tadata
← Retour à l'accueil

Passkeys et MFA résistante au hameçonnage : cinq milliards de passkeys plus tard, que doit déployer une entreprise

#security#identity#authentication#best-practices#compliance

La FIDO Alliance comptait cinq milliards de passkeys en usage en mai 2026, plus d'une connexion sur trois sur les services qu'elle indexe en utilise désormais une, et les lignes directrices révisées du NIST sur l'identité numérique (SP 800-63-4, juillet 2025) ont enfin classé les passkeys synchronisées au niveau d'assurance 2. De l'autre côté, Sophos attribue 79 % des cas de rançongiciel de l'année à une identité compromise, et la plupart de ces identités étaient protégées par un mot de passe plus un code à usage unique que la victime a tapé sur la page de l'attaquant. Cet article explique pourquoi « la MFA » n'est plus une seule chose, quelles méthodes résistent au hameçonnage, comment les relier à votre fournisseur d'identité et à vos applications, et un plan à 90 jours qui commence par les comptes que les attaquants veulent le plus.

Pourquoi le mot de passe n'est pas le problème que vous croyez

tadata
H = L × log2(N) time ≈ 2^H ÷ 2 ÷ R where H = strength (bits); L = length (characters, or words for a passphrase); N = size of the pool each one is drawn from (26lower case, +26 upper, +10 digits, +33 symbols; 7776 words for Diceware); R = guesses per second (1e+10 here: offline attack ona fast hash). On average the guesser finds it halfway. Ete2026! 53 bits · fair L = 8 chars N = 95 → about 3.8 days 4 mots aléatoires 52 bits · fair L = 4 words N = 7 776 → about 2.1 days 16 caractères aléatoires 105 bits · strong L = 16 chars N = 95 → about 10^13 years 40 60 80 128 bits Upper bound: it assumes every character or word is chosen at random. Words, names, dates and patterns (Summer2024!) are guessedfrom lists far sooner. Temps de devinette à 10 milliards d'essais par seconde (attaque hors ligne surune empreinte volée)
H = L × log2(N) time ≈ 2^H ÷ 2 ÷ R where H = strength (bits); L = length (characters, or words for a passphrase); N = size of the pool each one is drawn from (26lower case, +26 upper, +10 digits, +33 symbols; 7776 words for Diceware); R = guesses per second (1e+10 here: offline attack ona fast hash). On average the guesser finds it halfway. Ete2026! 53 bits · fair L = 8 chars N = 95 → about 3.8 days 4 mots aléatoires 52 bits · fair L = 4 words N = 7 776 → about 2.1 days 16 caractères aléatoires 105 bits · strong L = 16 chars N = 95 → about 10^13 years 40 60 80 128 bits Upper bound: it assumes every character or word is chosen at random. Words, names, dates and patterns (Summer2024!) are guessedfrom lists far sooner. Temps de devinette à 10 milliards d'essais par seconde (attaque hors ligne surune empreinte volée)

Un mot de passe aléatoire de 16 caractères est indevinable ; une phrase de quatre mots est assez solide. Ni l'un ni l'autre ne compte quand l'utilisateur le tape, avec le code à six chiffres de l'application d'authentification, sur une page qui ressemble au portail de l'entreprise et relaie les deux vers le vrai en moins d'une seconde. Cette attaque (hameçonnage par adversaire au milieu, vendue en kit) est ce que « résistant au hameçonnage » veut dire : l'identifiant doit être lié à l'origine du vrai site pour qu'un sosie ne puisse pas s'en servir.

Toutes les MFA ne se valent pas

tadata
Name Résiste auhameçonnage Résiste auSIM swap Résiste à lafatigue desnotifications Hors ligne Récupérationsans support Niveau NIST800-63-4 Code SMS AAL2* Application d'authentification(TOTP) AAL2 Notification push AAL2 Push avec correspondance de numéro AAL2 Passkey synchronisée (téléphone,gestionnaire) AAL2 Passkey liée à l'appareil (clé desécurité, TPM) AAL3 Carte à puce / certificat PIV AAL3 yes / full partial no / none Seconds facteurs comparés
Name Résiste auhameçonnage Résiste auSIM swap Résiste à lafatigue desnotifications Hors ligne Récupérationsans support Niveau NIST800-63-4 Code SMS AAL2* Application d'authentification(TOTP) AAL2 Notification push AAL2 Push avec correspondance de numéro AAL2 Passkey synchronisée (téléphone,gestionnaire) AAL2 Passkey liée à l'appareil (clé desécurité, TPM) AAL3 Carte à puce / certificat PIV AAL3 yes / full partial no / none Seconds facteurs comparés

Le SMS est noté AAL2* parce que le NIST le restreint : autorisé, déconseillé, à retirer. Deux lignes font l'essentiel. Une passkey synchronisée vit dans le compte de plateforme ou le gestionnaire de mots de passe de l'utilisateur, survit à un téléphone perdu, et résiste au hameçonnage parce que le navigateur ne la livre qu'à l'origine pour laquelle elle a été créée ; le NIST l'accepte désormais en AAL2, à condition de maîtriser le dispositif de synchronisation. Une passkey liée à l'appareil, sur une clé de sécurité ou dans le TPM du portable, ne se copie pas du tout : c'est l'AAL3, la bonne réponse pour les administrateurs, les approbateurs financiers et quiconque a accès à la production.

Ce que disent les chiffres du marché

Le rapport 2026 de la FIDO Alliance a interrogé 11 000 consommateurs et 1 400 organisations de 500 salariés et plus : 75 % des consommateurs ont activé une passkey sur au moins un compte, 68 % des organisations ont déployé ou déploient des passkeys pour leurs salariés, et 28 % se disent entièrement sans mot de passe. Le Passkey Index mesure les comportements plutôt que les intentions : les passkeys représentent 36 % des connexions réussies sur les services indexés, contre 26 % un an plus tôt, et une connexion par passkey aboutit dans 93 % des cas contre 78 % pour la MFA classique. La partie indépendante des éditeurs dans cette histoire est le dernier chiffre : la méthode résistante au hameçonnage est aussi celle que les utilisateurs mènent au bout.

Où circule vraiment la confiance

tadata
Salarié IdP de l'entreprise(Entra, Okta, Zitadel,Keycloak) SIRH, source de référence Microsoft 365 /Google Workspace Applications SaaS(SAML, OIDC) Consoles cloud et CI VPN et accès distant Application anciennederrière un proxy authenticate crée et supprime les comptes OIDC, accès conditionnel SAML, provisionnement SCIM OIDC, passkey liée à l'appareil exigée SAML, conformité du poste pont en-tête ou Kerberos Un fournisseur d'identité, des passkeys en façade, la fédération derrière
Salarié IdP de l'entreprise(Entra, Okta, Zitadel,Keycloak) SIRH, source de référence Microsoft 365 /Google Workspace Applications SaaS(SAML, OIDC) Consoles cloud et CI VPN et accès distant Application anciennederrière un proxy authenticate crée et supprime les comptes OIDC, accès conditionnel SAML, provisionnement SCIM OIDC, passkey liée à l'appareil exigée SAML, conformité du poste pont en-tête ou Kerberos Un fournisseur d'identité, des passkeys en façade, la fédération derrière

La décision de conception qui rend les passkeys déployables est que l'utilisateur s'authentifie avec la passkey une fois, auprès du fournisseur d'identité, et que chaque application fait confiance au fournisseur d'identité par SAML ou OIDC. Vous n'avez pas besoin que chaque outil SaaS supporte WebAuthn ; vous avez besoin que tous cessent d'accepter des mots de passe locaux. L'application ancienne qui ne parle aucun des deux protocoles passe derrière un proxy d'authentification plutôt que de garder sa propre base de mots de passe.

Les politiques, dans l'ordre où le fournisseur d'identité les évalue

tadata
# Action Source Destination Service Comment 1 DENY Tout utilisateur Toute application Authentification héritée(IMAP, SMTPbasique, POP) Bloque les protocoles à mot depasse seul qui contournenttoute MFA 2 ALLOW Comptes de secours(2) Portailsd'administration Passkey liée àl'appareil,depuis un lieunommé Exclus de toutes les autresrègles ; testés chaque mois 3 ALLOW Administrateurs,approbateursfinanciers, accèsproduction Toute application Passkey liée àl'appareilseulement AAL3 pour les comptes que lesattaquants veulent 4 ALLOW Tous les salariés Toute application Toute passkeyou méthoderésistante auhameçonnage Passkeys synchroniséesacceptées ; push et SMS plusproposés 5 ALLOW Prestataires etpartenaires Applicationsattribuées seulement Passkey ouTOTP, posteconforme TOTP toléré 6 mois, puis retiré 6 DENY Tout utilisateur Toute application Connexiondepuis un postenon géré auxportailsd'administration La conformité du poste faitpartie de la politique – DENY any any any implicit default No shadowed, redundant or overly permissive rules found. Accès conditionnel, à lire de haut en bas
# Action Source Destination Service Comment 1 DENY Tout utilisateur Toute application Authentification héritée(IMAP, SMTPbasique, POP) Bloque les protocoles à mot depasse seul qui contournenttoute MFA 2 ALLOW Comptes de secours(2) Portailsd'administration Passkey liée àl'appareil,depuis un lieunommé Exclus de toutes les autresrègles ; testés chaque mois 3 ALLOW Administrateurs,approbateursfinanciers, accèsproduction Toute application Passkey liée àl'appareilseulement AAL3 pour les comptes que lesattaquants veulent 4 ALLOW Tous les salariés Toute application Toute passkeyou méthoderésistante auhameçonnage Passkeys synchroniséesacceptées ; push et SMS plusproposés 5 ALLOW Prestataires etpartenaires Applicationsattribuées seulement Passkey ouTOTP, posteconforme TOTP toléré 6 mois, puis retiré 6 DENY Tout utilisateur Toute application Connexiondepuis un postenon géré auxportailsd'administration La conformité du poste faitpartie de la politique – DENY any any any implicit default No shadowed, redundant or overly permissive rules found. Accès conditionnel, à lire de haut en bas

L'ordre compte autant que le contenu. Les protocoles hérités sont bloqués d'abord parce qu'ils ignorent toutes les règles en dessous ; les comptes de secours viennent ensuite pour qu'une erreur dans les règles plus fortes ne verrouille pas tout le monde ; l'exigence la plus forte s'applique au plus petit groupe avant la règle générale.

Quatre-vingt-dix jours

tadata
Jours 1-30 GOAL Protéger les comptes quicomptent Actions • Inventorier les comptes àprivilèges et les applications àmots de passe locaux • Remettre deux clés de sécurité àchaque administrateur etapprobateur financier ; lesimposer • Bloquer les protocolesd'authentification hérités • Créer et tester deux comptes desecours Success measures 100 % des admins sur passkeysliées à l'appareil 0 connexion par protocole héritédans les journaux Jours 31-60 GOAL Ouvrir les passkeys à tous Actions • Activer les passkeys synchroniséesdans l'IdP ; enrôlement par passed'accès temporaire • Pilote avec l'informatique et uneéquipe métier ; écrire le guide dedeux pages et le script du support • Passer les cinq applications SaaSles plus utilisées en SSO seul,mots de passe locaux désactivés Success measures Passkey enrôlée par 60 % deseffectifs Moins de 0,1 ticket de support parenrôlement Jours 61-90 GOAL Retirer les chemins faibles Actions • Cesser de proposer SMS et pushsimple comme seconds facteurs • Mettre l'application anciennederrière le proxyd'authentification • Faire expirer le TOTP desprestataires • Rapport : part des connexions parméthode, part résistante auhameçonnage Success measures Part résistante au hameçonnageau-dessus de 90 % Aucune application avec sa proprebase de mots de passe Des mots de passe plus codes aux passkeys
Jours 1-30 GOAL Protéger les comptes quicomptent Actions • Inventorier les comptes àprivilèges et les applications àmots de passe locaux • Remettre deux clés de sécurité àchaque administrateur etapprobateur financier ; lesimposer • Bloquer les protocolesd'authentification hérités • Créer et tester deux comptes desecours Success measures 100 % des admins sur passkeysliées à l'appareil 0 connexion par protocole héritédans les journaux Jours 31-60 GOAL Ouvrir les passkeys à tous Actions • Activer les passkeys synchroniséesdans l'IdP ; enrôlement par passed'accès temporaire • Pilote avec l'informatique et uneéquipe métier ; écrire le guide dedeux pages et le script du support • Passer les cinq applications SaaSles plus utilisées en SSO seul,mots de passe locaux désactivés Success measures Passkey enrôlée par 60 % deseffectifs Moins de 0,1 ticket de support parenrôlement Jours 61-90 GOAL Retirer les chemins faibles Actions • Cesser de proposer SMS et pushsimple comme seconds facteurs • Mettre l'application anciennederrière le proxyd'authentification • Faire expirer le TOTP desprestataires • Rapport : part des connexions parméthode, part résistante auhameçonnage Success measures Part résistante au hameçonnageau-dessus de 90 % Aucune application avec sa proprebase de mots de passe Des mots de passe plus codes aux passkeys

Ce qui tourne mal

tadata
! La récupération est la nouvelle surface d'attaque Si une passkey perdue se remplace par une réinitialisation de mot de passe par courriel et SMS,l'attaquant perd simplement la passkey à votre place. La récupération doit être au moins aussi forteque la connexion : une seconde passkey, une clé de sécurité dans un tiroir, ou une vérificationd'identité par le support. ✓ Deux clés par administrateur Une passkey liée à l'appareil ne se copie pas ; c'est le but. Remettez-en deux, enregistrez les deux,rangez-en une loin du portable. i Passkeys synchronisées et dispositif de synchronisation Le classement AAL2 du NIST pour les passkeys synchronisées suppose que le compte de plateforme (Apple,Google, Microsoft, le gestionnaire) est lui-même protégé et que vous pouvez exiger un compte géré.Décidez quels fournisseurs de synchronisation vous acceptez. ! Boîtes partagées et comptes de service Les passkeys sont personnelles. Les identifiants partagés doivent devenir des accès délégués ou desidentifiants d'application avec leur propre rotation, pas une passkey sur le téléphone de quelqu'un. ✓ Mesurer la part, pas l'enrôlement Une passkey enrôlée mais jamais utilisée ne protège rien. La métrique est la part des connexions faitesavec une méthode résistante au hameçonnage, d'après les journaux de l'IdP. Leçons des déploiements
! La récupération est la nouvelle surface d'attaque Si une passkey perdue se remplace par une réinitialisation de mot de passe par courriel et SMS,l'attaquant perd simplement la passkey à votre place. La récupération doit être au moins aussi forteque la connexion : une seconde passkey, une clé de sécurité dans un tiroir, ou une vérificationd'identité par le support. ✓ Deux clés par administrateur Une passkey liée à l'appareil ne se copie pas ; c'est le but. Remettez-en deux, enregistrez les deux,rangez-en une loin du portable. i Passkeys synchronisées et dispositif de synchronisation Le classement AAL2 du NIST pour les passkeys synchronisées suppose que le compte de plateforme (Apple,Google, Microsoft, le gestionnaire) est lui-même protégé et que vous pouvez exiger un compte géré.Décidez quels fournisseurs de synchronisation vous acceptez. ! Boîtes partagées et comptes de service Les passkeys sont personnelles. Les identifiants partagés doivent devenir des accès délégués ou desidentifiants d'application avec leur propre rotation, pas une passkey sur le téléphone de quelqu'un. ✓ Mesurer la part, pas l'enrôlement Une passkey enrôlée mais jamais utilisée ne protège rien. La métrique est la part des connexions faitesavec une méthode résistante au hameçonnage, d'après les journaux de l'IdP. Leçons des déploiements

En résumé

La MFA résistante au hameçonnage n'est plus un budget matériel et une montagne de conduite du changement. Les passkeys synchronisées couvrent la population générale à un niveau d'assurance que les régulateurs acceptent, les passkeys liées à l'appareil couvrent la douzaine de comptes dont la compromission coûte à l'entreprise, et la fédération du fournisseur d'identité fait le reste. Commencez par les administrateurs ce mois-ci, ouvrez les passkeys à tous le mois prochain, puis faites la partie que la plupart des organisations sautent : éteignez les méthodes faibles. Nos articles sur la gestion des identités et des accès et le zero trust couvrent l'architecture autour.

Sources : FIDO Alliance, The State of Passkeys 2026 (mai 2026) et Passkey Index 2026 ; NIST SP 800-63-4 et 800-63B-4 (juillet 2025) ; Sophos, The State of Ransomware 2026 ; documentation des fournisseurs d'identité sur l'accès conditionnel. Lus le 19 octobre 2026.

Nous utilisons des cookies analytiques pour améliorer votre expérience. Aucune donnée personnelle n'est collectée.