Calipia : le blog

Il existe une idée reçue, agréablement simple, qui circule dans les couloirs des directions informatiques depuis quelques mois. Elle tient en une phrase : le jour où tous les services numériques, y compris les services grand public, seront passés aux passkeys, le partage de compte appartiendra au passé. Fin de l’histoire, fin du mot de passe Netflix envoyé par SMS au neveu, fin du fichier Excel des identifiants de l’association, fin du compte générique qui traîne depuis douze ans dans un service comptable.

L’idée a l’élégance des raisonnements courts. Elle est aussi largement fausse, et sa fausseté est instructive. Elle nous en apprend beaucoup plus sur les vrais obstacles à l’adoption des passkeys que tous les billets promotionnels publiés à l’occasion du World Passkey Day.

Ce qu’un passkey empêche réellement

Rappelons brièvement le mécanisme, parce que c’est de là que vient la confusion. Un passkey repose sur une paire de clés asymétrique. La clé publique est déposée chez le service, ce que la spécification WebAuthn appelle la relying party. La clé privée reste dans un authentificateur, Secure Enclave d’un iPhone, TPM d’un poste Windows, clé FIDO2 physique ou coffre logiciel d’un gestionnaire de mots de passe. À la connexion, le service envoie un défi cryptographique, l’authentificateur le signe après une vérification locale de l’utilisateur, biométrie ou code PIN. Le secret ne circule jamais.

De là découlent trois propriétés. La première est la résistance native au hameçonnage, puisque le passkey est lié à l’origine et refuse tout simplement de se déclencher sur un domaine qui n’est pas le sien. La deuxième est l’absence de secret mémorisable, donc réutilisable, donc revendable en fuite de données. La troisième, celle qui nous intéresse ici, est la non dictabilité. Il n’existe aucune chaîne de caractères à transmettre. On ne donne pas son passkey au téléphone.

Conclusion apparente : le partage est mort. Conclusion réelle : une forme de partage est morte, et pas la plus intéressante.

La distinction que personne n’explique au grand public

Tout le débat se joue sur une nuance que l’industrie a soigneusement évité de mettre en avant, probablement parce qu’elle complique le récit marketing. Il existe deux familles de passkeys.

Les passkeys device bound vivent dans un authentificateur unique et n’en sortent jamais. C’est le modèle de la clé YubiKey, celui que les RSSI aiment pour les comptes à privilèges. Là, effectivement, le partage suppose de prêter physiquement l’objet.

Les passkeys synced, eux, sont synchronisés par un trousseau. Trousseau iCloud, gestionnaire de mots de passe Google, Bitwarden, 1Password, Dashlane, NordPass. Ils suivent l’utilisateur d’un appareil à l’autre, ce qui est précisément l’argument de confort qui porte l’adoption grand public. Et ils se partagent.

Pas de manière détournée ou bricolée : de manière native et documentée. Apple propose depuis iOS 17 et macOS Sonoma des groupes d’identifiants partagés dans lesquels on dépose indifféremment des mots de passe et des passkeys, avec un propriétaire de groupe qui gère les membres et des membres qui peuvent consulter, ajouter et supprimer. Le partage familial fonctionne à l’identique, avec ajout automatique des participants. On peut même transmettre un passkey isolé par AirDrop. Du côté des gestionnaires tiers, les coffres partagés acceptent les passkeys comme n’importe quel autre élément, et c’est mis en avant comme une fonctionnalité, pas comme un contournement.

Ajoutons que la plupart des services acceptent l’enregistrement de plusieurs passkeys sur un même compte. C’est même la bonne pratique recommandée pour éviter le verrouillage en cas de perte d’appareil. Rien n’interdit donc d’enrôler le téléphone de Madame et celui de Monsieur sur le compte de livraison de la maison. La résilience et le partage sont ici la même opération vue sous deux angles.

Sur les cinq milliards de passkeys estimés en circulation à mi 2026 par la FIDO Alliance, l’écrasante majorité relève de la seconde famille. Autant dire que la démonstration initiale s’applique à une minorité de cas.

Le vrai effet : une discrimination par la compétence

Ce que le passkey supprime, c’est le partage informel, gratuit, invisible et universel. Le Post-it, le message vocal, le fichier partagé, l’ami de l’ami qui hérite des identifiants au troisième degré. Ce que le passkey installe à la place, c’est un partage outillé, explicite, dépendant de l’écosystème et surtout réservé à ceux qui savent le mettre en œuvre.

La conséquence mérite d’être formulée sans détour, parce qu’elle contredit frontalement l’objectif affiché par certaines directions produit. Le passkey ne discrimine pas les usages illégitimes. Il discrimine les utilisateurs peu outillés. Le foyer entièrement équipé en matériel Apple, ou le geek abonné à un gestionnaire de mots de passe, continuera de partager tranquillement. Le foyer hétérogène, un Android, un iPhone, un PC Windows, un Chromebook, perdra cette capacité sans avoir rien fait de répréhensible. Et le revendeur organisé de places d’abonnement, lui, ne sera pas inquiété une seconde.

Les plateformes de streaming l’ont d’ailleurs parfaitement compris, ce qui rend leur silence sur le sujet assez éloquent. Leur lutte contre le partage ne passe pas par l’authentification mais par l’analyse de l’adresse IP, des identifiants d’appareil et de la définition d’un foyer. Le combat se joue au niveau de la session, pas de la connexion. Netflix estimait à une centaine de millions le nombre de foyers partageant un compte hors des règles avant les restrictions de 2023, et le manque à gagner associé entre six et huit milliards de dollars. On peut raisonnablement supposer qu’avec un tel enjeu, si les passkeys avaient constitué la solution, quelqu’un s’en serait aperçu.

Là où le sujet devient stratégique : le frein à l’adoption

Voici le retournement intéressant. Le lien entre passkeys et partage de compte n’est pas un effet de bord de l’adoption. C’est un de ses obstacles principaux, et probablement le moins bien documenté.

Le premier frein est celui de l’utilisateur. Activer un passkey sur un service partagé avec son conjoint ou ses enfants, c’est prendre un risque net contre un gain perçu nul. Le raisonnement est parfaitement rationnel : aujourd’hui ça marche pour tout le monde à la maison, si j’active cette nouveauté je ne sais pas si ça marchera encore, donc je n’y touche pas. Ce raisonnement est renforcé par des interfaces qui laissent planer un doute sur la réversibilité de l’opération. Résultat, l’adoption progresse sur les comptes individuels, messagerie, banque, réseaux sociaux, et bute précisément sur les comptes domestiques, c’est à dire ceux du quotidien.

Les chiffres publiés par la FIDO Alliance en mai 2026 sont cohérents avec cette lecture. La notoriété atteint quatre vingt dix pour cent, soixante quinze pour cent des consommateurs ont activé un passkey sur au moins un compte, mais seulement quarante pour cent environ le font sur la majorité de leurs applications, et à peu près la moitié les utilisent régulièrement quand l’option existe. Le plafond n’est plus dans la découverte. Il est dans la généralisation compte par compte.

Le deuxième frein est celui des éditeurs, et il est plus subtil parce qu’ils ne sont pas dans la même situation. Pour un service par abonnement, presse, musique, vidéo, jeu, le partage est un manque à gagner et le passkey un accélérateur bienvenu. Pour un service financé par l’usage ou la publicité, commerce en ligne, réseaux sociaux, plateformes à effet de réseau, le partage est au contraire un vecteur d’acquisition et de fidélisation. Ces acteurs n’ont strictement aucune raison de se précipiter vers un dispositif qui réduit leur surface d’usage. Et pour les secteurs régulés, banque, assurance, énergie, service public, la situation est franchement inconfortable : ils savent qu’une part significative de leurs utilisateurs délègue l’accès à un proche pour des motifs parfaitement légitimes, et durcir l’authentification sans offrir de mécanisme de délégation revient à exclure ces publics. D’où un déploiement systématiquement en option, jamais en obligation, ce qui plafonne mécaniquement les taux.

Le troisième frein est le plus lourd, et c’est un vide fonctionnel. Des millions de personnes gèrent les démarches en ligne d’un ascendant âgé ou dépendant. Aucun service grand public n’offre de véritable mandat d’accès, avec des droits nommés et révocables. La solution actuelle est le partage d’identifiants, c’est à dire exactement ce que le passkey rend impraticable. On remplace donc une mauvaise pratique par une impasse. Même constat pour la succession numérique, où un mot de passe se retrouve ou se réinitialise alors qu’un passkey enfermé dans le trousseau d’un défunt relève du parcours notarial. Même constat pour l’association de quatre cents adhérents animée par trois bénévoles tournants, qui n’a évidemment pas de solution de gestion d’identité. Et désormais, même constat pour les agents logiciels et les assistants d’intelligence artificielle à qui l’on demande d’agir au nom d’un utilisateur sur des services dépourvus d’API, et qui se heurtent à une authentification exigeant une présence humaine et une vérification biométrique.

Chaque usage légitime non couvert produit soit un refus d’adoption, soit un contournement. Et les contournements, maintien du mot de passe de repli, code de secours partagé, session laissée ouverte en permanence, annulent en pratique le bénéfice de sécurité que l’on prétendait obtenir.

Une remarque de souveraineté, en passant

Il y a un corollaire que les directions informatiques européennes gagneraient à regarder de près. La mécanique du passkey grand public repose sur la synchronisation par trousseau, et les trousseaux qui comptent s’appellent Apple, Google et Microsoft. Chaque passkey créé est un point d’ancrage supplémentaire dans un écosystème dont la sortie n’est pas triviale.

L’industrie en a conscience et travaille à la portabilité. La FIDO Alliance a publié le Credential Exchange Format en version 1.0, standard proposé co édité notamment avec 1Password, et poursuit les travaux sur le Credential Exchange Protocol qui définit le transport chiffré de bout en bout. Apple a livré un transfert d’identifiants entre applications sur un même appareil dans iOS et macOS 26, et Bitwarden figure parmi les premiers à s’y raccorder. C’est un progrès réel. Ce n’est pas encore une expérience homogène, et tant que déplacer un passkey d’un iPhone vers un poste Windows relèvera de l’exploit, la perception d’enfermement persistera. Notons au passage l’ironie de la situation : le standard conçu pour libérer les identifiants de leur silo est aussi celui qui abaissera le coût du partage.

Ce que cela change côté entreprise

Le sujet grand public a un jumeau interne, souvent traité avec moins d’attention qu’il ne le mérite. L’erreur classique consiste à migrer un compte partagé vers un passkey. C’est un déplacement de problème, pas une résolution. Soit on enrôle plusieurs authentificateurs sur un compte unique et l’imputabilité reste nulle, soit on dépose le passkey dans un coffre partagé et on perd la liaison à une personne physique. Dans les deux cas, le bénéfice de traçabilité s’évapore, et il reste une authentification résistante au hameçonnage sur un compte dont on ne sait toujours pas qui l’utilise. C’est mieux que rien, mais très en deçà de ce qui figurait sur la présentation du comité de pilotage.

La séquence utile est connue et rarement suivie. Inventorier les comptes partagés, comptes génériques, boîtes fonctionnelles, comptes d’administration, accès prestataires, comptes de service. Qualifier ce qui peut être décomposé en identités nominatives, ce qui constitue un travail organisationnel avant d’être technique. Encadrer ce qui ne peut pas l’être, coffre d’entreprise, gestion des accès à privilèges, rotation, journalisation. Et seulement ensuite déployer les passkeys sur des identités nominatives. La FIDO Alliance indique que soixante huit pour cent des organisations déploient, expérimentent ou généralisent les passkeys pour leurs collaborateurs, mais qu’une majorité conserve en parallèle des méthodes hameçonnables. La coexistence est la norme, elle durera, et il vaut mieux la piloter que la subir.

En synthèse

L’affirmation de départ était donc doublement instructive. Techniquement fausse, puisque les passkeys synchronisés se partagent nativement chez Apple comme chez tous les gestionnaires sérieux. Socialement juste, puisque le partage cesse d’être une pratique universelle et gratuite pour devenir un geste outillé réservé aux utilisateurs équipés.

La leçon opérationnelle tient en deux points. Le passkey est un excellent instrument contre le hameçonnage et un très mauvais instrument contre le partage abusif, et le confondre avec le second est le meilleur moyen de dégrader la perception du premier. Ensuite, le principal obstacle à la généralisation des passkeys n’est ni cryptographique ni ergonomique, il est fonctionnel : tant que l’industrie n’aura pas normalisé une délégation d’accès grand public digne de ce nom, l’aidant, la famille recomposée, l’association et l’agent logiciel continueront de faire ce qu’ils ont toujours fait, à savoir se passer les identifiants. Et ils préféreront simplement les services qui les laissent faire.