Les passkeys ont gagné en notoriété. La récupération de compte reste le problème non résolu.
Les passkeys ont connu le succès marketing dont rêve presque toute technologie de sécurité : une notoriété large et rapide auprès des consommateurs. Selon le rapport 2026 sur l'état des passkeys de la FIDO Alliance, résumé par Descope, la notoriété des consommateurs est passée de 75 % en 2025 à 90 % en 2026 — un changement remarquable pour une technologie qui n'avait guère de reconnaissance grand public trois ans plus tôt. Apple, Google et Microsoft ont tous intégré des invites de passkeys dans leurs flux de connexion principaux, et les grands sites, des banques aux plateformes sociales, les proposent désormais par défaut.
Et pourtant, les déploiements en entreprise continuent de se heurter au même problème : que se passe-t-il quand quelqu'un perd l'appareil sur lequel réside sa passkey. Dans les enquêtes auprès des organisations citant des obstacles précis à l'adoption des passkeys, les inquiétudes concernant la perte d'appareil et la récupération de compte figurent parmi les principales barrières, citées par environ un tiers des organisations. La technologie censée tuer le mot de passe a un processus de récupération qui, dans la plupart des déploiements réels, dépend encore discrètement de l'un d'eux.
Pourquoi la récupération est structurellement différente de la connexion
Une passkey est une paire de clés cryptographiques liée à un appareil (ou synchronisée dans l'écosystème d'appareils d'un utilisateur via iCloud Keychain, Google Password Manager ou équivalent). Cette liaison est précisément ce qui rend les passkeys résistantes au phishing — il n'y a aucun secret partagé à voler, car la clé privée ne quitte jamais l'appareil. Mais cela signifie aussi que perdre tous les appareils ayant détenu la clé, ou ne jamais l'avoir synchronisée, vous bloque l'accès sans qu'aucune mauvaise pratique de sécurité n'en soit la cause.
La réponse honnête de l'industrie, selon le National Cyber Security Centre (NCSC) britannique, est que la FIDO Alliance et l'industrie au sens large travaillent activement sur le problème de la récupération, mais que cela « n'est pas encore accepté et établi efficacement » comme une question résolue. En pratique, la plupart des services reviennent exactement aux mécanismes que les passkeys sont censées remplacer : une réinitialisation de mot de passe, un code SMS, une question basée sur la connaissance, ou un agent du support vérifiant manuellement l'identité. Chacune de ces voies de repli rouvre la surface d'attaque que les passkeys avaient fermée côté connexion.
Les attaquants ont déjà changé de cible
Ce n'est pas théorique. Le NCSC signale spécifiquement que les attaquants déplacent leur attention vers les faiblesses de la récupération de compte et des demandes de réinitialisation, y compris des campagnes de phishing visant les codes de récupération plutôt que les identifiants de connexion directement. C'est un mouvement prévisible : si la porte d'entrée devient nettement plus difficile à crocheter, les attaquants cherchent la clé de secours cachée sous le paillasson — et à l'heure actuelle, le flux de récupération est généralement exactement cela. Un appel d'ingénierie sociale au support technique qui convainc un agent de réinitialiser l'accès au compte, ou un code de récupération obtenu par phishing, contourne entièrement la protection de la passkey sans jamais la toucher.
À quoi ressemble une bonne récupération
Les déploiements qui fonctionnent le mieux partagent un schéma commun, plutôt que de s'appuyer sur une seule voie de repli : plusieurs passkeys enregistrées sur plusieurs appareils dès le départ (pour que perdre un appareil ne signifie pas perdre l'accès), une clé de sécurité physique conservée comme sauvegarde explicite plutôt que comme réflexion après coup, et pour les entreprises, un flux de récupération médié par un administrateur exigeant une vérification hors bande plutôt qu'un simple e-mail de réinitialisation de mot de passe. Les plateformes grand public qui synchronisent les passkeys dans un écosystème d'appareils — iCloud Keychain et Google Password Manager étant les deux plus importantes — réduisent considérablement le risque lié à un seul appareil, mais cela signifie aussi que votre posture de récupération n'est aussi solide que la sécurité de votre compte Apple ID ou Google, ce qui crée son propre point unique de défaillance si ce compte lui-même n'est pas renforcé.
Si vous avez activé des passkeys quelque part au cours de l'année passée, la chose concrète qui vaut la peine d'être faite cette semaine est d'enregistrer une deuxième passkey sur un appareil distinct, ou d'ajouter une clé de sécurité matérielle comme sauvegarde, plutôt que de découvrir lors d'une véritable perte d'appareil que votre seule option de récupération est un flux de réinitialisation de mot de passe que vous pensiez avoir retiré. Pour les équipes informatiques et sécurité qui déploient des passkeys à grande échelle, le flux de récupération mérite la même attention en matière de modélisation des menaces que le flux de connexion — actuellement, dans la plupart des déploiements, il n'en reçoit qu'une fraction.