Le tissu de synchronisation n’est pas un risque réservé aux passkeys

On reproche souvent aux passkeys synchronisées de placer trop de confiance dans le cloud d’un éditeur. L’inquiétude est légitime—mais elle n’est pas propre aux passkeys. Les gestionnaires de mots de passe, les codes OTP par e-mail et les applications d’authentification synchronisées dépendent déjà de tissus de compte similaires.

Le document du National Cyber Security Centre (NCSC) britannique comparant identifiants traditionnels et FIDO2 pour un usage personnel (23 avril 2026) rend ce parallèle explicite : le risque de synchronisation existe déjà dans la MFA du quotidien, et la bonne réponse est de durcir le tissu—pas de traiter les passkeys comme un échec à part.

La critique : les passkeys synchronisées font confiance au cloud

Une passkey synchronisée est une credential FIDO2 sauvegardée et disponible sur vos autres appareils via une plateforme éditeur—le tissu de synchronisation. Si un attaquant prend le contrôle de ce compte, il peut finir par obtenir des credentials utilisables sur un nouvel appareil qu’il contrôle.

C’est une menace juste à discuter. Ce qui l’est moins, c’est de laisser croire que le couple mot de passe + codes évite toute confiance cloud. Pour la plupart des gens, le même compte Apple, Google, Microsoft ou gestionnaire détient déjà les secrets qui ouvrent tout le reste.

Vous synchronisez déjà mots de passe, graines TOTP et e-mail

Le document du NCSC note que la synchronisation des credentials est souvent critiquée lorsqu’elle concerne les passkeys, alors que les mêmes principes—et parfois les mêmes tissus—s’appliquent à la MFA traditionnelle.

Les gestionnaires autonomes et intégrés au navigateur synchronisent généralement le coffre via un cloud éditeur. Les graines TOTP stockées dedans suivent. L’OTP par e-mail « se synchronise » partout où vous êtes connecté au mail. Ces comptes mail sont souvent la même identité utilisée pour récupérer le coffre.

Les codes SMS et les jetons TOTP matériels ne suivent pas le même chemin—mais restent phishables autrement. Éviter le cloud ne signifie pas automatiquement une authentification plus forte.

Les mots de passe mémorisés et réutilisés sont une pire forme de « sync »

Si vous mémorisez un mot de passe et le réutilisez partout, vous synchronisez de fait ce secret vers chaque service qui le stocke. Une fuite sur un site peu sensible devient une clé pour l’e-mail, la banque ou le travail.

Ce « tissu » humain n’a ni liaison d’origine ni unicité par compte comme FIDO2. Le credential stuffing s’en nourrit. Face à un coffre protégé qui synchronise des secrets uniques, la réutilisation est le modèle de confiance le plus faible—pas le plus sûr.

Ce que le NCSC a observé sur les tissus first-party

Les spécifications FIDO2 décrivent un tissu de synchronisation mais laissent les exigences de sécurité aux éditeurs. Dans sa revue 2025 des tissus first-party (Apple, Google, Microsoft), le NCSC a constaté qu’ils imposaient tous une authentification multifactorielle pour stocker des passkeys et prenaient en charge les passkeys ou une autre authentification résistante au phishing pour le compte du tissu.

Cette combinaison compte : si la connexion au coffre résiste au phishing, « phisher le tissu de sync » devient bien plus dur qu’un coffre protégé seulement par un mot de passe. Les écosystèmes first-party ne sont pas parfaits, mais ils posent une barre plus haute qu’« une sauvegarde cloud quelconque ».

Les gestionnaires tiers varient—choisissez avec soin

Les tissus tiers sont plus hétérogènes. La présentation Disobey 2026 de Fabian Bader Are passkeys as secure as you think? (citée par le NCSC) indique que plusieurs gestionnaires tiers connus n’exigeaient pas de MFA simplement pour créer ou stocker des passkeys—ce qui augmente le risque de protéger des passkeys derrière un compte de sync encore réduit à un mot de passe.

Ce constat porte sur la politique de compte et les réglages produit, pas sur l’idée que les passkeys seraient cassées. Il ne signifie pas non plus que tout gestionnaire tiers est faible. En pratique : avant de compter sur un coffre pour les passkeys, vérifiez s’il prend en charge une MFA forte ou une passkey, et si la MFA est obligatoire—pas seulement optionnelle.

Une checklist pratique pour sécuriser le tissu de sync

Traitez le compte qui synchronise vos credentials comme une connexion critique. Durcissez-le comme vous le feriez pour la récupération d’e-mail.

• Activez une authentification résistante au phishing (passkey ou clé FIDO matérielle) pour le compte coffre / plateforme dès que le produit le permet.
• Préférez les gestionnaires et coffres OS qui exigent la MFA pour enrôler ou synchroniser—pas seulement une MFA optionnelle après coup.
• Vérifiez que la récupération est volontaire et documentée : codes de recovery, appareils de confiance, ou flux que vous comprenez avant d’en avoir besoin.
• Préférez le stockage intégré à l’OS ou adossé au matériel lorsque la résistance aux malwares compte, surtout sur ordinateur.
• Gardez des mots de passe uniques et générés pour les services sans passkeys—la sync n’excuse pas la réutilisation.

Les clés FIDO mono-appareil évitent le phishing du sync—mais déplacent le risque

Les jetons FIDO matériels et autres credentials mono-appareil qui ne peuvent pas quitter l’authenticator ne sont pas exposés si quelqu’un phish le compte de sync. C’est un vrai avantage pour un usage personnel à haute assurance.

Le compromis est la disponibilité : perdre la seule clé enrôlée sans authenticator de secours vous pousse vers la récupération de compte chez chaque partie de confiance. La sync est une fonctionnalité d’usage et de recovery ; le stockage mono-appareil est une fonctionnalité de confinement. Choisissez selon la valeur du compte et la rigueur de vos sauvegardes—pas selon des slogans sur « ne jamais faire confiance au cloud ».