Tous les deux ou trois ans, une solution prometteuse pour éliminer définitivement les mots de passe fait son apparition. Et tous les deux ou trois ans, le mot de passe persiste. Les codes d'accès sont le dernier concurrent en date et, à vrai dire, peut-être le plus fiable à ce jour. Lors de l'évaluation Mots de passe et clés d'accès : les différencesVous constaterez que le chiffrement est fiable. La protection contre le phishing est bien réelle. Apple, Google et Microsoft sont tous impliqués. L'Alliance FIDO se réjouit, et de nombreux experts en sécurité affirment que… Oui, la nouvelle alternative au mot de passe est en réalité plus sûre.
Alors pourquoi n'ai-je pas changé ? Parce que, malgré tout le battage médiatique, les mots de passe sont en pratique très différents de la théorie. Si vous êtes sceptique face à cet engouement, ou si vous avez déjà essayé les mots de passe et que vous êtes resté perplexe, rassurez-vous, vous n'êtes pas seul et vous avez raison. Voici quelques bonnes raisons pour lesquelles vos mots de passe sont toujours aussi efficaces.
Liens rapides
Je suis toujours lié à l'écosystème de quelqu'un d'autre – mais un écosystème différent.
La garde a changé, mais les murs sont restés les mêmes.
Les mots de passe ont toujours eu un secret bien gardé : la plupart des gens les réutilisent car se souvenir de mots de passe uniques représente un effort supplémentaire. Les clés d'authentification étaient censées résoudre ce problème en remplaçant ces secrets stockés par des clés de chiffrement. Et elles y parviennent, mais pendant longtemps, elles ont remplacé un piège par un autre : celui de se retrouver enfermé dans un écosystème particulier. Les codes d'accès ont été conçus pour simplifier les procédures de connexion, pourtant de nombreux utilisateurs restent perplexes. Concernant son fonctionnement sur différents appareils.
Lorsque vous créez un code d'accès sur un iPhone, il est automatiquement associé au Trousseau iCloud. C'est très pratique si vous utilisez exclusivement des appareils Apple. Cependant, jusqu'à récemment, accéder aux mêmes comptes sur un appareil Android ou Windows nécessitait des manipulations fastidieuses, comme le scan de codes QR. Le gestionnaire de mots de passe de Google fonctionne de manière similaire, en synchronisant rigoureusement les codes d'accès au sein de l'écosystème fermé d'Android et de Chrome. Windows Hello était le dernier bastion, limitant historiquement les codes d'accès à un seul appareil physique. Fin 2025, Microsoft a finalement comblé cette lacune en introduisant la synchronisation cloud pour Windows Hello, permettant ainsi aux codes d'accès de suivre les utilisateurs sur plusieurs appareils Windows 11 via leur compte Microsoft.
Le véritable tournant vers une capacité de transport effective s'est produit fin 2024 et en 2025. L'Alliance FIDO a publié les deux Protocole d'échange de données d'identification (CXP) et format (CXF)Ces API sont spécifiquement conçues pour permettre aux utilisateurs d'exporter et d'importer en toute sécurité leurs mots de passe entre différents fournisseurs de services. Si les principaux acteurs du marché, tels qu'Apple et Google, ont commencé à implémenter les API nécessaires à cette norme, son utilisation reste encore en développement pour l'utilisateur lambda.
Actuellement, la solution la plus pratique pour vivre sur plusieurs plateformes est Choisir un gestionnaire de mots de passe tiers À l'instar de NordPass ou Bitwarden, qui prennent en charge les mots de passe sur tous les systèmes d'exploitation, ces services s'affranchissent du verrouillage des plateformes imposé par les géants de la tech. Toutefois, votre principale dépendance a changé : vous n'êtes plus lié à Apple ou Google, mais à un fournisseur de sécurité privé. Le verrouillage n'a pas disparu ; il a simplement changé de nom, du moins jusqu'à ce que CXP rende le passage d'un coffre-fort numérique à un autre aussi simple que de déplacer un répertoire.
L'expérience d'installation peut aller de fluide à cauchemardesque.
Votre expérience peut varier considérablement.
Il existe une version des mots de passe que je trouve plutôt charmante. On jette un coup d'œil à son écran, on s'authentifie avec son visage ou son empreinte digitale, et on se connecte. Cette version existe bel et bien, et c'est précisément pour cela qu'on trouve des arguments selon lesquels… Les mots de passe sont officiellement obsolètes et vous devez prendre cette mesure.Le problème, c'est que cette expérience fluide n'est pas disponible partout, et l'écart entre les meilleures et les pires applications peut être frustrant.
Prenons Stripe, par exemple. Configurer un code d'accès sur leur site peut s'avérer un véritable parcours du combattant. Il faut se connecter avec un mot de passe, naviguer dans plusieurs niveaux de paramètres de sécurité, confirmer l'authentification à deux facteurs, vérifier son adresse e-mail, et ce n'est qu'après cela qu'on peut cliquer sur « Créer ». Autant d'obstacles pour une fonctionnalité censée simplifier la vie ! Comparons cela à Target, qui affiche clairement les codes d'accès dès l'écran de connexion, ou à Nintendo, qui les prend en charge mais place l'option sous le champ du mot de passe que la plupart des gens remplissent machinalement.
Perdre son appareil devient une toute nouvelle forme d'urgence.
Nous espérons que vous apprécierez vos échanges avec le service client.
Avec un mot de passe, perdre son téléphone est extrêmement frustrant, mais gérable. On peut se connecter ailleurs, appuyer sur « Mot de passe oublié », le réinitialiser par e-mail et retrouver l'accès. Ce n'est pas parfait, mais c'est familier et, surtout, on peut y accéder à nouveau. Les codes d'accès changent la donne et le système de sécurité devient plus complexe. D'ailleurs, vous devriez… Effectuez cette vérification de sécurité rapide pour vous assurer de pouvoir récupérer votre compte Gmail..
Si votre code d'accès est spécifique à un appareil, lié à un seul téléphone ou à une clé de sécurité physique, la perte ou l'endommagement de cet appareil pourrait vous bloquer l'accès à plusieurs comptes simultanément si vous n'avez pas de sauvegarde. La plupart des gens évitent ce problème en synchronisant leurs codes d'accès via un service cloud comme le Trousseau iCloud ou Google Password Manager ; ainsi, une panne de téléphone n'est pas catastrophique. Le véritable problème survient si vous perdez l'accès à l'intégralité de votre compte cloud. Dans ce cas, la récupération devient beaucoup plus complexe.
Il faut reconnaître que la plupart des services conservent des solutions de secours classiques, comme la récupération par e-mail ou SMS. Google propose également des codes de récupération hors ligne et recommande vivement de les imprimer ou de les noter et de les conserver en lieu sûr. Il y a là une certaine ironie : l’avenir de la sécurité des identifiants, dans sa forme la plus vulnérable, repose sur un simple bout de papier oublié dans un tiroir.
La meilleure solution de secours consiste à dupliquer l'appareil. Cela signifie enregistrer un deuxième code d'accès sur un autre appareil ou Un petit outil séparé comme la YubiKey Pour garantir une sauvegarde physique permanente. Cela fonctionne, mais c'est rarement recommandé. La plupart des services permettent d'ajouter un simple code d'accès, de crier victoire et de laisser le reste à la charge de l'utilisateur. Un code d'accès unique n'est qu'une preuve de concept. Un plan de récupération est le véritable système. Actuellement, la plupart des gens ne possèdent que cette preuve.
Les mots de passe restent obligatoires partout, les codes d'accès ajoutent donc une couche de sécurité supplémentaire.
Plus de travail, mêmes risques, excellent marketing
Voici un point que le marketing des mots de passe a tendance à omettre : pour la plupart des services, les mots de passe sont un complément, et non un remplacement pur et simple. Quelques pionniers, comme Microsoft, permettent aux utilisateurs de supprimer complètement leurs mots de passe. Vous pouvez désormais… Passer à l'utilisation d'un compte Microsoft sans mot de passe En supprimant votre mot de passe de vos paramètres de sécurité et en vous appuyant uniquement sur la biométrie ou des clés de sécurité. Cependant, la plupart des grands services, dont Google et Amazon, exigent toujours un mot de passe traditionnel enregistré comme solution de secours.
Cela crée une situation délicate. Les mots de passe sécurisés sont très efficaces pour se prémunir contre le phishing, puisqu'aucun attaquant ne peut vous tromper pour vous faire saisir des informations. Cependant, votre compte reste vulnérable à une ancienne faille de sécurité. Si la base de données d'une entreprise est compromise et que les hachages de mots de passe sont divulgués, le fait de vous connecter désormais avec un mot de passe sécurisé ne vous protège pas. Votre mot de passe était toujours présent sur leurs serveurs, à la merci d'une éventuelle attaque.
Tant que davantage d'entreprises ne suivront pas l'exemple de Microsoft et ne supprimeront pas complètement les mots de passe, nous resterons bloqués dans une phase de transition.
Admirateur, mais non convaincu
Rien de tout cela ne laisse penser que les mots de passe constituent une impasse. La technologie elle-même représente un progrès significatif, et la résistance au phishing à elle seule représente un changement majeur dans le monde de… Microsoft l'indique dans Pour bloquer plus de 7 000 attaques par mot de passe chaque seconde. Son adoption s'accélère également. Selon Signal d'authentificationD’ici 2025, les mots de passe représentaient 62 % des défis d’authentification dans de grands ensembles de données réelles, et près de 57 % des utilisateurs savaient déjà ce qu’était un mot de passe.
Cependant, « idéal sur le papier » et « prêt pour tous » ne sont pas synonymes. Tant que les codes d'accès ne seront pas parfaitement synchronisés sur tous vos appareils et ne pourront pas réellement remplacer les mots de passe au lieu de s'y superposer maladroitement, il est judicieux d'opter pour un mot de passe fort et unique ainsi que pour l'authentification à deux facteurs. Le mot de passe n'est pas obsolète ; il attend simplement que son remplaçant soit disponible.
