Clés d’accès dans les entreprises de taille moyenne : la fin du mot de passe

6 Min. Temps de lecture

Le mot de passe est le dernier point de défaillance unique que presque toutes les entreprises conservent volontairement. Les e-mails de phishing ne visent pas le pare-feu, ils visent la personne qui saisit son mot de passe sur une page de connexion contrefaite. Les clés d’accès éliminent précisément cette attaque, et en 2026, elles seront également disponibles de manière productive pour les entreprises de taille moyenne.

Les points clés en bref

Résistant au phishing par conception. Une clé d’accès est liée au domaine et ne peut pas être saisie sur une page contrefaite. La voie d’attaque la plus courante contre les informations d’identification est ainsi éliminée.
Les plateformes sont prêtes. Microsoft Entra ID et Google Workspace prennent en charge les clés d’accès de manière productive. Microsoft a mis à disposition les clés d’accès synchronisées en 2026.
La difficulté réside dans la restauration. Sans processus de récupération réfléchi pour les appareils perdus, les employés sont exclus. C’est le véritable travail de projet, et non l’introduction elle-même.

Lié :PAM sans budget d’entreprise / Le vol de jeton OAuth contourne MFA

Pourquoi le mot de passe est devenu un risque

La plupart des intrusions réussies ne commencent pas avec un exploit génial, mais avec un mot de passe volé. Phishing, réutilisation sur différents services, bases de données divulguées : le mot de passe est attaquable parce qu’il s’agit d’un secret partagé. L’utilisateur le connaît, le serveur le connaît, et quiconque l’intercepte ou le devine connaît également.

L’authentification multifactor classique a atténué cela, mais ne l’a pas résolu. Les attaquants dirigent les codes à usage unique via des pages contrefaites ou interceptent les jetons de session longtemps avant que la victime ne soupçonne quoi que ce soit. C’est précisément là que le changement intervient : si plus de secret ne peut être phishing, l’attaque la plus courante échoue.

Qu’est-ce qu’une clé d’accès ? Une clé d’accès est une paire de clés cryptographiques selon la norme FIDO2 et WebAuthn. La clé privée reste sur l’appareil de l’utilisateur et est libérée par biométrie ou PIN, la clé publique se trouve sur le service. Il n’y a pas de mot de passe qui puisse être transmis, stocké ou volé.

Comment les clés d’accès résolvent le problème du phishing

Le mécanisme décisif est la liaison au domaine. Une clé d’accès enregistrée pour la véritable page de connexion ne fonctionne techniquement que là-bas. Si un employé atterrit sur une copie très réaliste, le navigateur n’a simplement pas de clé correspondante à offrir. L’attaque échoue non pas à cause de l’utilisateur attentif, mais de la cryptographie.

Pour cette raison, les clés d’accès sont classées parmi les méthodes d’authentification résistantes au phishing, qui sont également recommandées explicitement par les autorités de sécurité. L’agence américaine CISA cite FIDO2 et WebAuthn comme l’une des rares méthodes qui résistent au phishing moderne. Pour une équipe de sécurité, c’est un cas rare où un changement ferme la voie d’attaque la plus courante, au lieu de simplement ajouter une autre barrière.

Le déploiement via Entra ID et Google Workspace

L’entrée en pratique est devenue nettement plus facile en 2026, car les grandes plateformes d’identité ont emboîté le pas. Microsoft Entra ID a mis à disposition générale les clés de passe synchronisées et les profils de clés de passe, et permet désormais aux administrateurs de déployer de manière ciblée l’authentification sans mot de passe via des campagnes d’inscription. Le nombre de profils de clés de passe autorisés par locataire a été augmenté de trois à dix, ce qui permet des politiques différenciées pour différents groupes d’utilisateurs.

Mars 2026

Microsoft Entra ID met à disposition générale les clés de passe synchronisées. L’authentification sans mot de passe quitte ainsi le statut de pilote et devient une option régulière pour les entreprises.

Source : Microsoft Entra ID Roadmap, 2026

Google Workspace et les plateformes d’Apple prennent également en charge les clés de passe de manière productive. Pour les PME, cela signifie que les éléments constitutifs sont disponibles dans les plateformes d’identité courantes, et que l’effort se déplace de la technique vers une introduction soigneuse. Il convient de vérifier son propre statut de licence.

Où le changement dans les PME bute

La partie difficile d’un projet de clé de passe ne se trouve pas dans les instructions d’inscription, mais dans celles de récupération. Que se passe-t-il si un employé perd son smartphone sur lequel se trouve la clé de passe ? Quiconque n’a pas testé ce cas auparavant produit des collègues bloqués le lundi matin au lieu de plus de sécurité. Les clés de sauvegarde enregistrées lors de l’inscription, les codes de récupération délivrés par l’IT et un processus défini de réinscription après vérification d’identité se sont avérés efficaces.

Le deuxième obstacle sont les applications anciennes. Tout logiciel interne et toute connexion Single Sign-On plus ancienne ne prennent pas encore en charge WebAuthn. Dans la phase de transition, les mots de passe ou les codes à usage unique subsistent, ce qui fait du changement un projet progressif et non un changement à une date précise. Il est judicieux de commencer par les comptes critiques bien pris en charge tels que Microsoft 365 et Google Workspace, à partir de là, la zone sans mot de passe s’étend progressivement.

Foire aux questions

Quelle est la différence entre une clé de passe et un mot de passe ?

Un mot de passe est un secret partagé qui peut être transmis et intercepté. Une clé de passe est une paire de clés cryptographiques dont la partie privée ne quitte jamais l’appareil. Il n’y a rien qui puisse être saisi sur un site de phishing.

Les clés de passe nécessitent-elles des licences spéciales coûteuses ?

Les clés de passe sont prises en charge par Microsoft Entra ID et Google Workspace dans les plans d’affaires courants. Il convient de vérifier les besoins en licences exacts pour son propre tarif. L’effort principal réside de toute façon dans l’introduction et le concept de récupération, et non dans les licences.

Que se passe-t-il si un employé perd son appareil ?

Le concept de récupération entre alors en jeu. Il est courant d’enregistrer des clés de sauvegarde lors de l’inscription, des codes de récupération délivrés par l’IT et un processus défini de réinscription après vérification d’identité. Ce cas doit être testé avant le déploiement.

Les PME peuvent-elles renoncer immédiatement et complètement aux mots de passe ?

Rarement immédiatement. Les applications anciennes et les connexions Single Sign-On plus anciennes ne prennent souvent pas encore en charge WebAuthn. Le changement se fait progressivement, en commençant par les comptes bien pris en charge tels que Microsoft 365, tandis que les anciens systèmes continuent à utiliser des mots de passe ou des codes à usage unique de manière transitoire.

Une clé de passe remplace-t-elle l’authentification à deux facteurs ?

Une clé de passe combine les deux en une seule étape : la possession de l’appareil et l’autorisation via la biométrie ou le code PIN. Elle répond ainsi aux exigences d’une authentification forte et résistante au phishing, sans qu’un deuxième facteur séparé ne soit demandé.