Passkeys : la fin des mots de passe ? Ce qui change vraiment en 2026
On nous annonce la mort du mot de passe depuis des années. En 2026, pour la première fois, ce n’est plus tout à fait un slogan : les passkeys sont désormais proposées par la plupart des grands services, et leur usage se généralise. Mais « remplacer le mot de passe » et « faire disparaître le mot de passe » sont deux choses différentes. Voici ce qui change concrètement, et ce qui ne change pas encore.
Une passkey, c’est quoi exactement ?
Une passkey est un identifiant cryptographique qui s’appuie sur les standards FIDO2 / WebAuthn. Au lieu d’un secret que vous connaissez (le mot de passe), elle repose sur une paire de clés :
- une clé privée qui reste sur votre appareil (protégée par la puce sécurisée du téléphone ou de l’ordinateur) et ne le quitte jamais ;
- une clé publique stockée par le service.
Pour vous connecter, l’appareil prouve qu’il détient la clé privée — déverrouillée par votre empreinte, votre visage ou le code de l’appareil. Vous ne tapez plus rien, et surtout : il n’y a aucun secret à voler côté serveur.
Pourquoi c’est plus sûr (et pas qu’un peu)
L’avantage décisif n’est pas le confort, c’est la résistance au hameçonnage. Une passkey est liée cryptographiquement au domaine légitime du site. Sur un faux site qui imite votre banque, elle ne fonctionnera tout simplement pas : il n’y a rien à recopier, rien à saisir par erreur. Cela neutralise d’un coup la principale cause de piratage de comptes grand public.
C’est aussi la raison pour laquelle des organismes comme le NCSC britannique recommandent leur adoption, tout en rappelant qu’elles ne sont « pas parfaites ».
Où en est-on vraiment en 2026 ?
D’après les données de la FIDO Alliance (l’organisme derrière le standard), rapportées en mai 2026 :
- environ 5 milliards de passkeys seraient en usage actif dans le monde ;
- la notoriété est quasi totale : ~90 % des internautes déclarent connaître le principe ;
- 75 % des utilisateurs les ont activées sur au moins un compte, mais seulement ~40 % sur la majorité de leurs comptes.
Autrement dit : l’adoption est réelle et rapide, mais partielle. Le mot de passe n’a pas disparu — il recule.
Ce qui coince encore
Trois frictions expliquent pourquoi 2026 est l’année de la transition, pas de la bascule totale :
- La récupération de compte. En cas de perte d’appareil, beaucoup de services retombent sur… l’e-mail ou le mot de passe. Le maillon faible reste souvent là.
- Les écosystèmes. Une passkey créée dans l’univers Apple, Google ou Microsoft se synchronise bien à l’intérieur de cet univers, mais passer de l’un à l’autre reste parfois laborieux. Les gestionnaires de mots de passe indépendants comblent ce trou.
- Les sites en retard. Beaucoup de services n’ont pas encore implémenté les passkeys : le mot de passe reste le plus petit dénominateur commun.
La norme du moment est donc hybride : on ajoute la passkey à côté du mot de passe existant, sans forcer la bascule.
Faut-il s’y mettre ? Oui, progressivement
Notre recommandation concrète :
- Activez une passkey en priorité sur vos comptes critiques : e-mail principal, comptes Apple/Google/Microsoft, réseaux sociaux. Ce sont eux qui servent à réinitialiser tout le reste.
- Gardez un gestionnaire de mots de passe : il stocke aussi les passkeys, les synchronise entre vos appareils et gère les sites qui ne les supportent pas encore.
- Ne supprimez pas encore vos mots de passe : conservez-les (forts et uniques) tant que la récupération de compte n’est pas, elle aussi, sans mot de passe.
FAQ
Une passkey peut-elle être volée à distance ? La clé privée ne quitte pas l’appareil et n’est pas transmise au service. Il n’y a donc pas de « base de mots de passe » à pirater côté serveur.
Que se passe-t-il si je perds mon téléphone ? Si vos passkeys sont synchronisées (via votre compte Apple/Google/Microsoft ou un gestionnaire), vous les retrouvez sur un autre appareil. D’où l’importance de sécuriser ce compte de synchronisation.
Passkey ou double authentification (2FA) ? Une passkey remplace à la fois le mot de passe et le second facteur classique, tout en étant plus résistante au phishing qu’un code SMS.
Sources
- FIDO Alliance — données d’adoption 2026 (rapportées en mai 2026).
- NCSC — « Passkeys: not perfect but getting better ».
Article informatif, mis à jour le 28 juillet 2026. Signalez-nous toute information à corriger : contact@timenews.fr.