À l'ère numérique, où la sécurité de nos interactions en ligne n'a jamais été aussi cruciale, une réalité préoccupante persiste : notre infrastructure d'authentification repose encore massivement sur une technologie vieille de plus de soixante ans. Les mots de passe, conçus dans les années 1960 pour des environnements informatiques bien différents, peinent aujourd'hui à répondre aux défis de sécurité modernes.
Les mots de passe montrent chaque jour leurs limites. Selon IBM, le coût moyen d'une violation de données en 2024 s'élève à 4,88 millions USD — une augmentation de 10 % par rapport à l'année précédente. Face à cette réalité, une alternative émerge et gagne du terrain : les passkeys, ou clés d'accès. Cette technologie ne propose pas simplement d'améliorer les mots de passe, elle les remplace complètement.
L'héritage pesant des mots de passe
Pour contrer les menaces croissantes, les mots de passe ont été rendus plus complexes : longueur minimale, majuscules, symboles, changements réguliers. Résultat? La charge pour les utilisateur·rices s’est retrouvée accrue sans véritablement améliorer la sécurité. Beaucoup finissent par les réutiliser, les noter quelque part, ou dépendre entièrement d'un gestionnaire de mots de passe.
Les failles sont multiples : choix de mots de passe faibles, réutilisation massive, stockage mal protégé côté serveur, interfaces vulnérables au phishing. Sans compter que les personnes malveillantes automatisent leurs attaques et exploitent systématiquement ces faiblesses humaines et techniques.
Les passkeys : un changement de paradigme
Les passkeys marquent une rupture fondamentale avec le modèle du secret partagé. Basées sur la cryptographie asymétrique, elles utilisent une paire de clés : la clé publique est stockée sur le serveur, tandis que la clé privée reste sécurisée sur l'appareil de l'utilisateur·rice.
Concrètement, l'authentification fonctionne par signature cryptographique. Lors de la connexion, le serveur envoie un défi aléatoire que l'utilisateur·rice signe avec sa clé privée. Le serveur vérifie ensuite cette signature avec la clé publique. Aucune information secrète n'est jamais transmise ou stockée côté serveur.
