Choisir le compte professionnel sur le portable, autoriser la connexion sur son appareil et continuer à travailler : une passkey peut simplifier le quotidien. Pour une entreprise, cela exige aussi un plan concernant les appareils autorisés, leur remplacement et la récupération.
Ce qui se passe réellement lors de la connexion
Une passkey est un identifiant d’authentification fondé sur les standards FIDO et une paire de clés cryptographiques. Le service connaît la clé publique. L’authentificateur utilise la clé privée correspondante, par exemple sur un smartphone, un ordinateur ou une clé de sécurité. Lors de la connexion, il répond à un défi du service par une signature numérique. Aucun mot de passe de connexion partagé avec le site n’est nécessaire.
WebAuthn désigne l’interface standardisée pour cette connexion sur le web ; FIDO2 regroupe les mécanismes sous-jacents. Pour le personnel, le parcours visible compte surtout : vérifier le compte et la destination, puis autoriser avec le code PIN de l’appareil ou une vérification biométrique adaptée. Les choix proposés dépendent du service, du système, du navigateur et du fournisseur de passkeys.
Pourquoi cela diffère du mot de passe accompagné d’un code unique
Un mot de passe et un code SMS ou d’application saisi manuellement peuvent être demandés sur une fausse page de connexion, puis relayés. WebAuthn lie l’identifiant au service prévu. Les connexions par passkey résistent ainsi à l’hameçonnage. Cela ne sécurise toutefois pas automatiquement un appareil infecté, une session volée ou une procédure de récupération faible.
L’autorisation locale sur l’appareil n’est pas un second mot de passe du site. Le respect du niveau multifacteur ou de la force d’authentification exigée s’évalue selon le mécanisme réellement utilisé et la politique. Appuyer sur un bouton quelconque d’une clé quelconque ne suffit pas à décrire ce niveau. Sources : FIDO Alliance : comprendre les passkeys (lien externe).
Liées à un appareil ou synchronisées : la différence décisive
Les passkeys liées à un appareil restent sur l’authentificateur concerné. Il peut s’agir d’un téléphone pris en charge ou d’une clé de sécurité FIDO2. Une nouvelle clé ou un téléphone de remplacement ne possède pas cet identifiant simplement parce qu’il appartient à la même personne. Il faut enregistrer un autre authentificateur autorisé ou utiliser une procédure de récupération préparée.
Les passkeys synchronisées peuvent parvenir à d’autres appareils autorisés de la même personne via un fournisseur de passkeys. Son compte, sa protection et sa récupération sont donc importants. Les appareils et transferts pris en charge dépendent du fournisseur. Cela ne permet pas de déduire une exportation libre entre toutes les plateformes ou une intégration automatique à la gestion d’entreprise.
| Variante | Que se passe-t-il lors du changement d’appareil ? | À clarifier avant l’exploitation |
|---|---|---|
| Passkey liée à un appareil | Enregistrer un nouvel authentificateur ou utiliser la récupération prévue. | Préparer séparément le remplacement et les responsabilités. |
| Passkey synchronisée | Disponible sur un appareil pris en charge via le fournisseur adapté ; sa récupération est déterminante. | Définir le compte fournisseur autorisé, les appareils et la protection du compte. |
| Connexion entre appareils | Utiliser un authentificateur existant sur un autre appareil ne signifie pas le copier. | Tester la combinaison prise en charge et une session sûre sur l’appareil cible. |
Un téléphone peut connecter sans copier la passkey
Un processus de travail hypothétique : une salariée ouvre un portail professionnel autorisé sur le portable de la salle de réunion. Son smartphone autorisé confirme la connexion. Un mécanisme interappareils pris en charge utilise alors l’authentificateur du téléphone. Cela se distingue d’une synchronisation ou d’un enregistrement permanent sur le portable.
Ces parcours peuvent nécessiter un contrôle de proximité et d’autres prérequis techniques. Ils sont testés avec les appareils et navigateurs effectivement utilisés. Sur un ordinateur partagé, il faut aussi choisir le bon compte, définir une durée de session adaptée et se déconnecter ensuite. La proximité du téléphone ne remplace pas ces mesures organisationnelles.
Distinguer délibérément appareils personnels et administrés
Si l’accès professionnel est synchronisé uniquement dans un compte personnel de plateforme, la récupération de l’entreprise peut dépendre du compte privé d’une personne. Il faut donc définir à l’avance les fournisseurs, appareils et types de passkeys autorisés pour chaque groupe. Un appareil administré facilite certaines règles ; cette administration ne permet pas automatiquement de lire toutes les clés privées.
Selon la documentation vérifiée, Microsoft Entra ID prend en charge les passkeys synchronisées et liées à un appareil et peut appliquer des exigences aux groupes via des profils de passkeys. Cela n’approuve pas toutes les combinaisons : enregistrement, droits existants, appareils et politiques doivent être cohérents. Sources : Microsoft : passkeys et profils dans Entra ID (lien externe).
Prévoir le remplacement et le départ avant le déploiement général
Le pilote couvre non seulement une connexion réussie, mais aussi un téléphone perdu, une clé de sécurité défectueuse et un compte fournisseur bloqué. Selon le besoin de protection, on prépare un authentificateur de remplacement enregistré indépendamment ou une récupération contrôlée. Le changement d’appareil est un mauvais moment pour commencer à chercher le responsable et les justificatifs nécessaires.
Lors d’un départ, l’accès professionnel est bloqué au niveau du service d’identité ou du système cible et les méthodes enregistrées sont révoquées de manière appropriée. Une copie dans un compte personnel de synchronisation ne disparaît pas nécessairement de l’appareil privé ; l’essentiel est qu’elle ne soit plus acceptée pour l’accès professionnel. Les sessions existantes et autres moyens de connexion sont traités séparément. Cela n’implique pas un effacement à distance généralisé des appareils personnels.
Ce que deviennent les empreintes et les données du visage
Lors d’une connexion WebAuthn, le service ne reçoit pas de caractéristiques biométriques telles qu’une empreinte ou un gabarit facial. Le contrôle se fait localement dans l’authentificateur ; le service reçoit la preuve cryptographique et les informations de vérification prévues. Le code PIN de l’appareil n’est pas non plus transmis comme mot de passe du site. Le traitement précis dans l’appareil et chez le fournisseur de passkeys reste néanmoins un critère de sélection.
Sources : W3C : vérification biométrique locale avec WebAuthn (lien externe). Cela ne signifie pas qu’un fournisseur cloud participant ne traite absolument aucune donnée de compte ni métadonnée.
Commencer par un pilote maîtrisable
DAXS aide à sélectionner les services et appareils adaptés, à convenir des rôles et de la récupération et à mener un pilote aux résultats documentés. Les vérifications couvrent connexion normale, remplacement, postes partagés et départ. Ce n’est qu’ensuite que sont choisis les mécanismes à généraliser.
Discuter de l’adoption des passkeys · Planifier postes de travail et identités · Organiser les accès professionnels partagés
Questions fréquentes
Puis-je simplement copier une passkey d’appareil sur un nouveau téléphone ?
Ce n’est précisément pas prévu pour les passkeys liées à un appareil. Les passkeys synchronisées peuvent devenir disponibles sur les appareils pris en charge du compte fournisseur correspondant. Le parcours réel de remplacement est testé à l’avance.
Chaque personne doit-elle utiliser son smartphone personnel ?
Le modèle d’exploitation de l’entreprise le définit. Selon le service et les exigences, des appareils administrés, des clés de sécurité adaptées ou d’autres authentificateurs pris en charge sont possibles.
Une passkey remplace-t-elle tous les droits dans l’entreprise ?
Elle prouve la connexion à un compte. Les applications et données accessibles à ce compte restent une tâche distincte de gestion des utilisateurs et des droits.
