Le principe, sans technique
Au lieu d'un mot de passe que vous connaissez (et qu'on peut vous voler), votre appareil détient une clé secrète qu'il ne révèle jamais. Pour vous connecter, vous déverrouillez simplement votre téléphone ou votre ordinateur - empreinte, visage, ou code d'écran.
Le site ne reçoit jamais de secret réutilisable. Il n'y a donc rien à voler dans sa base de données, et rien à vous soutirer par un faux e-mail.
Pourquoi c'est un vrai progrès
- Le phishing devient inopérant. Un faux site ne peut pas récupérer ce que vous ne saisissez pas.
- Rien à retenir. Plus de mot de passe oublié, plus de réinitialisation.
- Rien à réutiliser. Chaque site a sa propre clé, automatiquement.
Les limites du moment
Tous les services ne le proposent pas encore. Il faut un appareil relativement récent. Et il faut prévoir le cas du téléphone perdu - c'est le point qui inquiète le plus, à juste titre.
En pratique, les passkeys se synchronisent entre vos appareils via votre compte Apple, Google ou votre gestionnaire de mots de passe. Si vous perdez le téléphone, vous retrouvez vos accès sur l'ordinateur. Mais il faut avoir configuré cette synchronisation avant.
Faut-il s'y mettre aujourd'hui ?
Progressivement, oui. La bonne approche : quand un service que vous utilisez vous le propose, acceptez, mais gardez votre mot de passe et votre double authentification en secours pendant la transition.
Inutile de tout basculer d'un coup. C'est une évolution qui prendra des années, et les deux systèmes cohabiteront longtemps.
Ce qui reste vrai en attendant
Tant que vos comptes professionnels fonctionnent au mot de passe - c'est-à-dire la quasi-totalité aujourd'hui -, les fondamentaux ne changent pas : un gestionnaire de mots de passe, un mot de passe unique par service, et la double authentification sur la messagerie.
