Clé d’accès (passkey) : se connecter sans mot de passe, mode d’emploi
Une clé d’accès, ou passkey, remplace le mot de passe par le déverrouillage de votre téléphone ou de votre ordinateur : empreinte, visage ou code. Un faux site ne peut pas la voler, car elle ne fonctionne que sur le site pour lequel elle a été créée. Google, Apple, Microsoft ou Amazon la proposent déjà, et elle s’active en quelques minutes dans les réglages de sécurité de chaque compte.
Les mots de passe volés restent la première porte d’entrée des pirates. La clé d’accès la ferme, à condition de savoir où l’activer et où elle est rangée.
Sommaire
- Qu’est-ce qu’une clé d’accès ?
- Pourquoi c’est plus sûr qu’un mot de passe et un code SMS
- Activer une clé d’accès sur vos principaux comptes
- Et les sites français ?
- Où sont rangées vos clés d’accès, et comment les transférer
- Vous perdez votre téléphone : récupérer vos accès
- Les clés d’accès en famille : appareil partagé, enfants, parents âgés
- Faut-il une clé de sécurité physique comme la YubiKey ?
- Les limites des clés d’accès
Qu’est-ce qu’une clé d’accès ?
Une clé d’accès est un identifiant numérique créé par votre téléphone ou votre ordinateur pour un site précis. Elle se compose de deux parties : une clé privée, qui ne quitte jamais votre appareil ou votre gestionnaire de mots de passe, et une clé publique, que le site conserve. Pour vous connecter, le site envoie un défi que seule votre clé privée sait résoudre, et votre appareil vous demande simplement votre empreinte, votre visage ou votre code de déverrouillage.
Vous n’avez rien à retenir ni à taper. Le terme anglais passkey et le terme français clé d’accès désignent la même chose, une technologie définie par l’alliance FIDO, qui réunit Apple, Google et Microsoft.
Pourquoi c’est plus sûr qu’un mot de passe et un code SMS
Un mot de passe peut être deviné, réutilisé sur plusieurs sites ou saisi sur un faux site. Un code reçu par SMS peut être intercepté ou recopié par un escroc qui vous appelle en se faisant passer pour votre banque. La clé d’accès supprime ces trois failles.
Elle est liée à l’adresse exacte du site : sur une copie qui imite Amazon ou votre messagerie, votre téléphone ne propose tout simplement pas la clé. Vous ne pouvez donc pas la donner par erreur, même face à un faux site très réussi. Elle est unique pour chaque site, ce qui rend inutile le credential stuffing, cette attaque qui teste vos mots de passe volés sur d’autres comptes. Et le site ne stocke que la clé publique : si ses serveurs sont piratés, les voleurs n’obtiennent rien qui permette de se connecter à votre place.
La clé d’accès ne protège pas de tout. Une attaque comme le phishing par code d’appareil vous pousse à autoriser de votre propre main une connexion depuis votre compte : lisez toujours ce que votre téléphone vous demande de valider.
Activer une clé d’accès sur vos principaux comptes
Commencez par les comptes qui donnent accès à tous les autres : votre messagerie, puis votre compte Apple, Google ou Microsoft, puis vos achats en ligne. Gardez le mot de passe existant le temps de vérifier que la clé fonctionne.
Ouvrez votre compte Google, rubrique Sécurité, puis Clés d’accès et clés de sécurité, et choisissez Créer une clé d’accès. Sur un téléphone Android, la clé est créée tout de suite. Sur un ordinateur, Chrome l’enregistre dans le gestionnaire de mots de passe de Google et vous demande de choisir un code à six chiffres, indispensable pour la retrouver sur un nouvel appareil.
Apple
Sur iPhone, iPad et Mac, vous n’avez rien à activer. Quand un site ou une application propose une clé d’accès, l’appareil la crée en un geste avec Face ID ou Touch ID et la range dans l’app Mots de passe, synchronisée par iCloud sur tous vos appareils Apple. Vérifiez seulement que le trousseau iCloud est activé, dans Réglages, puis votre nom, puis iCloud.
Microsoft
Sur votre compte Microsoft, ouvrez Sécurité, choisissez Ajouter un nouveau mode de connexion ou de vérification, puis Visage, empreinte digitale, code PIN ou clé de sécurité. Scannez le code QR avec votre téléphone pour y créer la clé. Depuis mai 2025, les nouveaux comptes Microsoft sont créés sans mot de passe : ils se connectent directement avec une clé d’accès.
WhatsApp et Facebook
Dans WhatsApp, ouvrez Paramètres, puis Compte, puis Clés d’accès, et créez votre clé : elle remplace le code reçu par SMS quand vous réinstallez l’application. Sur Facebook, la clé se crée uniquement depuis l’application mobile : Menu, Paramètres et confidentialité, Espace Comptes, Mot de passe et sécurité, puis Clé d’accès. Nos guides pour sécuriser son compte WhatsApp détaillent les autres réglages.
Amazon et PayPal
Sur amazon.fr, ouvrez Votre compte, puis Connexion et sécurité, et cliquez sur Configurer à côté de la clé d’accès. PayPal a lancé les clés d’accès aux États-Unis en 2022 et les déploie pays par pays : regardez dans les paramètres de sécurité de votre compte si l’option apparaît.
Et les sites français ?
Les grands services américains ont pris de l’avance, les sites français beaucoup moins. Les grandes banques françaises n’apparaissent pas encore dans les listes de services compatibles, et Revolut ne les propose que de façon limitée.
b.connect, le bouton des banques françaises, n’est pas une clé d’accès
Le 16 mars 2026, BNP Paribas, Crédit Agricole, Crédit Mutuel, BPCE et Société Générale ont lancé b.connect, un bouton Se connecter avec b.connect qui permet de s’identifier sans mot de passe sur des sites partenaires comme Boulanger, Leroy Merlin, Courir, Libération ou Ouest‑France. Le service est gratuit et ouvert aux clients de ces banques. Il repose sur l’application bancaire et sur un mécanisme propre, pas sur la norme des clés d’accès, comme l’a précisé son dirigeant. La connexion en un clic suppose que vous soyez le seul à utiliser l’appareil : ne l’activez pas sur une tablette familiale.
Où sont rangées vos clés d’accès, et comment les transférer
Vos clés d’accès sont rangées dans un gestionnaire, qui les synchronise entre vos appareils :
- Sur iPhone, iPad et Mac, dans l’app Mots de passe, synchronisée par iCloud.
- Sur Android et dans Chrome, dans le gestionnaire de mots de passe de Google.
- Sur Windows, dans Windows Hello, ou dans le gestionnaire de Google si vous utilisez Chrome.
- Dans un gestionnaire indépendant comme ceux de notre comparatif des gestionnaires de mots de passe, qui fonctionne sur tous les systèmes.
Si la famille mélange iPhone, Android et Windows, un gestionnaire indépendant évite de disperser vos clés. Changer de gestionnaire devient aussi plus simple : depuis iOS 26, Apple permet d’exporter ses clés d’accès vers un autre gestionnaire compatible, de façon chiffrée et après validation par Face ID ou Touch ID, grâce à un format commun défini par l’alliance FIDO.
Vous perdez votre téléphone : récupérer vos accès
Une clé d’accès synchronisée ne disparaît pas avec le téléphone : elle reste dans votre compte iCloud, Google ou dans votre gestionnaire. Sur un nouvel appareil, il suffit de vous reconnecter à ce compte : Google vous demande le code à six chiffres choisi à la création, Apple le mot de passe de votre compte et souvent le code d’un ancien appareil.
Préparez trois parades avant d’en avoir besoin. Ajoutez une clé d’accès sur un deuxième appareil, par exemple l’ordinateur familial ou une tablette. Notez sur papier les codes de secours que proposent Google, Microsoft et la plupart des sites. Vérifiez que l’adresse mail et le numéro de secours de vos comptes principaux sont à jour. En cas de vol, changez aussi le code de déverrouillage de vos autres appareils si le voleur a pu le voir.
Les clés d’accès en famille : appareil partagé, enfants, parents âgés
Une clé d’accès s’ouvre avec le code de déverrouillage de l’appareil. Sur une tablette familiale dont tout le monde connaît le code, n’importe quel membre de la famille peut donc se connecter à vos comptes. Ne créez pas de clé d’accès sur un appareil partagé, ou utilisez une session par personne quand le système le permet, comme sur Windows et sur de nombreuses tablettes Android. Le code de votre téléphone doit rester personnel.
Pour un enfant, la clé d’accès évite d’inventer puis d’oublier des mots de passe sur ses premiers comptes. Créez cette clé sur son propre téléphone, avec un code qu’il est seul à connaître, et gardez la supervision avec le contrôle parental. Pour des parents âgés, c’est souvent la solution la plus simple : plus de mot de passe à retenir ni de code SMS à recopier, et une protection naturelle contre les faux sites. Faites la première installation avec eux et ajoutez une clé de secours sur un second appareil.
Faut-il une clé de sécurité physique comme la YubiKey ?
Une clé de sécurité physique est un petit objet USB ou NFC qui contient vos clés d’accès sans dépendre d’un téléphone ni d’un compte en ligne. Il faut la brancher ou l’approcher du téléphone pour vous connecter. Comptez autour de 70 € pour une YubiKey 5 NFC sur le site du fabricant, moins pour la gamme Security Key, limitée aux clés d’accès.
Pour la plupart des familles, les clés d’accès du téléphone suffisent. Une clé physique se justifie si vous êtes exposé : élu, personnalité publique, victime de cyberharcèlement ou de harcèlement par un proche qui connaît le code de votre téléphone. Prévoyez toujours deux clés, une sur le trousseau et une de secours rangée à la maison.
Les limites des clés d’accès
Les clés d’accès ne remplacent pas encore tous les mots de passe. Beaucoup de sites, surtout français, ne les proposent pas, et la plupart des sites qui les acceptent gardent votre ancien mot de passe en secours : ce mot de passe reste une faille s’il est faible ou réutilisé. Supprimez ce mot de passe quand le site le permet, sinon choisissez un mot de passe unique et activez la double authentification.
Le passage d’un écosystème à l’autre reste aussi moins fluide : une clé créée sur iPhone ne se synchronise pas automatiquement avec un téléphone Android. Le code QR permet de l’utiliser ponctuellement, mais un gestionnaire indépendant reste la solution la plus simple pour une famille équipée de plusieurs marques.
Sources : Clubic, Cinq banques lancent b.connect (mars 2026) ; MoneyVox, J’ai testé b.connect (mars 2026) ; Corbado, Banques et passkeys ; Mac4Ever, iOS 26 permet de transférer ses passkeys ; Siècle Digital, Microsoft impose la fin des mots de passe sur ses nouveaux comptes (mai 2025) ; Clubic, Microsoft généralise les passkeys ; KultureGeek, Google synchronise les passkeys ; Blog du Modérateur, Activer les passkeys sur WhatsApp ; Blog du Modérateur, Activer les clés d’accès sur Facebook (juin 2025) ; Clubic, Configurer une passkey sur Amazon ; Solutions Numériques, PayPal passe aux clés d’accès ; Yubico, YubiKey 5 Series
