J’ai encore un gestionnaire de mots de passe qui ressemble à un inventaire de déménagement. Quarante entrées, des codes SMS qui arrivent pile quand le réseau décide de faire la sieste, et cette petite voix qui dit « tu changerais bien tout… demain ».

Les passkeys, c’est exactement le genre de truc qu’on te vend comme magique. Spoiler : c’est utile. Ce n’est pas magique. Et si tu bascules comme une sauvage, tu peux te retrouver dehors de ton propre compte.

Voici ce que c’est, où ça marche en 2026, comment basculer sans te faire lock-out, et ce que ça ne remplace pas.

Une passkey, en vrai

Une passkey, ce n’est pas « un mot de passe plus joli ». C’est une paire de clés crypto créée pour un site (ou une app) précis. Ton téléphone ou ton ordi garde la clé privée. Le site garde la clé publique. Au login, tu valides avec Face ID, empreinte, ou le code de l’appareil — le même geste que pour déverrouiller ton téléphone.

Le détail qui compte : ça ne marche pas sur un faux site. La passkey est liée au vrai domaine. Un phishing qui mime ta banque ne récupère pas ton secret comme avec un mot de passe collé dans un formulaire.

Oui, ça peut remplacer le combo « mot de passe + SMS ». Pas parce que c’est la mode. Parce que le SMS, on peut le détourner (SIM swap, interception, fatigue). La passkey, elle, n’est pas un code qu’on te refile en clair.

Où ça marche en 2026

En 2026, Apple, Google et Microsoft ont poussé le support un peu partout sur leurs plateformes. iCloud Keychain, Google Password Manager, Windows Hello / comptes Microsoft : tu croises le bouton « Passkey » plus souvent qu’il y a deux ans.

Côté services du quotidien, ça dépend encore du site. Les grands comptes tech (Google, Apple, Microsoft, GitHub…) le proposent. Beaucoup de banques et d’apps fintech ont commencé — le rythme varie, et ce n’est pas uniforme en France. Les e-commerces suivent, surtout quand leur plateforme de checkout le gère nativement. Les médias et les petits sites ? Souvent encore optionnel, ou absent.

Google a communiqué, fin 2025, sur plus d’un milliard de connexions par passkey par mois. C’est un chiffre d’entreprise, pas un audit indépendant — je le prends comme un signal d’adoption, pas comme une vérité absolue.

Au Royaume-Uni, le NCSC a indiqué en 2026 qu’il recommanderait les passkeys là où un service les propose, et la double vérif classique ailleurs. En clair : ce n’est plus un gadget de conférence.

Point Microsoft entreprise (Entra) : à partir du 1er septembre 2026, les passkeys deviennent l’expérience par défaut pour beaucoup d’utilisateurs encore sur SMS/voix ; la livraison SMS/voix fournie par Microsoft est ensuite prévue pour retrait en 2027 pour la plupart des profils. Si tu bosses dans une boîte, ça peut te concerner même si tu n’as « rien demandé ».

Comment basculer sans te faire lock-out

La règle d’or : tu n’éteins rien avant d’avoir deux sorties de secours.

1. Active la synchro cloud

Une passkey « coincée » uniquement sur un téléphone, c’est romantique jusqu’au jour où tu le perds. Préfère une passkey synchronisée : iCloud Keychain (Apple), compte Google dans Chrome / Android, ou un gestionnaire cross-plateforme (1Password, Bitwarden, etc.). Vérifie que la synchro est vraiment allumée — pas juste « j’ai cliqué une fois ».

2. Garde un second appareil

Téléphone + ordi, ou téléphone + tablette, dans le même écosystème. Perdre un appareil ne doit pas égaler « au revoir compte ».

3. Enregistre les codes de secours

Quand un site te propose des codes de récupération, tu les imprimes ou tu les ranges hors ligne. Pas dans Notes en clair sur le même téléphone. La récupération, c’est souvent le maillon faible : si elle repasse par un SMS ou un e-mail, tu as juste déplacé le risque.

4. Bascule site par site

Commence par un compte « moyen » (réseau social, boutique). Pas ta banque et ton mail principal le même soir. Sur chaque site : crée la passkey, teste une déconnexion / reconnexion, puis décide si tu retires l’ancien mot de passe ou le SMS.

5. Attention au changement d’écosystème

Passer d’iPhone à Android (ou l’inverse) reste parfois pénible. Les grands acteurs synchronisent surtout chez eux. Un gestionnaire tiers aide. Sinon, tu réenrôles. Ce n’est pas la fin du monde — c’est juste pas le moment de découvrir ça en aéroport sans Wi‑Fi.

Ce que ça n’est pas

Ce n’est pas « plus jamais de mot de passe nulle part ». Des sites n’ont toujours pas de passkeys. Ton gestionnaire reste utile.

Ce n’est pas un antivirus. Ça ne te protège pas d’une arnaque téléphonique, d’une app malveillante à qui tu as donné trop de droits, ou d’un ordi déjà compromis.

Ce n’est pas une excuse pour un code PIN à quatre chiffres pourri. La passkey s’ouvre avec le déverrouillage de l’appareil. Si ton code, c’est 0000, on n’a rien gagné.

Ce n’est pas non plus une baguette pour l’entreprise : admin, VPN, comptes à privilèges — parfois une clé FIDO physique device-bound reste le bon outil. La passkey grand public, c’est surtout pour toi, ton quotidien, tes apps.

Et ce n’est pas « on jette le 2FA SMS demain partout ». Tant qu’un site ne propose que ça, tu le gardes. Tu le remplaces dès que tu as mieux.

Ma façon de faire, concrètement

J’active la passkey là où elle existe. Je garde le gestionnaire pour le reste. Je ne coupe le SMS qu’après un login testé sur un second appareil. Je traite la récupération comme une corvée obligatoire, pas comme un détail.

Si tu as encore quarante mots de passe et un 2FA SMS : tu n’es pas « en retard ». Tu es normale. Tu ajoutes juste une meilleure serrure, site après site — sans jeter les anciennes clés avant d’avoir les nouvelles.