Comment garder les passkeys solides : une checklist pratique

Les passkeys sont plus fortes que la MFA traditionnelle face aux attaques courantes, mais le bénéfice n’est pas automatique. Il dépend de l’hygiène des appareils, du choix d’authentificateur, de la protection du tissu de synchronisation, des sauvegardes et de ce que les sites mettent en place. Le papier britannique du NCSC comparant les identifiants traditionnels et FIDO2 pour un usage personnel (23 avril 2026) précise clairement ces conditions.

Cette checklist transforme ces recommandations en étapes concrètes pour utilisateurs et sites. Pour les bases, commencez par notre guide d’authentification par passkeys. Pour aller plus loin, voir les risques du sync fabric et la récupération après perte d’appareil.

Les passkeys sont une crypto forte enveloppée de choix

Les identifiants FIDO2 / WebAuthn utilisent une cryptographie à clé publique liée à l’origine réelle du site. La clé privée reste dans l’authentificateur ou un sync fabric protégé ; le site ne voit qu’une signature sur un défi. Ce design résiste au phishing adversary-in-the-middle qui bat encore SMS, TOTP, push et OTP e-mail.

La force n’est pas gratuite. Vous choisissez encore quel authentificateur utiliser, si les identifiants synchronisent, comment le compte de sync est protégé, s’il existe une deuxième clé, et si le site ferme les failles XSS et de récupération. Traitez les passkeys comme une crypto forte enveloppée de choix opérationnels—puis faites les bons choix volontairement.

Checklist utilisateur — préférer les passkeys ; sinon mot de passe + MFA forte

Priorisez les comptes qui débloquent tout le reste : e-mail, gestionnaire de mots de passe, banque, cloud et consoles développeur.

• Préférez une passkey ou une clé de sécurité partout où le service en propose une.
• Là où les passkeys manquent, utilisez un mot de passe long et unique d’un gestionnaire plus la MFA la plus forte disponible—évitez le SMS comme second facteur principal quand une meilleure option existe.
• Méfiez-vous de l’UX de dégradation MFA (« se connecter autrement », réinitialisation, SMS au lieu de passkey) et refusez les chemins plus faibles lorsqu’une passkey est enregistrée.
• Vérifiez les options de récupération pour que « mot de passe oublié » n’efface pas en silence la résistance au phishing.

Choisir un gestionnaire qui utilise un stockage OS / matériel

Quand la résistance aux malwares compte—surtout sur bureau—préférez les gestionnaires et authentificateurs de plateforme qui stockent les secrets dans un stockage intégré à l’OS ou adossé au matériel, plutôt que seulement dans un processus logiciel de coffre.

Les tissus first-party Apple, Google et Microsoft s’intègrent en général à la sécurité de la plateforme. Les gestionnaires tiers varient : vérifiez si l’enrôlement de passkeys exige la MFA et si les secrets bénéficient d’une enclave sécurisée / TPM. Les réglages par défaut comptent autant que les slogans marketing.

Protéger le sync fabric avec une auth résistante au phishing + une récupération solide

Les passkeys synchronisées héritent du modèle de confiance du compte qui les sauvegarde. Durcissez ce tissu comme vous durciriez la récupération e-mail. Voir aussi notre note plus approfondie sur le risque du sync fabric.

• Activez une passkey ou une clé FIDO matérielle pour le compte du coffre / de la plateforme dès que le produit le permet.
• Préférez les tissus qui exigent la MFA pour enrôler ou synchroniser—pas seulement une MFA optionnelle après coup.
• Documentez la récupération avant d’en avoir besoin : codes de recovery, appareils de confiance ou flux que vous comprenez.
• Traitez les invites inattendues de réauthentification du compte de sync comme hostiles jusqu’à preuve du contraire.

Sauvegarder les clés mono-appareil / matérielles (enregistrer un second authentificateur)

Les identifiants liés à l’appareil et les clés de sécurité matérielles ne synchronisent pas. Si le seul authentificateur enregistré est perdu, vous tombez dans la récupération par site—ou le verrouillage. La règle pratique : enregistrez un second authentificateur tant que tout fonctionne encore. Plus sur les arbitrages de disponibilité dans notre article sur la perte d’appareil.

• Enrôlez une clé de sécurité de secours ou un second identifiant lié à l’appareil pour les comptes à haute valeur.
• Sinon, conservez une passkey synchronisée à côté d’une clé matérielle pour que la perte d’un chemin ne signifie pas le verrouillage.
• N’attendez pas que le sac ait disparu—l’enregistrement de secours est une tâche du premier jour.

Garder appareil et navigateur propres (malwares, extensions malveillantes)

Les passkeys réduisent le phishing, mais un malware sur l’appareil peut encore voler des sessions, superposer une UI ou abuser d’authentificateurs déverrouillés. Les extensions de navigateur à permissions larges sont un maillon faible fréquent.

• Gardez l’OS et le navigateur à jour ; retirez les logiciels inutilisés.
• Installez des extensions uniquement depuis des sources de confiance ; auditez régulièrement les permissions.
• Préférez verrouiller l’authentificateur avec un PIN / biométrie et verrouiller l’écran en vous éloignant.
• Traitez les invites inattendues « approuver cette connexion » comme un signal de compromission, pas comme du bruit.

Checklist côté site

Les relying parties partagent la responsabilité. De bonnes habitudes utilisateur ne compensent pas une mauvaise gestion d’origine, le XSS ou un stockage d’identifiants irrévocable.

• Unifier l’origine / Related Origin Requests : gardez l’authentification sur une origine primaire claire ; utilisez les Related Origin Requests avec précaution lorsque plusieurs hôtes légitimes doivent partager des identifiants.
• CSP + Trusted Types contre le XSS : une session volée ou un script injecté peut saper même une cérémonie passkey parfaite. Déployez Content Security Policy et Trusted Types là où c’est pratique.
• Permettre la révocation des clés publiques : utilisateurs et admins doivent pouvoir retirer un authentificateur perdu ou compromis sans attendre un ticket opaque.
• Recommander une seconde passkey pour les identifiants liés à l’appareil : si l’enregistrement est mono-appareil, incitez à ajouter une sauvegarde avant l’usage quotidien.

En résumé

Les passkeys restent fortes lorsque la cryptographie, la protection du sync, les sauvegardes, l’hygiène des appareils et les contrôles côté site s’alignent. Sautez l’un de ces points et vous réintroduisez en silence le chaos de récupération ou un risque proche du phishing.

Utilisez cette checklist comme pratique vivante : enrôlez des passkeys sur les comptes joyaux de la couronne, durcissez le tissu qui les synchronise, enregistrez un second authentificateur pour les clés liées à l’appareil, gardez les appareils propres, et attendez des sites qu’ils révoquent les clés et résistent au XSS. Tant que chaque service n’offre pas de passkeys, conservez des mots de passe uniques et forts pour le reste.