Une passkey remplace le mot de passe (et le code 2FA) par une paire de clés cryptographiques : la clé privée vit sur le smartphone, l’ordinateur portable ou une clé de sécurité et se déverrouille par empreinte, visage ou code PIN. Comme elle est liée au domaine légitime, impossible de la saisir sur un site frauduleux : le phishing d’identifiants cesse de fonctionner par conception. Dokuflex permet déjà de se connecter par passkey et de fixer la politique pour toute l’organisation.
Qu’est-ce qu’une passkey (et pourquoi ce n’est pas « un mot de passe de plus »)
Une passkey est un identifiant du standard WebAuthn/FIDO2 fondé sur la cryptographie à clé publique. À l’enregistrement, votre appareil génère une paire de clés : la clé privée reste stockée sur le smartphone, l’ordinateur portable ou une clé de sécurité, protégée par empreinte, visage ou code PIN ; le serveur ne conserve que la clé publique. À la connexion, le serveur envoie un défi unique et l’appareil le signe après le déverrouillage biométrique. Rien à saisir. Aucun secret ne circule.
De cette conception découlent les trois propriétés qui la distinguent de n’importe quel mot de passe :
- Rien à mémoriser ni à taper : le « facteur humain » — mots de passe faibles, réutilisés ou notés — disparaît de la connexion.
- Aucun secret réutilisable à voler : si quelqu’un exfiltre la base de données du serveur, il n’obtient que des clés publiques, inutilisables pour usurper qui que ce soit.
- Elle est liée cryptographiquement au domaine : le navigateur ne signe que pour le domaine où la passkey a été enregistrée. Sur un site cloné, il n’y a tout simplement rien à livrer.
Il en existe deux variantes : les passkeys synchronisées (elles voyagent avec votre compte Apple, Google ou Microsoft entre vos appareils) et celles liées au matériel (elles vivent sur une clé physique type YubiKey et n’en sortent pas — l’option à privilégier pour les profils à privilèges élevés).
Pourquoi le phishing fonctionne toujours (même avec le 2FA)
Le phishing ne « pirate » rien : il demande le mot de passe et l’utilisateur le donne. Voilà pourquoi il figure depuis des années parmi les vecteurs d’attaque les plus fréquents — le Data Breach Investigations Report de Verizon place année après année les identifiants volés et le phishing en tête des violations analysées. Et face à cela, la sensibilisation aide mais ne ferme pas la brèche : un clic pressé suffit.
Le 2FA classique relève la barre, mais ne l’élimine pas. Un code TOTP ou par SMS peut lui aussi être saisi au mauvais endroit : les kits de phishing à proxy inverse (attaques adversary-in-the-middle) collectent mot de passe et code en temps réel et les rejouent sur le site légitime avant leur expiration. Quant aux notifications push, elles ont leur propre talon d’Achille : la fatigue MFA, qui consiste à bombarder l’utilisateur jusqu’à ce qu’il accepte.
La passkey brise le modèle tout entier : comme le navigateur ne signe que pour le domaine enregistré, sur dokuflex-securise.com il n’apparaît rien à signer. L’utilisateur ne peut pas offrir un secret qu’il ne connaît ni ne possède. En prime disparaissent la réutilisation des mots de passe entre services, les post-it sous le clavier et une bonne partie des tickets « j’ai oublié mon mot de passe ».
Mot de passe, mot de passe + 2FA et passkey : le comparatif
| Mot de passe | Mot de passe + TOTP | Passkey | |
|---|---|---|---|
| Résiste au phishing | Non | Partiellement — le code peut aussi être saisi sur un site frauduleux | Oui, par conception — liée au domaine légitime |
| Ce qui fuite si le serveur est compromis | Des hachages de mots de passe attaquables | Hachages + graines TOTP | Uniquement des clés publiques, inutilisables |
| Gestes à la connexion | Taper le mot de passe | Taper le mot de passe + ouvrir l’app + copier le code | Un seul : empreinte, visage ou code PIN |
| Tickets de réinitialisation et oublis | Fréquents | Fréquents (avec plus de friction) | Rien à oublier |
| Compte comme MFA ? | Non | Oui | Oui — appareil + biométrie/PIN en un geste |
Rien de tout cela n’oblige à jeter l’existant : si votre organisation se connecte via le SSO d’entreprise (Active Directory, ADFS, OAuth, SAML) avec 2FA, les passkeys cohabitent avec ce schéma et le remplacent au rythme que vous décidez.
NIS2, RGPD et ISO 27001 : ce qu’ils exigent et ce qu’apporte la passkey
Aucun texte n’exige les « passkeys » par leur nom. Mais tous ceux qui concernent l’entreprise française poussent dans la même direction :
- NIS2 : l’article 21 de la directive (UE) 2022/2555 inclut parmi les mesures minimales l’utilisation de « solutions d’authentification à plusieurs facteurs ou d’authentification continue ». Avec la transposition française et la supervision de l’ANSSI, si votre entreprise entre dans son périmètre, l’authentification forte cesse d’être optionnelle.
- RGPD et CNIL : l’article 32 du RGPD impose des mesures de sécurité proportionnées au risque, et la CNIL recommande l’authentification forte pour les accès sensibles — les manquements à la sécurité des comptes figurent régulièrement dans ses sanctions. C’est la même logique de gouvernance que nous détaillons dans notre article sur les recommandations de la CNIL appliquées à vos processus.
- ISO 27001 et audits clients : le contrôle d’accès est l’un des premiers points que vérifie tout auditeur. Une politique de passkeys appliquée à toute l’organisation est une preuve directe — et facile à démontrer.
Une nuance que les régulateurs actent déjà : toutes les MFA ne se valent pas. Le guide NIST SP 800-63B distingue l’authentification résistante au phishing — la cryptographique, comme FIDO2 — de celle qui ne l’est pas (SMS, TOTP). Adopter les passkeys aujourd’hui, c’est se placer là où la réglementation sera demain.
Comment Dokuflex y répond : des passkeys avec une politique d’entreprise
Dokuflex intègre la connexion par passkeys sur le standard WebAuthn/FIDO2 — en pensant à la façon dont on l’administre en entreprise, pas seulement au geste de l’utilisateur :
- Un bouton sur l’écran de connexion : « Se connecter avec une clé d’accès ». Empreinte, visage ou clé de sécurité — sans mot de passe et sans code 2FA, car la passkey vaut pour les deux.
- Plusieurs passkeys par utilisateur : chacun enregistre les siennes depuis son profil — smartphone, ordinateur portable, clé physique — et en cas de perte d’un appareil, il se connecte avec un autre.
- Politique par organisation depuis un menu déroulant : désactivé, optionnel ou obligatoire avec période de grâce. Et un mode strict « clés matérielles uniquement » pour les administrateurs et les profils ayant accès à des données sensibles.
- Maîtrise du cycle de vie : l’administrateur révoque instantanément la passkey d’un appareil perdu, et l’enrôlement forcé fait que celui qui n’a pas encore de passkey en enregistre une à la connexion dès que l’organisation l’exige.
- Cohabite avec votre schéma actuel : le SSO d’entreprise et le 2FA TOTP de Dokuflex restent en place ; la passkey les remplace utilisateur par utilisateur, sans migration brutale.
Tout le parcours — enregistrement, connexion sans mot de passe et politiques — est vérifié de bout en bout et ne demande aucune installation : un navigateur moderne et le déverrouillage que chaque appareil utilise déjà (Windows Hello, Face ID, empreinte Android ou clé FIDO2).
Demandez une démo et voyez la connexion par passkey en direct →
Comment déployer les passkeys sans friction : plan en 5 étapes
- Commencez en « optionnel » et avec la DSI. Activez la politique en mode optionnel et laissez l’équipe technique l’utiliser une ou deux semaines : les vraies questions sortiront avant de toucher au reste.
- Demandez deux passkeys par utilisateur. Smartphone + ordinateur portable, ou appareil + clé physique. C’est la différence entre « j’ai perdu mon téléphone » comme incident mineur ou comme blocage.
- Passez en « obligatoire » avec période de grâce. L’enrôlement forcé travaille pour vous : chaque utilisateur enregistre sa passkey à la connexion, sans campagnes d’e-mails ni relances individuelles.
- Clés matérielles pour les profils critiques. Administrateurs, finance et toute personne qui signe ou approuve : mode « clés matérielles uniquement », pour que la clé ne voyage pas synchronisée.
- Définissez le circuit de perte et mesurez. Qui révoque, comment on ré-enrôle, et un indicateur avant/après : les tickets de réinitialisation de mot de passe. C’est le ROI le plus facile à montrer à la direction.
Questions fréquentes
Qu’est-ce qu’une passkey et en quoi diffère-t-elle d’un mot de passe ? +
Une passkey est un identifiant du standard WebAuthn/FIDO2 formé d’une paire de clés cryptographiques : la clé privée reste stockée sur votre appareil (smartphone, ordinateur portable ou clé de sécurité) et se déverrouille par empreinte, visage ou code PIN ; le serveur ne conserve que la clé publique. À la connexion, aucun secret réutilisable n’est saisi ni transmis : l’appareil signe un défi unique. C’est pourquoi une passkey ne peut pas être devinée, ne sert à rien si la base de données fuite et ne peut pas être saisie sur un site frauduleux.
Les passkeys remplacent-elles la double authentification (2FA) ? +
Oui. Une passkey combine quelque chose que vous possédez (l’appareil où vit la clé privée) avec quelque chose que vous êtes ou savez (l’empreinte, le visage ou le code PIN qui le déverrouillent) : c’est donc une authentification multifacteur en un seul geste. Dans Dokuflex, la passkey remplace le mot de passe et le code TOTP lors de la même connexion ; le 2FA classique reste disponible pour ceux qui n’en ont pas encore enregistré.
Que se passe-t-il si un salarié perd son smartphone ou sa clé de sécurité ? +
Chaque utilisateur peut enregistrer plusieurs passkeys (smartphone, ordinateur portable, clé physique), de sorte que la perte d’un appareil ne le bloque pas. L’administrateur révoque depuis le panneau la passkey de l’appareil perdu, qui cesse de fonctionner immédiatement. De plus, la clé privée ne quitte jamais l’appareil et reste protégée par biométrie ou code PIN : celui qui le trouve ne peut pas l’utiliser sans ce déverrouillage.
Les passkeys sont-elles obligatoires pour respecter NIS2, le RGPD ou ISO 27001 ? +
Aucun texte n’exige les passkeys par leur nom, mais tous poussent dans leur direction : NIS2 impose des solutions d’authentification multifacteur ou continue lorsque c’est pertinent, le RGPD exige des mesures de sécurité proportionnées au risque — la CNIL recommande l’authentification forte pour les accès sensibles — et ISO 27001 oblige à contrôler les accès de manière proportionnée. Le guide NIST SP 800-63B distingue en outre la MFA résistante au phishing — fondée sur la cryptographie, comme FIDO2 — de celle qui ne l’est pas, comme les codes par SMS ou TOTP.
De quoi mon entreprise a-t-elle besoin pour utiliser les passkeys dans Dokuflex ? +
Rien à installer : un navigateur récent et des appareils avec Windows Hello, Touch ID/Face ID, empreinte sur Android ou une clé FIDO2 (YubiKey ou équivalent). L’administrateur choisit la politique de l’organisation depuis un menu déroulant — désactivé, optionnel ou obligatoire avec période de grâce — et chaque utilisateur enregistre ses passkeys depuis son profil en une minute. Il existe aussi un mode strict qui n’admet que les clés de sécurité matérielles.
L’entreprise peut-elle imposer la passkey à tous les utilisateurs ? +
Oui. La politique « obligatoire » active l’enrôlement forcé : l’utilisateur qui n’a pas encore de passkey doit en enregistrer une à la connexion avant de continuer, avec une période de grâce configurable pour ne pas freiner l’activité le premier jour. Pour les administrateurs et les profils ayant accès à des données sensibles, on peut en outre exiger que la passkey réside sur une clé de sécurité matérielle, et non sur le smartphone ni l’ordinateur portable.
Ne laissez plus d’identifiants à voler au phishing
Réservez une session de 30 minutes : nous voyons la connexion par passkey en direct, passons en revue votre politique d’accès actuelle et repartons avec le plan de déploiement — optionnel d’abord, obligatoire avec période de grâce ensuite, clés matérielles pour les profils critiques.