Faut-il installer un gestionnaire de mots de passe, adopter les passkeys ou activer le MFA ? La question ressemble à un choix entre trois produits concurrents. En réalité, ces termes ne décrivent pas la même couche de protection.
Le gestionnaire rend les mots de passe uniques et utilisables à grande échelle. La passkey remplace le mot de passe sur un service compatible par une paire de clés cryptographiques liée au vrai domaine. Le MFA désigne un processus qui exige plusieurs facteurs ; il peut utiliser un mot de passe et un code, une clé de sécurité ou une passkey déverrouillée localement.
La réponse courte est donc : utilisez des passkeys sur les comptes compatibles, un gestionnaire pour tous les mots de passe qui restent, et un MFA résistant au phishing sur les accès sensibles. La qualité de la récupération compte autant que la méthode de connexion.
Le choix en une minute
| Situation | Choix prioritaire | Complément à prévoir | Pourquoi |
|---|---|---|---|
| Compte compatible avec les passkeys | passkey synchronisée pour un particulier | second appareil ou méthode de récupération | simple et résistante au phishing |
| Messagerie, cloud ou banque sans passkey | mot de passe unique dans un gestionnaire | MFA par application, clé ou validation intégrée | limite la réutilisation et ajoute une barrière |
| Administrateur ou accès professionnel critique | passkey liée à l'appareil ou clé de sécurité | second authentificateur physique conservé séparément | contrôle plus fort et récupération maîtrisée |
| Centaines de comptes hétérogènes | gestionnaire de mots de passe | migration progressive vers les passkeys | couverture immédiate du parc existant |
| Service ne proposant que le SMS | mot de passe unique et SMS activé | surveiller les options plus fortes | le SMS reste préférable à l'absence de MFA |
| Appareil partagé ou ancien | gestionnaire avec verrouillage court | MFA compatible et procédure de déconnexion | les passkeys synchronisées ne conviennent pas à tous les contextes |
Ce tableau n'établit pas un podium absolu. Le niveau approprié dépend de l'impact d'une compromission, des appareils disponibles, du support du service et de la capacité à reprendre le compte sans ouvrir une porte de secours trop faible.
Trois outils qui répondent à trois problèmes
Un mot de passe volé peut être essayé sur le service d'origine, puis sur d'autres comptes si la personne l'a réutilisé. Le gestionnaire corrige surtout ce second problème : il génère un secret différent pour chaque site et le remplit sans demander de le mémoriser.
Il ne transforme toutefois pas ce secret en méthode résistante au phishing. Un faux site peut encore recevoir le mot de passe si l'utilisateur force le remplissage ou le copie. Le gestionnaire fournit un signal utile lorsqu'il ne reconnaît pas le domaine, mais sa protection dépend encore de la réaction humaine.
Le MFA ajoute une autre preuve. Tous les facteurs ne se valent pas. Un code SMS ou TOTP saisi manuellement peut être relayé en temps réel par une page frauduleuse. Le NIST ne considère donc pas ces OTP comme résistants au phishing, même s'ils bloquent de nombreuses attaques fondées sur un mot de passe seul.
Une passkey utilise WebAuthn : le service conserve une clé publique et l'appareil protège la clé privée. La réponse cryptographique est liée au domaine du service, si bien qu'un faux domaine ne peut pas simplement la récupérer puis la rejouer. Le code PIN ou la biométrie servent à déverrouiller la clé localement ; le site ne reçoit pas l'empreinte ou le visage.
Notre article sur les passkeys et le MFA résistant au phishing approfondit ce mécanisme. Ici, la question est de savoir comment l'intégrer avec le parc de comptes qui utilise encore des mots de passe.
Quand le gestionnaire de mots de passe reste indispensable
Les passkeys progressent, mais de nombreux services imposent encore un mot de passe. D'autres autorisent une passkey tout en conservant le mot de passe comme méthode de secours. Un gestionnaire reste donc la fondation la plus universelle à court terme.
Il apporte quatre bénéfices concrets :
- générer un secret long et unique pour chaque compte ;
- associer ce secret au bon domaine ;
- partager un accès professionnel sans transmettre le mot de passe par message ;
- repérer les réutilisations et identifiants exposés lorsque le produit le permet.
Le choix du gestionnaire ne doit pas se limiter à l'apparence de l'application. Vérifiez :
- le chiffrement de bout en bout et la documentation de son architecture ;
- l'existence d'audits indépendants récents et le traitement public des incidents ;
- la prise en charge de vos navigateurs, téléphones et systèmes ;
- l'export dans un format exploitable pour éviter l'enfermement ;
- le partage contrôlé, les journaux et la révocation pour une équipe ;
- la gestion des passkeys, si vous souhaitez centraliser la transition ;
- le parcours de récupération et ce que le fournisseur peut réellement restaurer.
Le mot de passe maître doit être unique, long et mémorisable. Il ne doit pas être stocké comme une note dans le coffre qu'il ouvre. Activez une méthode forte sur le compte du gestionnaire et conservez son kit de récupération hors ligne, dans un emplacement protégé.
Un coffre concentre les secrets, ce qui augmente la conséquence d'une compromission. Mais cette concentration doit être comparée à l'alternative réelle : mots de passe réutilisés, tableur, courriels ou notes dispersées. Pour la plupart des personnes et petites équipes, un gestionnaire sérieux correctement configuré réduit nettement le risque global.
Passkeys synchronisées ou liées à un appareil
Le mot passkey recouvre deux modèles opérationnels.
Une passkey synchronisée est sauvegardée par un fournisseur de passkeys et devient disponible sur les appareils rattachés au même compte. Elle facilite le changement de téléphone et l'usage quotidien. Pour un particulier, c'est généralement le meilleur équilibre entre sécurité et simplicité.
Une passkey liée à un appareil ne quitte pas le téléphone, l'ordinateur ou la clé de sécurité qui l'a créée. Elle réduit la dépendance au mécanisme de synchronisation et peut répondre à des besoins d'assurance plus élevés. Elle exige en contrepartie d'enregistrer un second authentificateur avant de perdre le premier.
| Critère | Passkey synchronisée | Passkey liée à l'appareil |
|---|---|---|
| Changement de téléphone | restauration via le fournisseur | nouvel enrôlement nécessaire |
| Utilisation sur plusieurs appareils | simple dans le même écosystème | dépend de la présence de la clé ou de l'appareil |
| Risque principal | compromission du compte de synchronisation | perte ou destruction de l'unique authentificateur |
| Usage naturel | comptes personnels et collaborateurs standards | administrateurs, environnements gérés ou réglementés |
| Récupération recommandée | compte fournisseur fortement protégé et second appareil | deux clés ou appareils enregistrés séparément |
Une passkey synchronisée n'est pas « juste un mot de passe dans le cloud ». Elle reste une clé cryptographique unique au service et résistante au phishing. En revanche, la sécurité de sa restauration dépend aussi du fournisseur de passkeys. Pour un compte professionnel sensible, l'organisation doit décider si ce modèle de synchronisation est autorisé et sur quels appareils.
Le MFA est une propriété, pas une application précise
MFA signifie qu'une authentification combine au moins deux catégories : quelque chose que l'utilisateur connaît, possède ou est. Deux mots de passe ne forment pas deux facteurs. La biométrie seule n'est pas non plus un secret envoyé au serveur dans le cas d'une passkey ; elle active localement l'authentificateur détenu sur l'appareil.
Les méthodes courantes peuvent être classées ainsi :
| Méthode | Résiste au mot de passe volé | Résiste au phishing en temps réel | Dépend du téléphone |
|---|---|---|---|
| SMS | oui, dans de nombreux scénarios | non | oui et dépend aussi de l'opérateur |
| Code TOTP d'une application | oui | non | souvent |
| Notification à approuver | oui | pas toujours, fatigue et validation trompeuse possibles | oui |
| Passkey avec vérification locale | oui | oui | selon le support et le fournisseur |
| Clé de sécurité FIDO | oui | oui | non si la clé est autonome |
N'abandonnez pas un MFA imparfait avant d'avoir enregistré sa meilleure alternative. Pour un service qui ne propose que le SMS, activer le SMS reste généralement plus protecteur que rester au mot de passe seul. La priorité consiste à améliorer d'abord les comptes dont la compromission ouvrirait les autres : messagerie, gestionnaire, compte de synchronisation, cloud, finance et administration.
La récupération est votre authentification de secours
Une connexion très robuste peut être contournée si le support rend le compte à toute personne capable de fournir une adresse et quelques informations publiques. À l'inverse, une récupération impossible peut laisser l'utilisateur définitivement bloqué après la perte d'un téléphone.
Le NIST distingue notamment les codes de récupération conservés, les codes envoyés vers des adresses vérifiées, les contacts de confiance et une nouvelle vérification d'identité. Pour l'utilisateur, la règle pratique consiste à disposer de deux moyens indépendants sans les conserver tous au même endroit.
Avant de fermer les réglages d'un compte critique :
- enregistrer deux passkeys ou deux clés lorsque le service le permet ;
- vérifier l'adresse et le numéro de récupération ;
- imprimer ou noter les codes de secours, puis les stocker hors ligne ;
- retirer les anciens appareils et contacts ;
- tester une connexion depuis un second appareil ;
- expliquer la procédure à la personne qui devra l'exécuter en cas d'urgence.
Ne stockez pas l'unique code de récupération du gestionnaire uniquement dans ce même gestionnaire. Pour une entreprise, placez les accès d'urgence dans un dispositif séparé, contrôlé par plusieurs personnes et audité après chaque utilisation.
Quel dispositif pour un particulier ?
Commencez par protéger la messagerie principale et le compte Apple, Google ou Microsoft qui synchronise l'appareil. Ils contrôlent souvent la récupération du reste.
Une configuration équilibrée tient en six actions :
- choisir un gestionnaire et créer un mot de passe maître unique ;
- importer les identifiants, puis remplacer progressivement les réutilisations ;
- activer une passkey sur la messagerie et les comptes majeurs lorsqu'elle est proposée ;
- garder le MFA par application sur les services sans passkey ;
- conserver les codes de récupération hors ligne ;
- ajouter un second appareil ou une clé pour les comptes qui verrouillent toute la chaîne.
La famille doit aussi savoir où commence et s'arrête le partage. Un coffre familial permet de partager l'abonnement ou le Wi-Fi sans rendre visible chaque compte personnel. Les appareils communs nécessitent des sessions distinctes ; enregistrer toutes les passkeys dans un profil partagé annule une partie du bénéfice.
Quel dispositif pour un indépendant ou une PME ?
L'entreprise doit séparer identité personnelle et identité professionnelle. Un coffre d'équipe permet de transférer un accès quand une personne part, sans connaître son mot de passe maître. Le fournisseur d'identité doit centraliser autant que possible le MFA, les groupes et la révocation.
Déployez par niveau de risque :
- administrateurs, messagerie, paie, banque, cloud et dépôt de code ;
- collaborateurs ayant accès aux données sensibles ;
- applications ordinaires et comptes historiques ;
- comptes de service, qui nécessitent des secrets gérés et non une passkey humaine.
Pour les administrateurs, privilégiez des clés de sécurité ou passkeys liées à des appareils gérés, avec deux authentificateurs enregistrés. Pour les collaborateurs, des passkeys synchronisées dans un profil professionnel géré peuvent offrir un meilleur compromis. Documentez les appareils personnels autorisés, l'enrôlement, le départ d'un salarié et l'accès d'urgence.
Le guide Cybersécurité pour PME : les priorités réellement utiles replace cette stratégie d'identité avec les sauvegardes, les mises à jour et la réponse à incident.
Les erreurs qui fragilisent une bonne solution
- utiliser le même mot de passe maître que sur un autre site ;
- stocker tous les facteurs et l'unique récupération dans un seul appareil non sauvegardé ;
- croire qu'un code à six chiffres rend impossible le phishing ;
- approuver une notification MFA non sollicitée pour faire disparaître l'alerte ;
- n'enregistrer qu'une clé physique sur un compte critique ;
- conserver des comptes partagés sans propriétaire ni journal ;
- laisser un ancien téléphone, salarié ou contact de récupération actif ;
- imposer une passkey sans vérifier les appareils partagés et l'accessibilité.
Si un compte est déjà compromis, ne changez pas seulement son mot de passe. Révoquez les sessions, contrôlez les moyens de récupération et retirez les authentificateurs inconnus. Notre guide sur les premières 24 heures après un compte piraté ou une fuite ordonne ces actions.
Un plan de migration sans grand soir
La première semaine, installez le gestionnaire, sécurisez son compte et traitez les dix identifiants les plus critiques ou réutilisés. La deuxième, activez les passkeys disponibles et améliorez le MFA restant. La troisième, testez les récupérations depuis un autre appareil et retirez les anciennes méthodes. Pour une équipe, ajoutez un inventaire des comptes partagés et un responsable par coffre.
Le bon résultat n'est pas « 100 % passkeys » ni « MFA activé » dans un tableau. C'est un ensemble où chaque compte important possède une méthode résistante au risque visé, où les mots de passe restants sont uniques et où la perte d'un appareil ne provoque ni contournement facile ni blocage définitif.
