Fini le mot de passe à retenir : ce que Google, Apple et WhatsApp installent à la place sur vos comptes

La case du mot de passe est en train de disparaître des écrans de connexion. Google, Apple, Microsoft et WhatsApp la remplacent par une clé d'accès rangée dans votre téléphone, que vous validez d'une empreinte ou d'un regard. Reste la question qui fait hésiter avant d'accepter : que devient votre compte le jour où cet appareil est perdu ou volé ?

Ce que la clé d'accès remplace, et ce qu'elle ne transmet pas

Une clé d'accès, passkey en anglais, n'est pas un mot de passe plus long. C'est une paire de clés de chiffrement créée au moment de l'inscription : l'une reste sur votre téléphone, l'autre est transmise au service en ligne.

Apple le détaille dans sa documentation : la clé publique est stockée sur le serveur, et « le serveur n'a accès aux informations de la clé privée à aucun moment ». Le site ne conserve donc plus rien qui permette de se connecter à votre place, même en cas de fuite de sa base de données.

La validation se fait par le geste habituel de déverrouillage : empreinte, reconnaissance du visage ou code de l'appareil. Ces données biométriques ne quittent pas le téléphone, comme le rappellent Google et Microsoft. La clé d'accès vient compléter le gestionnaire de mots de passe du téléphone, cette fois sans aucun secret à mémoriser.

Pourquoi une fausse page de connexion ne récupère rien

Le mot de passe souffre d'un défaut de conception : il faut le taper, donc quelqu'un peut le récupérer. Un faux SMS de livraison de colis suffit à le capter sur une page qui imite celle du vrai service. C'est le principe de l'hameçonnage, le phishing en anglais.

La clé d'accès rend ce scénario inopérant : il n'y a rien à taper et rien à recopier. Chaque clé est liée au compte et au service pour lesquels elle a été créée, si bien que sur une adresse imitée, le téléphone ne propose aucune connexion. Apple décrit un procédé « particulièrement résistant au phishing ».

Les chiffres donnent la mesure du problème. Microsoft dit avoir observé 7 000 attaques visant des mots de passe chaque seconde en 2024, plus du double du rythme de 2023. La détection des mots de passe compromis proposée par iPhone et Android, elle, n'avertit qu'une fois la fuite survenue.

Où la clé d'accès est déjà proposée

Google a fait de la clé d'accès l'option par défaut des comptes personnels le 10 octobre 2023, en annonçant des connexions 40 % plus rapides qu'avec un mot de passe. Le réglage reste réversible.

Microsoft est allé plus loin : depuis le 1er mai 2025, tout nouveau compte Microsoft est créé sans mot de passe. L'éditeur revendique près d'1 million de clés enregistrées chaque jour, ainsi que 98 % de connexions réussies avec une clé d'accès, contre 32 % avec un mot de passe.

Les messageries suivent le mouvement. Le 25 août 2026, WhatsApp a annoncé que plus d'1 milliard de personnes utilisaient une clé d'accès sur son service. L'application accepte désormais plusieurs clés pour un même compte, pratique si vous passez d'un téléphone Android à un iPhone.

Téléphone perdu, volé ou changé : ce qui arrive à vos clés

C'est la question qui fait le plus hésiter, et la réponse est documentée. Une clé enregistrée dans le Gestionnaire de mots de passe de Google est sauvegardée dans votre compte : elle n'est pas stockée uniquement sur l'appareil. Google écrit que vous pourrez la récupérer sur un nouvel appareil en indiquant « le code, le schéma ou le mot de passe de sécurité de l'appareil perdu ». Le code de verrouillage de l'ancien téléphone devient donc l'information à ne pas oublier.

Chez Apple, la synchronisation passe par le trousseau iCloud, chiffré de bout en bout, et l'assistance précise que ces clés sont « récupérables même si l'utilisateur perd tous ses appareils ». La récupération réclame le mot de passe du compte Apple, un code reçu par SMS et le code de l'appareil.

Il reste 2 nuances à connaître. Une clé créée en local, sans gestionnaire synchronisé, disparaît avec l'appareil : mieux vaut en enregistrer une seconde sur un autre appareil. Et une clé du trousseau iCloud ne se copie pas dans un compte Google : si vous changez d'univers, il faut créer une nouvelle clé. Apple prévoit toutefois de scanner avec l'iPhone un code QR affiché par l'appareil d'une autre marque, afin de se connecter sans transférer la clé.

En cas de vol, ces gestes complètent la checklist des 24 heures pour bloquer la carte SIM et l'IMEI et le tri des appareils reliés à votre compte. Avant de revendre l'ancien modèle, l'effacement complet reste indispensable.

Ce que disent la CNIL et l'ANSSI

La CNIL a adopté le 20 mars 2025 une recommandation sur l'authentification multifacteur, c'est-à-dire le fait de prouver son identité avec au moins 2 éléments différents. Elle classe la clé d'accès parmi les authentifications cryptographiquement robustes, avec une réserve : une clé d'accès n'est pas multifacteur par nature. Elle ne le devient que si elle est enregistrée sur un terminal précis, lui-même verrouillé par un code ou une empreinte.

L'ANSSI, l'agence française de la cybersécurité, n'a pas publié à ce jour de recommandation consacrée aux clés d'accès. Son guide de référence date du 8 octobre 2021, avant leur arrivée auprès du grand public : il recommande en priorité l'authentification multifacteur et cite déjà FIDO2, la norme technique sur laquelle reposent ces clés.

Activez donc la clé d'accès là où elle est proposée, mais conservez un mot de passe solide et la double authentification en secours. Ce sont ces deux solutions de repli qui permettent de reprendre la main le plus vite si votre compte est piraté.