Comment s'appelle cet identifiant sans mot de passe, résistant au phishing, stocké sur votre appareil ?

Une clé d'accès (passkey) fonctionne grâce à la cryptographie à clé publique : l'appareil génère une paire de clés assorties, une clé privée qui reste verrouillée sur le téléphone ou l'ordinateur, et une clé publique conservée par le site web. Lors de la connexion, le site envoie un défi auquel seule la clé privée peut répondre correctement, si bien qu'aucun mot de passe partagé ne circule sur internet pour être intercepté par des pirates, et qu'aucune base de données de mots de passe ne peut être volée.

Un gestionnaire de mots de passe se contente de stocker et de saisir automatiquement des mots de passe traditionnels, ce qui signifie qu'un secret volable existe toujours quelque part ; c'est un outil utile, mais ce n'est pas l'identifiant sans mot de passe que normalise l'Alliance FIDO. Un code à usage unique est un code temporaire envoyé par SMS ou par application, utile en vérification supplémentaire, mais qui reste un secret partagé, susceptible d'être hameçonné ou intercepté.

Comme une clé d'accès ne quitte jamais l'appareil, même si un site utilisé est piraté, les attaquants ne récupèrent qu'une clé publique inutile, ce qui explique pourquoi les grandes entreprises se précipitent pour remplacer des décennies d'habitudes peu sûres liées aux mots de passe par cette approche.