Comptes et mots de passe
Qu'est-ce qu'une clé d'accès? Guide simple des passkeys et de leur utilisation
Rédigé par Free Tech Support Editorial Team · Mis à jour
Un site vous a proposé de « créer une clé d’accès » et vous ne saviez pas quoi répondre? Vous n’êtes pas seul. Alors, qu’est-ce qu’une clé d’accès? Une clé d’accès (en anglais passkey; Apple parle de « clé d’identification ») est une façon de vous connecter à un compte sans mot de passe. Au lieu de taper quelque chose que vous devez retenir, vous déverrouillez votre téléphone ou votre ordinateur avec votre visage, votre empreinte, un NIP ou le verrouillage de l’écran, et votre appareil prouve au site que c’est bien vous. Ce guide explique leur fonctionnement, où elles sont conservées, comment en ajouter une à un compte Google ou Microsoft, et ce qui se passe si vous perdez votre téléphone.
Ce guide est indépendant. Il n’est affilié ni à Google, ni à Apple, ni à Microsoft, ni à aucun gestionnaire de mots de passe; pour un problème de compte, utilisez le site d’assistance de chaque entreprise.
Comment fonctionnent les clés d’accès, en termes simples
Les clés d’accès reposent sur une norme ouverte de la FIDO Alliance, un regroupement d’entreprises technologiques dont font partie Apple, Google et Microsoft. C’est pourquoi le même principe fonctionne sur iPhone, sur les téléphones Android, sur les PC Windows et sur Mac.
Quand vous créez une clé d’accès, votre appareil génère une paire de clés numériques liées :
- Une clé privée, qui reste sur votre appareil (ou dans votre gestionnaire de clés) et n’est jamais envoyée au site.
- Une clé publique, que le site conserve. Seule, elle est inutile à un voleur.
À la connexion, le site envoie à votre appareil un défi à usage unique. L’appareil vous demande de le déverrouiller avec votre visage, votre empreinte ou votre NIP, puis utilise la clé privée pour répondre. Le site vérifie la réponse avec la clé publique et vous laisse entrer. Votre empreinte ou votre visage ne quittent jamais l’appareil; ils servent seulement à déverrouiller la clé.
Pourquoi les clés d’accès bloquent l’hameçonnage
Avec un mot de passe, une fausse page de connexion convaincante peut vous pousser à le taper, et le fraudeur l’utilise ensuite. Une clé d’accès est liée à l’adresse réelle du site pour lequel elle a été créée. Si vous tombez sur un site imitation, votre appareil ne proposera tout simplement pas la clé, et il n’y a rien à taper ni à donner. Comme le site ne conserve que des clés publiques, une fuite de données chez l’entreprise n’expose rien qui permette à un criminel de se connecter. Pour revoir les signes d’un faux message, consultez le guide (en anglais) pour reconnaître un courriel d’hameçonnage.
Où sont stockées les clés d’accès
Une clé d’accès est enregistrée par un « gestionnaire de clés » (aussi appelé gestionnaire d’identifiants). Celui que vous utilisez dépend de vos appareils :
| Où elle est enregistrée | Idéal pour | Synchronisée avec vos autres appareils? |
|---|---|---|
| Trousseau iCloud (visible dans l’app Mots de passe sur les appareils Apple récents) | iPhone, iPad, Mac | Oui, entre appareils Apple connectés au même compte Apple |
| Gestionnaire de mots de passe de Google | Téléphones Android, Chrome | Oui, partout où vous utilisez le même compte Google |
| Windows Hello | PC sous Windows 11 | En général, elle reste sur ce PC seulement |
| Gestionnaires de mots de passe tiers (par exemple 1Password, Bitwarden ou Dashlane) | La plupart des appareils et navigateurs | Oui, par le gestionnaire |
| Clé de sécurité physique | Tout appareil avec port USB ou NFC | Non, la clé reste sur l’objet physique |
Les clés synchronisées sont les plus pratiques : vous en créez une sur votre téléphone et elle est prête sur votre tablette ou votre portable. Selon la FIDO Alliance, cette synchronisation est chiffrée de bout en bout. Sous Windows 11 actuel, vous pouvez voir les clés enregistrées sur votre PC dans Paramètres > Comptes > Clés d’accès (Settings > Accounts > Passkeys). Si Windows Hello vous cause des soucis, consultez le guide (en anglais) sur le NIP Windows Hello qui ne fonctionne pas.
Comment créer une clé d’accès pour votre compte Google
Il vous faut un appareil avec verrouillage d’écran activé, et un navigateur et un système d’exploitation raisonnablement à jour.
- Sur le téléphone ou l’ordinateur où vous voulez la clé, connectez-vous à votre compte Google.
- Allez à myaccount.google.com/signinoptions/passkeys (ou ouvrez votre compte Google, choisissez Sécurité et connexion, appelé Sécurité dans certaines versions, puis Clés d’accès et clés de sécurité).
- Sélectionnez Créer une clé d’accès et confirmez.
- Déverrouillez votre appareil avec votre visage, votre empreinte ou votre NIP quand on vous le demande.
- Répétez sur tout autre appareil qui ne partage pas le même gestionnaire de clés.
Les téléphones Android connectés à votre compte Google ont peut-être déjà une clé d’accès créée automatiquement; elle apparaît sur la même page.
Comment ajouter une clé d’accès à un compte Microsoft
Pour un compte Microsoft personnel (Outlook.com, Hotmail, Xbox, Microsoft 365 Personnel ou Famille) :
- Connectez-vous à account.microsoft.com et ouvrez Sécurité.
- Ouvrez la page des options de connexion avancées (Microsoft l’a appelée Advanced security options ou Manage how I sign in; en français, options de sécurité avancées).
- Choisissez d’ajouter un nouveau moyen de connexion ou de vérification (Add a new way to sign in or verify).
- Sélectionnez visage, empreinte digitale, NIP ou clé de sécurité (Face, fingerprint, PIN, or security key) et suivez les instructions de l’appareil.
- Quand on vous le demande, choisissez où enregistrer la clé : Windows Hello, votre téléphone, un gestionnaire de mots de passe ou une clé de sécurité.
Les comptes professionnels ou scolaires sont différents : votre organisation décide si les clés d’accès sont permises, alors renseignez-vous auprès de votre service informatique.
Se connecter sur un autre appareil avec un code QR
Votre clé d’accès n’a pas besoin d’être sur l’ordinateur que vous utilisez. Si elle est enregistrée sur votre téléphone :
- Sur la page de connexion de l’ordinateur, entrez votre nom d’utilisateur et choisissez d’utiliser une clé d’accès (chez Google, Essayer une autre méthode, puis Utiliser votre clé d’accès).
- Choisissez d’utiliser un téléphone ou un autre appareil. Un code QR s’affiche.
- Balayez le code QR avec l’appareil photo de votre téléphone.
- Déverrouillez le téléphone avec votre visage, votre empreinte ou votre NIP.
Le Bluetooth doit être activé sur les deux appareils. Il ne sert pas à les jumeler : il permet à votre téléphone de confirmer qu’il est physiquement près de l’ordinateur, pour qu’un fraudeur à distance ne puisse pas se servir d’un code QR volé. Ne balayez qu’un code QR de connexion que vous avez vous-même affiché sur votre propre écran, jamais un code qu’on vous envoie.
Que se passe-t-il si vous perdez votre téléphone
Pas de panique. Tout dépend de l’endroit où vos clés étaient enregistrées :
- Clés synchronisées (trousseau iCloud, Gestionnaire de mots de passe de Google, gestionnaire de mots de passe) : elles reviennent quand vous vous connectez à ce service sur un appareil de remplacement.
- Clés liées à un seul appareil (par exemple certaines clés Windows Hello ou une clé physique) : elles disparaissent avec l’appareil. Il vous faudra un autre moyen d’accéder au compte, puis vous pourrez créer une nouvelle clé.
Dans tous les cas, depuis un autre appareil, connectez-vous à votre compte et retirez la clé du téléphone perdu. Chez Google, cela se fait dans Sécurité et connexion > Clés d’accès et clés de sécurité, ou en déconnectant l’appareil perdu dans la liste de vos appareils. C’est aussi pourquoi il faut garder à jour une adresse courriel ou un numéro de récupération et des codes de secours; le guide pour activer l’authentification à deux facteurs explique comment conserver des codes de secours.
Clés d’accès, mots de passe et authentification à deux facteurs
| Mot de passe | Mot de passe + 2FA | Clé d’accès | |
|---|---|---|---|
| Quelque chose à retenir | Oui | Oui | Non |
| Peut être volé sur un faux site | Oui | Parfois (les codes aussi) | Non |
| Réutilisé sur plusieurs sites | Souvent | Souvent | Jamais, chacune est unique |
| Étapes pour se connecter | Une | Deux | Une (déverrouiller l’appareil) |
Une clé d’accès n’est pas exactement une authentification à deux facteurs, mais elle offre une protection comparable en une seule étape : il vous faut votre appareil (ce que vous possédez) et votre visage, votre empreinte ou votre NIP (ce que vous êtes ou savez). Beaucoup de comptes conservent encore le mot de passe en secours; il doit donc rester robuste et unique. Un gestionnaire de mots de passe (guide en anglais) vous y aide, et bon nombre d’entre eux enregistrent aussi les clés d’accès.
Conseils et questions courantes
- Tous les sites ne prennent pas encore en charge les clés d’accès. Cherchez « clé d’accès » ou « passkey » dans les paramètres de sécurité ou de connexion du site.
- Un ordinateur familial partagé peut être risqué : toute personne qui peut le déverrouiller peut utiliser les clés qui y sont enregistrées. N’enregistrez des clés que sur des appareils que vous contrôlez.
- Attention aux arnaques : aucune entreprise légitime ne vous appellera ni ne vous écrira pour vous demander de lui lire un code, de balayer un code QR qu’elle vous envoie ou de créer une clé d’accès pendant qu’elle vous « aide ». Si cela arrive, raccrochez et allez vous-même sur le site de l’entreprise. Si vous êtes déjà tombé dans le piège, voyez que faire après une arnaque au soutien technique.
Questions fréquentes
Qu'est-ce qu'une clé d'accès, en termes simples?
C'est une clé numérique qui vous permet de vous connecter sans taper de mot de passe. Vous prouvez votre identité en déverrouillant votre téléphone ou votre ordinateur avec votre visage, votre empreinte, un NIP ou le verrouillage de l'écran.
Les clés d'accès sont-elles plus sûres que les mots de passe?
Oui, dans la plupart des cas. Elles ne peuvent pas être devinées, réutilisées sur un autre site ni saisies sur une fausse page de connexion, et le site ne conserve aucun secret que des pirates pourraient voler et utiliser.
Le site voit-il mon empreinte ou mon visage?
Non. Votre empreinte ou votre visage servent seulement à déverrouiller la clé d'accès sur votre propre appareil. Google, Apple et Microsoft indiquent que ces données biométriques restent sur l'appareil.
Que deviennent mes clés d'accès si je perds mon téléphone?
Si elles étaient synchronisées par le trousseau iCloud, le Gestionnaire de mots de passe de Google ou un gestionnaire de mots de passe, elles reviennent quand vous vous connectez à ce service sur un nouvel appareil. Retirez aussi de votre compte les clés du téléphone perdu.
Ai-je encore besoin d'un mot de passe si j'ai une clé d'accès?
Pour l'instant, la plupart des comptes gardent le mot de passe en secours. Gardez-le robuste et unique, et tenez à jour votre adresse courriel et votre numéro de récupération.
Une clé d'accès, est-ce la même chose que l'authentification à deux facteurs?
Pas tout à fait. Une clé d'accès combine quelque chose que vous possédez (votre appareil) et quelque chose que vous êtes ou savez (visage, empreinte ou NIP) en une seule étape, ce qui donne une protection comparable à un mot de passe plus une deuxième étape.
Sources
Free Tech Support Editorial Team
Editorial team
The Free Tech Support editors write and update these guides from the official documentation of Microsoft, Apple, Google and device makers. We are an independent site with no phone line and no paid support service.
