Passkeys : pourquoi la fin des mots de passe renforce la sécurité

Les mots de passe sont le maillon faible de la sécurité : réutilisés, devinés, volés en masse, ou simplement donnés à un faux site. Les passkeys, standardisées par l'alliance FIDO et le W3C (WebAuthn), les remplacent. Voici pourquoi c'est un vrai progrès.

Comment fonctionne une passkey

À l'inscription, votre appareil crée une paire de clés : une clé privée, qui ne quitte jamais l'appareil (ou votre gestionnaire de passkeys), et une clé publique, confiée au service. À chaque connexion, le service envoie un défi ; l'appareil le signe avec la clé privée après vous avoir reconnu par Face ID, Touch ID, Windows Hello ou le code de l'appareil. Le service vérifie la signature avec la clé publique.

Il n'y a donc aucun secret partagé à voler sur le serveur : une fuite de base de données ne révèle que des clés publiques, inutilisables pour se connecter.

La fin de l'hameçonnage

Une passkey est liée au nom de domaine du service. Si un faux site imite parfaitement l'apparence de votre messagerie, votre appareil refusera tout simplement de lui fournir la passkey, car le domaine ne correspond pas. L'utilisateur n'a rien à vérifier : la protection est automatique.

Plus simple, aussi

• Rien à retenir, rien à renouveler tous les trois mois.
• Une connexion en un geste, avec le visage ou l'empreinte.
• Les passkeys peuvent être synchronisées entre vos appareils par votre gestionnaire (trousseau iCloud, Gestionnaire de mots de passe Google…).

Les points d'attention

Tous les gestionnaires de passkeys ne prennent pas en charge les mêmes extensions. Certaines applications, comme une messagerie chiffrée, utilisent l'extension PRF pour dériver une clé qui protège aussi les données enregistrées sur l'appareil. Quand un gestionnaire tiers ne la propose pas, il faut enregistrer la passkey dans le gestionnaire du système. Il faut aussi prévoir un moyen de récupération en cas de perte de tous ses appareils : une clé de récupération conservée en lieu sûr.

Les passkeys dans Discus

Discus n'a pas de mot de passe du tout. La passkey sert à deux choses : ouvrir la session auprès du serveur, et, grâce à l'extension PRF, protéger les clés de chiffrement et l'historique stockés sur l'appareil. Un nouvel appareil se lie depuis un appareil existant ; une clé de récupération, que vous seul détenez, permet de repartir si tout est perdu. En savoir plus sur la sécurité de Discus.