Clés de sécurité matérielles et passkeys : la 2FA la plus robuste

Pourquoi les codes et les applications d'authentification sont insuffisants

Pendant des années, le conseil était simple : activez l'authentification à deux facteurs, et un mot de passe volé ne suffirait plus à lui seul. Pour la plupart des comptes, ce second facteur est un code — six chiffres envoyés par SMS ou générés par une application d'authentification. Les codes SMS sont le plus faible des deux, car des attaques de SIM swap permettent de les intercepter, tandis que les codes générés par une application ont au moins le mérite de ne jamais quitter votre appareil. Tous deux constituent une véritable amélioration par rapport aux seuls mots de passe, et s'ils sont votre seule option, utilisez-les. Mais ils ont été conçus pour une menace qui a depuis évolué.

La faiblesse est fondamentale : un code est un secret partagé que vous tapez. Tout ce que vous pouvez taper, on peut vous tromper pour vous le faire taper. Une fausse page de connexion convaincante ne s'arrête pas à votre mot de passe. Lors d'une attaque de phishing en temps réel, le site de l'attaquant transmet tout ce que vous saisissez — mot de passe, puis code — directement au véritable site web, et se connecte dès que le code arrive. Vous voyez un message d'erreur vague du type « une erreur est survenue » ; l'attaquant obtient une session fonctionnelle. Le code a fait son travail — pour la mauvaise personne.

Ce que sont réellement FIDO2 et WebAuthn

FIDO2 est la norme parapluie derrière les clés matérielles et les passkeys. Elle se compose de deux parties qui fonctionnent ensemble :

• WebAuthn s'exécute dans le navigateur. C'est le protocole qu'un site web utilise pour demander une connexion et vérifier la réponse.
• CTAP régit la façon dont votre appareil — clé USB, téléphone, lecteur intégré d'un ordinateur portable — communique avec ce navigateur. Branchez une clé ou tapotez-la en NFC, et CTAP porte la conversation.

Une paire de clés par site web

Lorsque vous enregistrez un appareil auprès d'un site, la clé génère une nouvelle paire de clés publique/privée pour ce site seul. La clé privée reste dans le matériel et ne le quitte jamais. Le site web ne reçoit que la clé publique correspondante, liée à votre compte.

Cette séparation rend les fuites de données bien moins dommageables. Les connexions traditionnelles obligent les serveurs à stocker des mots de passe ou leurs hachés — une base de données que les attaquants veulent réellement voler. Avec FIDO2, la base de données du serveur ne contient que des clés publiques. Une clé publique ne permet pas de se connecter à votre place, donc il n'existe aucun coffre-fort de secrets qui mérite d'être compromis.

Clés de sécurité matérielles : une clé que vous pouvez toucher

Une clé de sécurité matérielle est un petit dispositif physique, généralement de la taille d'une clé USB ou d'une clé de maison, conçu spécifiquement pour la connexion. YubiKey est la marque la plus connue, mais plusieurs fabricants en produisent. Vous la portez sur votre trousseau de clés, la branchez sur votre ordinateur et appuyez sur un bouton pour vous connecter.

Les clés existent avec différents connecteurs pour s'adapter à vos appareils :

• USB-C pour les ordinateurs portables modernes, les tablettes et les téléphones Android
• USB-A pour les ordinateurs plus anciens
• NFC pour être posée contre les iPhone et de nombreux téléphones Android — sans câble

De nombreux modèles incluent deux de ces connecteurs, si bien qu'une seule clé peut couvrir à la fois votre ordinateur portable et votre téléphone.

La sécurité vient du fonctionnement interne de la clé. Lors de son enregistrement, une clé cryptographique unique est générée et stockée sur l'appareil lui-même. Elle ne quitte jamais la clé — ni vers le site web, ni vers votre ordinateur, nulle part. La clé signe chaque connexion en interne, et rien ne se passe tant que vous ne la touchez pas physiquement. Un attaquant à distance ne peut pas appuyer sur un bouton qui se trouve dans votre poche.

Passkeys : même technologie, synchronisées

Une passkey est une information d'identification WebAuthn, exactement comme celle qu'une clé de sécurité crée. La différence réside dans son emplacement. Au lieu de résider dans un appareil physique, une passkey est stockée par votre système d'exploitation ou votre gestionnaire de mots de passe et peut se synchroniser entre vos appareils.

Fonctionnement de la synchronisation

Lorsque vous créez une passkey, votre appareil vous propose un emplacement :

• Trousseau iCloud sur les appareils Apple, synchronisé de bout en bout entre votre iPhone, votre iPad et votre Mac
• Gestionnaire de mots de passe Google sur Android et dans Chrome, synchronisé avec votre compte Google
• Gestionnaires de mots de passe tiers, qui stockent les passkeys à côté de vos identifiants

Comme l'information d'identification vous suit, se connecter sur un nouvel appareil se résume souvent à approuver une invite sur un appareil que vous possédez déjà.

Synchronisée ou liée au matériel ?

Les passkeys synchronisées conviennent aux comptes du quotidien : achats, réseaux sociaux, streaming. La commodité compte, et perdre un téléphone ne signifie plus perdre l'accès.

Une clé liée au matériel s'impose lorsque les enjeux sont plus élevés. Les informations d'identification qui ne quittent jamais l'appareil ne peuvent être ni synchronisées, ni copiées, ni extraites d'un compte cloud — c'est pourquoi les banques, les employeurs et les comptes administrateur justifient toujours une clé physique.

Pourquoi le phishing ne fonctionne plus

La 2FA traditionnelle échoue face au phishing parce que les codes ne sont que des nombres. Tout ce qui peut être tapé peut être tapé par une victime dans un faux formulaire.

Les identifiants FIDO2 fonctionnent différemment. Lorsque vous enregistrez une clé de sécurité ou une clé d'accès (passkey), l'identifiant est cryptographiquement lié au nom de domaine exact du site web — bank.example.com, par exemple. Le navigateur applique cette liaison. La clé refuse tout simplement de signer quoi que ce soit pour un autre domaine.

Ce qu'obtient un faux site

Supposons que vous cliquiez sur un lien vers bank.example-login.com, une copie convaincante du vrai site. Lorsque le navigateur exécute la cérémonie WebAuthn, il présente le faux domaine à votre clé. La clé voit un domaine pour lequel elle n'a aucun identifiant. La connexion échoue, ou rien d'utilisable n'est produit. L'attaquant reçoit des données qui ne servent à rien pour se connecter ailleurs.

Rien à voler de vive voix

Il n'y a pas non plus de code à six chiffres à lire au téléphone ou à coller dans un formulaire. Le secret ne quitte jamais l'appareil, et la réponse est liée au vrai domaine. Un escroc qui demande « le numéro affiché sur votre écran » demande quelque chose qui n'existe pas.

Pour bien démarrer : une configuration pratique

Achetez deux clés

Achetez deux clés de sécurité matérielles, de préférence de fabricants différents, afin qu'un défaut sur un lot ne rende pas les deux inutilisables. Vérifiez les types de connecteurs avant l'achat : USB-C, USB-A ou NFC, selon vos appareils. Gardez la première clé sur votre trousseau pour un usage quotidien. Rangez la seconde dans un endroit sûr mais accessible — un coffre-fort domestique ou un tiroir dont vous vous souviendrez vraiment. Une clé de secours non enregistrée ne protège rien.

Enregistrez les deux, plus une sauvegarde

Commencez par vos comptes les plus précieux : votre e-mail d'abord, puis votre gestionnaire de mots de passe, puis la banque et les réseaux sociaux. Dans les paramètres de sécurité de chaque compte, enregistrez les deux clés et conservez les codes de récupération du service hors ligne. Les codes de récupération sont ce qui vous permet de retrouver l'accès si les deux clés sont perdues en même temps ; traitez-les donc comme un second mot de passe.

Activez la 2FA partout ailleurs

Tous les comptes n'ont pas besoin d'une clé matérielle. Là où les clés ne sont pas prises en charge, activez la 2FA disponible — une application d'authentification plutôt que les SMS quand c'est possible. Donnez la priorité à votre e-mail et à votre gestionnaire de mots de passe ; qui contrôle ces derniers contrôle en pratique tout le reste. Traitez le reste progressivement, quelques comptes par semaine.

Clés perdues, récupération et questions fréquentes

Perdre une clé matérielle n'est pas une crise si vous vous êtes préparé. Achetez les clés par paires, enregistrez les deux sur chaque compte et rangez la clé de secours dans un endroit sûr mais séparé—un tiroir chez vous, pas sur le même porte-clés. Si l'une est perdue, connectez-vous avec la clé de secours et retirez la clé manquante de votre compte.

Le maillon faible : la récupération

La récupération de compte est le point d'entrée des attaquants lorsque la 2FA les bloque. Les codes de récupération sont des mots de passe à usage unique ; conservez-les hors ligne, jamais dans vos e-mails. Protégez vos options de récupération—numéro de téléphone, e-mail de secours—car un chemin de réinitialisation qui ignore votre clé de sécurité annule tout. Préférez les services qui ne permettent la récupération qu'avec une autre passkey ou clé.

Prise en charge actuelle

Google, Apple, Microsoft, ainsi que de nombreuses banques, gestionnaires de mots de passe et plateformes sociales acceptent les passkeys ou les clés FIDO2. Vérifiez les paramètres de sécurité de chaque compte.

Récapitulatif pratique

Commencez par un compte important. Ajoutez une passkey, enregistrez une clé de secours, imprimez les codes de récupération. Puis répétez. Une connexion résistante au hameçonnage prend un après-midi ; la protection dure des années.