travail livre un chiffre qui parlera à tout commerçant en ligne : près d’une personne sur deux renonce à une connexion ou à un achat faute de retrouver son mot de passe. L’oubli n’est pas un désagrément, c’est une vente perdue et une démarche abandonnée.
Côté entreprises, le mot de passe résiste : une enquête commandée par Yubico et Okta, menée en juillet 2026 auprès de 1 890 professionnels de l’informatique dans neuf pays, relevait que 43 pour cent d’entre eux se connectent encore par identifiant et mot de passe au travail.
Ne créez des clés d’accès que sur les appareils dont vous êtes propriétaire et que vous utilisez personnellement.
Aide Google, page officielle sur la connexion avec une clé d’accès
3. La phrase qui change tout pour l’accompagnement
Cette phrase n’est pas une précaution de spécialiste tatillon : elle figure dans la page d’aide grand public de Google, à côté d’une seconde plus directe encore, selon laquelle toute personne capable de déverrouiller votre appareil peut accéder à votre compte. Une clé d’accès ne protège donc pas un compte, elle protège un appareil, et elle suppose que cet appareil appartient à une seule personne.
Posez cette règle sur un atelier de médiation numérique, un accueil de mairie ou une cuisine de campagne, et le décalage saute aux yeux. L’ordinateur du salon sert à trois générations, la tablette d’un espace France Services passe de main en main, le téléphone de la fille aînée fait les démarches de sa mère. Dans tous ces cas, la bonne pratique consiste à ne pas créer de clé d’accès, alors que le service, lui, la propose en grand et en premier.
Point de vigilance : la clé créée sans le savoir
Sur Android, des clés d’accès peuvent être enregistrées automatiquement. Qui valide par réflexe une fenêtre sur un poste partagé laisse donc derrière lui une clé qui ouvre son compte à l’utilisateur suivant. Réflexe à transmettre : après une session sur un poste qui n’est pas le sien, ouvrir la page de sécurité du compte et supprimer toute clé inconnue.
4. Ce que la clé d’accès exige de l’appareil
Deuxième obstacle, moins visible : le matériel. La connexion sans mot de passe réclame des versions de systèmes et de navigateurs que les appareils anciens n’atteignent pas. Les seuils publiés par Google :
| Élément | Version minimale | Ce que cela écarte |
|---|---|---|
| Téléphone | Android 9 ou iOS 16 | Entrée de gamme gardée plus de six ans |
| Ordinateur | Windows 10, macOS Ventura, ChromeOS 109 | Postes restés sous un système ancien |
| Navigateur | Chrome 109, Safari 16, Edge 109, Firefox 122 | Navigateurs jamais mis à jour |
| Préalable | Verrouillage de l’écran activé | Appareils laissés sans code |
| Usage entre appareils | Bluetooth activé | Postes dont le Bluetooth est coupé |
Le dernier point mérite un mot. Pour se connecter depuis un ordinateur qui ne porte pas la clé, la procédure officielle consiste à scanner avec son téléphone un code carré affiché à l’écran, Bluetooth activé des deux côtés : élégant quand on maîtrise, infranchissable quand on ignore ce qu’est un code à scanner. Précision utile en atelier, la clé d’accès peut aussi être inutilisable en navigation privée.
5. Perdre son téléphone n’est plus la même histoire
Avec un mot de passe, perdre son téléphone est ennuyeux. Avec une clé d’accès, cela peut devenir bloquant : la preuve d’identité était dans l’appareil. Trois précautions évitent l’impasse, à prendre avant, jamais après.
La bonne nouvelle : rien n’est irréversible si l’on a préparé
- Garder le mot de passe. Ajouter une clé ne supprime ni le mot de passe ni les moyens de récupération déjà en place : le service propose toujours une autre méthode.
- Créer la clé sur deux appareils que la personne possède vraiment, par exemple le téléphone et l’ordinateur personnel.
- Noter où aller en cas de perte : depuis un appareil encore accessible, la page de sécurité du compte permet de supprimer la clé de l’appareil disparu.
La logique est celle que nous décrivions à propos des banques qui exigent une application : plus l’identité se loge dans un seul objet, plus la perte de cet objet coûte cher. Et pour agir au nom d’un proche, la clé d’accès ne règle rien de ce que posait faire les démarches d’un autre : partager une empreinte est encore moins praticable que partager un mot de passe, et tout aussi dépourvu de cadre.
6. Pourquoi aucun guide officiel français ne vous aidera encore
C’est la découverte la plus utile de cette revue, et la plus déroutante. Ni la CNIL ni Cybermalveillance.gouv.fr ne mentionnent les clés d’accès dans leurs pages de référence sur l’authentification.
La questions-réponses de la CNIL remonte au 14 octobre 2022 et accompagne la délibération numéro 2022-100 du 21 juillet 2022 : elle encourage l’authentification forte sans dire un mot des clés d’accès. Les deux fiches grand public de Cybermalveillance ont pourtant été mises à jour les 30 juin et 5 octobre 2026 ; elles conseillent douze signes minimum, un gestionnaire de mots de passe et la double authentification, et restent elles aussi muettes.
Attention aux consignes contradictoires
Les deux sources officielles divergent sur le renouvellement périodique : la CNIL le limite aux comptes d’administration, quand la fiche Cybermalveillance destinée au contexte professionnel suggère encore un changement tous les deux ou trois mois. Un formateur qui cite les deux sans le signaler perd sa salle : dites laquelle vous suivez, et pourquoi.
L’État ne se désintéresse pourtant pas du sujet voisin : pour le Cybermois, la CNIL et Cybermalveillance ont publié le 1er octobre 2026 un dépliant commun, Violation de données personnelles : que faire en 3 étapes clés, qui déroule les actions du jour de la découverte jusqu’à trente jours après, la logique même de notre article sur les fuites de données. Mais la doctrine française sur l’authentification n’a pas bougé, et dans l’intervalle le médiateur est seul à la barre.
Le contexte rend l’écart plus sensible. La lettre d’information d’octobre 2026 de Cybermalveillance rappelle qu’un Français sur deux est informé d’une violation de ses données personnelles, et cite une enquête Ipsos.Digital selon laquelle 55 pour cent seulement des Français s’estiment suffisamment informés sur les cybermenaces, contre 63 pour cent en 2024. Le sentiment de compétence recule au moment précis où la façon de se connecter change.
À RETENIR
- Une clé d’accès remplace le mot de passe par le déverrouillage de votre appareil : rien à retenir, et rien à voler par un faux courriel.
- Le basculement est mesuré, pas annoncé : 36 pour cent des connexions réussies, 93 pour cent de réussite contre 78 pour cent pour le code reçu par message.
- Jamais de clé d’accès sur un appareil partagé : elle ouvre le compte à quiconque sait déverrouiller l’écran.
- Avant d’en activer une : garder le mot de passe, créer la clé sur deux appareils, savoir où la supprimer en cas de perte.
- Ni la CNIL ni Cybermalveillance ne traitent encore le sujet : les consignes officielles françaises n’ont pas rattrapé l’usage.
La leçon n’est pas qu’il faudrait refuser les clés d’accès : elles sont, pour la plupart des gens, le progrès de sécurité le plus net depuis dix ans, et elles effacent la famille entière des arnaques par page imitée décrites dans la première heure d’une arnaque bancaire. La leçon est qu’une technologie pensée pour un propriétaire, un appareil et une empreinte demande des précautions chez des publics qui partagent, qui prêtent et qui se font aider. Ce travail de traduction, aucune mise à jour automatique ne le fera.
Num Compagny accompagne les TPE, les PME et les structures de médiation numérique sur la sécurité des accès : inventaire des comptes sensibles, choix entre mot de passe, double authentification et clé d’accès, procédure de récupération écrite, formation des équipes et des publics accompagnés. Découvrez nos formations professionnelles.
