La fin du mot de passe : WebAuthn et passkeys expliqués

Introduction

Combien de mots de passe gérez-vous au quotidien ? Entre les applications métiers, les portails clients, les solutions collaboratives et les services personnels, la multiplication des identifiants est devenue un cauchemar pour les utilisateurs… et pour les équipes IT qui doivent en assurer la sécurité. Malgré des années de sensibilisation, les pratiques restent mauvaises : mots de passe réutilisés, trop simples, stockés dans des fichiers non chiffrés ou sur des post‑it dans les bureaux.

Pour un DSI, une ETI ou un MSP, ce modèle atteint ses limites : la complexification des règles de mot de passe dégrade l’expérience utilisateur sans traiter les causes structurelles des compromissions. Plutôt que d’essayer de « sauver » le mot de passe, l’enjeu est désormais d’organiser sa disparition progressive au profit de mécanismes intrinsèquement plus robustes : WebAuthn et les passkeys.​

Pourquoi les mots de passe sont un probleme

De nombreuses études de sécurité montrent que la majorité des violations de comptes impliquent des identifiants compromis (vol, phishing, fuite de bases, attaques par force brute ou credential stuffing). Le problème est structurel : un mot de passe est un secret partagé. Pour s’authentifier, l’utilisateur doit transmettre ce secret (ou un dérivé) au serveur, ce qui crée autant de points d’attaque potentiels : interception, enregistrement de frappes clavier, compromission de la base de mots de passe, etc.​

Même des politiques très strictes ne suffisent pas. Lorsque l’on impose 16 caractères, des symboles, un renouvellement fréquent et l’interdiction de la réutilisation, beaucoup d’utilisateurs finissent par :

• réutiliser la même base de mot de passe avec quelques variantes prévisibles ;
• le noter dans des fichiers non sécurisés ;
• ou recourir à des schémas faciles à deviner.

Au final, le système est théoriquement plus « fort », mais pratiquement plus fragile et plus coûteux à opérer pour les équipes IT.​

Les erreurs courantes autour des mots de passe et du MFA

Deux erreurs reviennent souvent dans les organisations :

• Sur‑investir dans la complexité du mot de passe. L’énergie est consacrée à affiner la politique (longueur, caractères, rotation) plutôt qu’à réduire la dépendance au mot de passe lui‑même.​
• Déployer le MFA sans penser parcours utilisateur. Un MFA mal conçu (SMS, OTP peu ergonomiques, scénarios d’exception non couverts) finit par être perçu comme une friction, voire contourné au quotidien, ce qui dégrade à la fois la sécurité et l’adhésion des collaborateurs.​

Pour un DSI ou un MSP, cela se traduit par des tickets de support en hausse, des contournements, et une posture de sécurité hétérogène difficile à expliquer aux métiers.

Comment fonctionnent les passkeys

WebAuthn est un standard défini par le W3C qui s’appuie sur la cryptographie asymétrique pour l’authentification. Le principe est le suivant :​

• Lors de l’enregistrement, l’appareil de l’utilisateur génère une paire de clés :
• une clé privée, stockée de manière sécurisée sur l’appareil ou dans un authentificateur matériel (clé FIDO2, module sécurisé, secure enclave, TPM, etc.) ;
• une clé publique, envoyée au service et associée au compte de l’utilisateur.
• Lors de l’authentification, le service envoie un défi (challenge). L’authentificateur signe ce challenge avec la clé privée, et le service vérifie la signature grâce à la clé publique connue.

Deux conséquences majeures :

• Le secret privé ne quitte jamais l’appareil de l’utilisateur : aucun mot de passe ni secret réutilisable ne transite sur le réseau ou n’est stocké côté service.​
• L’authentification est liée au domaine (origin binding) : une page de phishing qui imite le site mais n’a pas le bon domaine ne pourra pas exploiter la passkey.​

Pour l’utilisateur, la passkey se traduit souvent par un geste simple : déverrouiller son appareil (empreinte digitale, Face ID, PIN local) ou utiliser une clé de sécurité matériellement possédée.

Pourquoi c’est un changement de paradigme

Les passkeys permettent de :

• éliminer la saisie de mot de passe côté utilisateur sur les services compatibles ;
• rendre inopérantes de nombreuses attaques de phishing centrées sur la capture d’identifiants ;
• réduire la dépendance à des secrets que les utilisateurs doivent mémoriser, tout en améliorant l’expérience et la rapidité de connexion.​

Pour un DSI, cela signifie moins de tickets « mot de passe oublié », une surface d’attaque réduite et une transition progressive vers une authentification sans mot de passe (passwordless).

Déployer les passkeys en entreprise

Pour une entreprise ou un MSP, la question n’est pas seulement technique, mais aussi organisationnelle et progressive. Une approche pragmatique peut suivre ces grandes étapes :

1. Cartographier les applications.
2. Identifier les applications compatibles WebAuthn/FIDO2 (en priorité : SaaS, portails exposés sur Internet, applications critiques).​
3. Prioriser celles qui concentrent le plus de risques (accès administrateurs, données sensibles, accès partenaires).
4. S’appuyer sur l’Identity Provider.
5. Activer les scénarios WebAuthn/FIDO2 proposés par les principaux fournisseurs d’identité (par exemple Entra ID/Azure AD, Okta, etc.).​
6. Définir les conditions d’accès (Conditional Access) et les scénarios passwordless cibles (PC d’entreprise, BYOD, clés FIDO2, etc.).​
7. Définir une politique d’authentificateurs.
8. Clarifier les types d’authentificateurs acceptés : clés de sécurité matérielles, passkeys synchronisées (ecosystèmes Apple/Google/Microsoft), authentificateurs de plateforme.​
9. Tenir compte des cas d’usage : télétravail, mobilité, prestataires, sous‑traitants, accès à distance, etc.
10. Mettre en place des mécanismes de récupération.
11. Scénarios en cas de perte d’appareil ou de clé : seconde passkey, clé de secours, support IT, procédures d’enrôlement assisté.​
12. Documentation claire pour les utilisateurs et le support niveau 1.
13. Conduire un pilote.
14. Démarrer sur une population limitée à forte valeur (équipe IT, direction, administrateurs, métiers critiques) pour valider les parcours et ajuster les processus.​
15. Mesurer l’adoption, les incidents et la perception utilisateur avant d’étendre à l’ensemble de l’organisation ou du portefeuille clients pour un MSP.

Et le pilotage côté DSI, ETI et MSP ?

Au‑delà de la pure technique, le passage aux passkeys devient un sujet de pilotage IT : visibilité, trajectoire et gouvernance. C’est là qu’une plateforme comme IT‑OneView prend tout son sens pour les DSI, ETI et MSP.​

Dans un contexte de transition vers les passkeys, IT‑OneView peut notamment aider à :

• Relier méthodes d’authentification et collaborateurs.
• Visualiser, pour chaque collaborateur et chaque société/filiale, les assets et les services critiques auxquels il accède.​
• Croiser ces informations avec les politiques d’authentification définies dans les outils d’identité (par exemple, identifier les populations encore 100% dépendantes du mot de passe).
• Documenter et industrialiser l’onboarding/offboarding.
• Standardiser les checklists d’arrivée et de départ (création de comptes, enrôlement dans les nouvelles méthodes d’authentification, révocation des accès).​
• Suivre l’exécution de ces processus pour limiter les comptes orphelins et les accès résiduels.
• Préparer et faciliter les audits.
• Disposer d’une vue consolidée du parc, des collaborateurs et des politiques de sécurité appliquées, utile pour les audits récurrents (internes, clients, régulateurs).​
• Montrer, preuves à l’appui, la trajectoire de modernisation de l’authentification (du mot de passe vers les passkeys) à travers le temps.

Pour un MSP, cette approche est répliquée client par client, avec la capacité de comparer la maturité et de prioriser les actions là où le risque est le plus élevé.

Comment s’outiller autour des passkeys

La mise en place de passkeys s’appuie sur plusieurs briques :

• Fournisseurs d’identité (IdP).
• Entra ID/Azure AD, Okta et d’autres IdP supportent WebAuthn/FIDO2 et fournissent les scénarios passwordless, les règles d’accès conditionnel et les rapports d’usage nécessaires.​
• Authentificateurs et écosystèmes.
• Clés de sécurité FIDO2, authentificateurs de plateforme (PC, smartphones), passkeys synchronisées via les clouds des grands éditeurs.​
• Outils de pilotage et de visibilité.
• Une plateforme comme IT‑OneView pour relier ces briques au contexte concret : collaborateurs, assets, coûts, risques et audits, dans une logique de gouvernance transverse.​

Conclusion

Les passkeys représentent l’évolution la plus significative de l’authentification depuis l’apparition du mot de passe dans les systèmes d’information modernes. Elles répondent aux faiblesses structurelles des identifiants classiques tout en simplifiant la vie des utilisateurs, ce qui en fait un levier rare où sécurité et expérience convergent.​

Pour un DSI, une ETI ou un MSP, l’enjeu n’est plus de savoir si cette transition aura lieu, mais comment la piloter : par quels périmètres commencer, comment industrialiser les processus d’enrôlement et de récupération, et comment prouver les progrès réalisés au fil du temps. En combinant les capacités des IdP modernes, les authentificateurs FIDO2/WebAuthn et une plateforme de pilotage comme IT‑OneView, il devient possible d’organiser la fin progressive du mot de passe… sans perdre la maîtrise opérationnelle du SI.