Clés d’accès : comment elles remplacent les mots de passe et résistent au phishing

Un mot de passe doit être connu à la fois de vous et du site web, ce qui le rend précisément susceptible d’être volé. Une clé d’accès est conçue pour éviter cela : rien à saisir, rien à mémoriser et rien qu’un faux site puisse récupérer et réutiliser.

Voici ce qu’est une clé d’accès, comment elle permet de se connecter, pourquoi elle résiste au phishing et dans quelle mesure elle dépend encore de vous.

Qu’est-ce qu’une clé d’accès ?

Selon la FIDO Alliance, le groupe professionnel à l’origine de la norme, une clé d’accès est un moyen d’authentification qui vous permet de vous connecter à une application ou à un site web en suivant la même procédure que pour déverrouiller votre appareil, par exemple avec une empreinte digitale, une reconnaissance faciale, un code PIN ou un schéma. Elle est liée à votre compte sur un site particulier et remplace à la fois le mot de passe et, dans la plupart des cas, le code supplémentaire.

En coulisses, une clé d’accès est une paire de clés cryptographiques. Le site web stocke la clé publique, qui est inutile à elle seule, tandis que la clé privée reste sur votre appareil. Une nouvelle paire est créée pour chaque site, de sorte qu’une clé d’accès ne peut pas être réutilisée sur plusieurs services comme peut l’être un mot de passe.

Comment fonctionne la connexion avec une clé d’accès

Lorsque vous vous connectez, le site web envoie à votre appareil un défi à usage unique. Votre appareil vous demande de le déverrouiller à l’aide de votre donnée biométrique ou de votre code PIN, puis utilise la clé privée pour signer le défi et renvoie la réponse signée. Le site web vérifie la signature à l’aide de la clé publique stockée et vous autorise à accéder au compte. Le NCSC, l’agence nationale britannique de cybersécurité, décrit la même séquence, au cours de laquelle la clé privée n’est jamais communiquée au site web ni au navigateur.

Selon FIDO, aucune donnée personnelle ou biométrique n’est transmise lors de la connexion. L’empreinte digitale ou la reconnaissance faciale sert uniquement, localement, à déverrouiller la clé sur votre appareil.

Pourquoi les clés d’accès résistent au phishing

La différence essentielle est qu’une clé d’accès est liée au domaine du véritable site. Le NCSC explique qu’un authentificateur FIDO ne propose que les identifiants correspondant au site que vous consultez réellement, et que la vérification est effectuée par votre navigateur ou votre application de confiance : une fausse page ne peut donc pas influer sur le processus. Un site usurpateur n’a aucun mot de passe ni code à récupérer.

Le NCSC compare cette méthode aux facteurs d’authentification secondaires traditionnels et constate que tous sont vulnérables — y compris les codes des applications d’authentification — aux attaquants qui relaient une connexion en temps réel par l’intermédiaire d’une fausse page, contrairement aux identifiants FIDO2. Il a également indiqué qu’au moment de la rédaction, aucune attaque visant directement l’authentification FIDO2 n’avait été observée dans la nature, même si les attaquants tentent de pousser les comptes vers des méthodes de secours moins sûres. Il est donc important de prendre en compte l’option de connexion la moins sécurisée encore activée sur un compte.

Clés d’accès synchronisées et liées à un appareil

Il existe deux types de clés d’accès. Une clé d’accès synchronisée est sauvegardée par un service de synchronisation et disponible sur vos autres appareils : la perte d’un appareil ne vous fait donc pas perdre l’accès. Une clé d’accès liée à un appareil, par exemple une clé stockée sur une clé de sécurité physique, reste sur cet appareil et ne peut pas être copiée.

Chacune présente un compromis. Le NCSC recommande de protéger contre le phishing le compte associé à un service de synchronisation et de prévoir un moyen sûr de le récupérer. Il indique que son examen des principaux services de synchronisation proposés directement par les fournisseurs, en 2025, a révélé qu’ils exigeaient une authentification à deux facteurs pour stocker des clés d’accès, tandis que les services tiers présentaient des pratiques variables. Pour les clés d’accès liées à un appareil, il recommande aux utilisateurs d’enregistrer une clé de secours, car une clé perdue ne peut pas être récupérée.

Ce que les clés d’accès ne font pas

Une clé d’accès protège l’étape de connexion, mais pas tout ce qui l’entoure. Elle ne peut rien faire si quelqu’un possède votre appareil et connaît un code PIN faible. Le NCSC souligne également que la récupération d’un compte est souvent moins sécurisée que la connexion elle-même et qu’elle constitue une cible pour les attaquants. Une clé d’accès n’est pas non plus une clé de portefeuille crypto. Elle vous connecte à un compte, tandis que la phrase de récupération ou la clé privée d’un portefeuille autogéré contrôle les fonds de celui-ci. Une clé d’accès ne peut protéger ni remplacer l’une ou l’autre.

Rappel de WEEX : une clé d’accès n’est pas une phrase de récupération

WEEX rappelle aux utilisateurs qu’une clé d’accès permet de se connecter à un compte, tandis qu’une phrase de récupération ou une clé privée contrôle un portefeuille autogéré. Ne saisissez jamais une phrase de récupération sur une page qui vous la demande pour « vérifier » ou « restaurer » une clé d’accès, et ne la communiquez jamais à qui que ce soit, y compris aux personnes qui prétendent faire partie du service d’assistance. Utilisez un code PIN robuste sur vos appareils, tenez à jour les options de récupération de votre compte et vérifiez l’adresse d’un site avant de vous connecter. Ces informations ne constituent pas un conseil financier.

Conclusion

Une clé d’accès remplace un secret partagé par une paire de clés : le site web ne détient donc rien qui puisse être volé et réutilisé, et un faux site n’a rien à récupérer. C’est ainsi l’une des méthodes de connexion les plus sûres disponibles pour les comptes personnels. Elle dépend toutefois toujours de la sécurité de l’appareil, de la protection du compte de synchronisation et de l’existence d’une bonne méthode de récupération, et ne protège en rien la phrase de récupération d’un portefeuille.

FAQ

1. Qu’est-ce qu’une clé d’accès ?
Une clé d’accès est un moyen d’authentification FIDO qui vous permet de vous connecter à une application ou à un site web à l’aide de la même donnée biométrique, du même code PIN ou du même schéma que ceux utilisés pour déverrouiller votre appareil, plutôt qu’avec un mot de passe.

2. En quoi une clé d’accès est-elle différente d’un mot de passe ?
Un mot de passe est un secret partagé que vous saisissez et que le site stocke. Une clé d’accès est une paire de clés, dont seule la clé publique est conservée sur le site. Elle est créée séparément pour chaque compte et déverrouillée sur votre appareil.

3. Une clé d’accès constitue-t-elle une authentification à deux facteurs ?
Lorsque la connexion exige votre donnée biométrique ou votre code PIN, elle combine un élément que vous possédez — la clé sur votre appareil — avec un élément que vous êtes ou que vous connaissez. Selon FIDO, cela peut remplacer un code distinct, et le NCSC estime que cette méthode équivaut à une authentification à deux facteurs.

4. Une clé d’accès peut-elle être dérobée par phishing ?
Elle est conçue pour résister au phishing, car elle est liée au domaine du véritable site. Les attaquants peuvent tout de même tenter de pousser un compte vers une méthode de secours moins sûre : les autres options de connexion du compte sont donc importantes.

5. Que se passe-t-il si je perds l’appareil contenant ma clé d’accès ?
Une clé d’accès synchronisée est disponible sur les autres appareils du même compte de synchronisation, ou peut être restaurée en récupérant ce compte sur un nouvel appareil. Une clé d’accès liée à un appareil ne peut pas être copiée : il faut donc une clé de secours ou une autre méthode de récupération.