Passkeys en 2026 : le guide pour enfin lâcher vos mots de passe
Les passkeys sont passées du gadget de geek au standard que la moitié des grands sites acceptent déjà. Voici comment migrer sans finir bloqué hors de ses comptes.
Vous avez sûrement déjà vu ce petit encart qui apparaît sur votre compte Google, Amazon ou PayPal : « Créez une clé d'accès pour vous connecter plus vite ». La plupart des gens cliquent sur « plus tard » et n'y repensent plus. Sauf que « plus tard » commence sérieusement à ressembler à maintenant : la moitié des cent plus gros sites du monde acceptent désormais les passkeys, et la question n'est plus de savoir si elles vont remplacer le mot de passe, mais quand vous allez vous y mettre.
Le problème, c'est que personne n'explique vraiment comment on passe de « j'ai 200 mots de passe dans un post-it mental » à « je me connecte avec mon visage ou mon empreinte » sans tout perdre en route. Entre le vocabulaire flou, les gestionnaires qui ne se parlent pas entre eux et la peur bien légitime de se retrouver enfermé hors de son compte bancaire, il y a de quoi repousser encore un peu.
Cet article fait le tri : ce qu'est réellement une passkey, où ça marche déjà, comment migrer sans y laisser des plumes, et surtout les pièges que les pages marketing des gestionnaires de mots de passe ne mettent pas en avant.
Une passkey, c'est quoi concrètement
Techniquement, une passkey repose sur les standards FIDO2/WebAuthn : au lieu d'un mot de passe que vous tapez et qu'un serveur distant stocke (et peut se faire voler), votre appareil génère une paire de clés cryptographiques. La clé privée ne quitte jamais votre téléphone, votre ordinateur ou votre clé de sécurité physique. Le site ne garde que la clé publique, qui ne sert à rien pour un pirate sans son pendant privé.
Concrètement, pour vous, ça donne : vous cliquez sur « se connecter », votre appareil vous demande votre visage, votre empreinte ou votre code, et voilà, vous êtes dedans. Pas de mot de passe à retenir, pas de formulaire à remplir, et surtout, rien à intercepter puisqu'aucun secret ne transite jamais sur le réseau. C'est ce qui rend les passkeys résistantes au phishing par construction : même un faux site parfaitement imité ne peut pas vous soutirer une clé privée qui ne sort jamais de votre appareil.
Où ça en est vraiment en 2026
Le dernier rapport de la FIDO Alliance, publié à l'occasion du World Passkey Day en mai 2026, donne une photo assez nette de l'adoption : environ 5 milliards de passkeys seraient aujourd'hui en circulation dans le monde. Du côté des usages, 90 % des personnes interrogées disent connaître le concept, 75 % ont activé une passkey sur au moins un compte, mais seulement 49 % l'utilisent réellement de façon régulière quand l'option est disponible. Côté entreprises, 68 % des organisations sondées ont déployé ou sont en train de déployer les passkeys pour leurs employés.
Sur le terrain, environ 48 % des cent sites les plus visités au monde acceptent aujourd'hui les passkeys, contre un peu plus de 20 % en 2022. Le mouvement est réel, mais l'écart entre « j'ai activé une passkey une fois » et « je vis sans mot de passe au quotidien » reste large.
Les principaux gestionnaires en présence
Chaque écosystème pousse sa propre solution, avec des logiques différentes :
| Solution | Type | Fonctionne hors de son écosystème | Bon point |
|---|---|---|---|
| Apple Passwords (iCloud) | Intégré à l'OS | Limité (surtout Apple) | Zéro friction sur iPhone/Mac |
| Google Password Manager | Intégré au compte Google | Oui, via Chrome et Android | Très large couverture d'appareils |
| 1Password | Application dédiée | Oui, multiplateforme | Gestion fine, usage familial/pro |
| Bitwarden | Application dédiée, open source | Oui, multiplateforme | Gratuit, code ouvert et auditable |
| Dashlane | Application dédiée | Oui, multiplateforme | Interface simple pour débutants |
| Proton Pass | Application dédiée | Oui, multiplateforme | Chiffrement de bout en bout, écosystème Proton |
Aucune de ces solutions n'est mauvaise. La vraie question est celle du verrouillage : rester à 100 % dans l'écosystème Apple ou Google est confortable tant qu'on ne change jamais de matériel, mais ça complique la vie si votre foyer mélange iPhone et Android, ou si vous travaillez sur plusieurs types de machines.
Comment migrer sans tout casser
Étape 1 : un seul gestionnaire de mots de passe. Si ce n'est pas déjà fait, centralisez tout dans un seul outil. Les passkeys ne remplacent pas un gestionnaire, elles s'y ajoutent : vous aurez encore des mots de passe classiques pendant des années sur les sites qui n'ont pas basculé.
Étape 2 : commencez par 3 ou 4 comptes à fort enjeu. Messagerie principale, compte Apple ou Google, gestionnaire de mots de passe lui-même, banque si elle le propose. Pas besoin de tout convertir le premier jour.
Étape 3 : ajoutez un deuxième appareil de confiance. Un ordinateur, une tablette ou un second téléphone, enregistré sur chaque passkey créée quand le service le permet. C'est la meilleure assurance contre la perte du téléphone principal.
Étape 4 : gardez une méthode de secours active. Code de récupération imprimé, clé de sécurité physique, ou numéro de téléphone à jour. Une passkey ne doit jamais être votre unique porte d'entrée.
Étape 5 : ne coupez pas le mot de passe classique tout de suite. Gardez-le actif sur les comptes sensibles tant que vous n'avez pas testé la connexion en passkey sur un deuxième appareil.
Le blocage total en cas de perte. Une passkey créée en local sur un appareil, sans synchronisation activée, ne se retrouve nulle part ailleurs. Si vous perdez ce téléphone et que la synchronisation cloud n'était pas configurée, l'accès au compte disparaît avec l'appareil. Les passkeys synchronisées via iCloud ou un gestionnaire tiers reviennent normalement dès que vous récupérez l'accès à ce compte cloud sur un nouvel appareil — encore faut-il l'avoir vérifié avant d'en avoir besoin. Le détail des scénarios de récupération dépend fortement du type de passkey créée.
Le manque d'interopérabilité, encore réel. Un standard commun existe sur le papier : le Credential Exchange Format (CXF), approuvé par la FIDO Alliance en 2025, et le protocole associé (CXP), en cours de finalisation en 2026, avec Apple, Google, Microsoft, 1Password, Bitwarden et Dashlane comme contributeurs. Apple a déjà intégré un transfert de passkeys entre appareils via ce format, et Google avance sur Android. Mais en pratique, migrer proprement toutes ses passkeys d'un gestionnaire à un autre reste plus laborieux qu'annoncé, et certains transferts se limitent encore à l'export en clair — à éviter pour des identifiants sensibles.
Les comptes partagés en famille. Un abonnement streaming ou un compte Amazon utilisé à plusieurs devient plus compliqué à gérer avec une passkey liée à un appareil précis. Les gestionnaires familiaux (1Password, Bitwarden) permettent de partager des identifiants classiques facilement ; le partage de passkeys entre plusieurs personnes est encore moins mature.
Le faux sentiment de sécurité totale. Une passkey protège très bien contre le phishing classique, mais elle ne protège pas contre un appareil déverrouillé qu'on vous vole des mains, ni contre un compte cloud principal mal sécurisé — puisque c'est justement ce compte qui garde les clés de tout le reste. Sécuriser son compte Apple, Google ou son gestionnaire de mots de passe avec une authentification forte reste, plus que jamais, l'étape numéro un.
Le verdict
Les passkeys ne sont plus un gadget expérimental : la moitié du web qui compte les accepte, l'infrastructure de portabilité progresse, et l'expérience au quotidien est objectivement plus rapide et plus sûre qu'un mot de passe. Mais migrer à l'aveugle, sans deuxième appareil enregistré ni méthode de secours, c'est prendre le risque de se retrouver à l'extérieur de sa propre vie numérique. La bonne approche en 2026, c'est la conversion progressive : quelques comptes à la fois, en gardant toujours une porte de derrière ouverte.
Vous avez déjà basculé, ou vous attendez de voir ? Dites-le en commentaire, avec le gestionnaire que vous utilisez — ça aide toujours les autres lecteurs à se décider.
