Les passkeys sont-elles vraiment de l’authentification multi-facteurs ?

Une objection familière aux passkeys : « Tout se passe sur mon téléphone, donc ce n’est qu’un facteur—pas de vraie MFA. » L’intuition se comprend. La MFA a longtemps été vendue comme « mot de passe plus quelque chose sur un autre appareil ».

Le papier du NCSC sur les credentials traditionnels et FIDO2 pour un usage personnel est plus clair : un credential FIDO2 avec vérification d’utilisateur est traité comme équivalent à l’authentification multi-facteurs. Les facteurs sont la clé cryptographique que vous possédez et le code PIN ou la biométrie qui la déverrouille—pas l’exigence que ces facteurs vivent sur des gadgets séparés.

L’objection : « même appareil, donc pas deux facteurs »

On entend « multi-facteurs » et on imagine deux choses séparées : un mot de passe quelque part, puis un code ou une validation push sur un téléphone. Quand une passkey vit sur ce même téléphone et se déverrouille avec Face ID ou un PIN, cela ressemble à un seul geste sur un seul appareil—donc « pas de MFA ».

Cette objection mélange deux idées : combien de facteurs d’authentification sont en jeu, et combien d’appareils physiques. Les standards s’intéressent au premier point. Le marketing quotidien a souvent suggéré le second.

Ce que « facteurs » signifie vraiment

Les facteurs d’authentification sont des catégories de preuves, pas une checklist d’appareils séparés :

• Quelque chose que vous avez — un appareil, une clé de sécurité ou un credential cryptographique que vous contrôlez.
• Quelque chose que vous savez — un mot de passe, un PIN ou un autre secret.
• Quelque chose que vous êtes — une biométrie comme une empreinte ou une reconnaissance faciale.

Comment les passkeys se placent sur ces facteurs

Une passkey est un credential FIDO2 / WebAuthn à clé publique. La clé privée reste sur l’authentificateur (téléphone, portable ou clé matérielle). Prouver la possession de cette clé, c’est quelque chose que vous avez. Quand le site demande la vérification d’utilisateur, l’authentificateur exige aussi un PIN local ou une biométrie avant de signer— quelque chose que vous savez ou quelque chose que vous êtes.

Ensemble, c’est de l’authentification multi-facteurs au sens du NCSC, aligné sur la façon dont la FIDO décrit la vérification d’utilisateur. Vous ne faites pas « juste Approuver » : la preuve cryptographique n’avance qu’après le succès de l’UV locale.

Pour un parcours concret d’inscription et d’usage quotidien, voir notre aperçu des passkeys.

La critique du même appareil coupe dans les deux sens

Si « deux facteurs sur un même téléphone » disqualifiait la MFA, la plupart des configurations réelles échoueraient. Gestionnaires de mots de passe, codes SMS, apps d’authentification et validations push vivent souvent sur le même handset que la navigation.

Un mot de passe tapé sur le téléphone plus un SMS qui arrive sur ce téléphone est encore décrit comme MFA—parce que les facteurs sont des preuves de nature différente, même si le canal de livraison est le même appareil. Les passkeys avec vérification d’utilisateur suivent la même logique, avec une bien meilleure résistance au phishing que SMS ou TOTP.

Quand la vérification d’utilisateur compte

FIDO2 peut aussi fonctionner sans vérification d’utilisateur dans certains flux (présence seule, simple toucher). Dans ces cas, on prouve surtout la possession de l’authentificateur. L’équivalence MFA que le NCSC avance pour les credentials FIDO2 en usage personnel suppose que la vérification d’utilisateur est active lorsque le site la demande.

En pratique, les grandes plateformes grand public demandent l’UV pour la connexion par passkey : déverrouillage biométrique ou PIN, puis signature du défi. Préférez les sites qui traitent les passkeys comme une connexion primaire protégée par UV—pas comme une simple case « confirmer une fois » sans garde locale.

Ce que cela signifie pour les comptes personnels

Ne rejetez pas les passkeys comme « un seul facteur » parce qu’elles ressemblent à un seul déverrouillage. Préférez-les pour la messagerie, la banque, le cloud et les autres comptes critiques dès qu’elles sont proposées. Elles combinent possession d’une clé privée et vérification locale, et lient la connexion à l’origine réelle—contrairement aux codes phishables via un proxy.

Gardez de longs mots de passe uniques et la MFA classique seulement là où les passkeys ne sont pas encore disponibles. Quand les deux existent, le chemin passkey résistant au phishing est le meilleur défaut pour un usage personnel.

En bref

Multi-facteurs signifie plusieurs types de preuves—pas forcément plusieurs appareils. Une passkey avec vérification d’utilisateur, c’est quelque chose que vous avez plus quelque chose que vous savez ou êtes. C’est pourquoi le NCSC traite FIDO2 avec UV comme équivalent MFA pour un usage personnel, et pourquoi « tout est sur mon téléphone » n’est pas une bonne raison de rester sur mots de passe et SMS.