Les clés d’accès (passkeys) expliquées : remplacez vos mots de passe sur Google, Apple et ailleurs, pas à pas

Salma se souvient très bien du jour où elle a reçu un message de « Google » lui demandant de confirmer son compte. Elle a ouvert le lien, tapé son adresse e-mail et son mot de passe, puis le code reçu par SMS. Une heure plus tard, son compte Gmail et tous les comptes liés étaient entre les mains de quelqu’un d’autre. La page était fausse, mais le mot de passe et le code étaient bien réels.

Et s’il n’y avait tout simplement plus de mot de passe à voler ? C’est l’idée des clés d’accès (passkeys) : une nouvelle façon de se connecter, prise en charge aujourd’hui par Google, Apple, Microsoft et un nombre croissant de sites et d’applications. Voici ce que c’est, simplement, pourquoi c’est plus sûr, et comment l’activer étape par étape.

Qu’est-ce qu’une clé d’accès ?

Une clé d’accès remplace le mot de passe. Au lieu de taper un code secret, vous confirmez votre identité de la même façon que vous déverrouillez votre téléphone : empreinte digitale, reconnaissance faciale ou code de verrouillage.

En coulisses, quelque chose d’astucieux se produit. Quand vous créez une clé d’accès pour un compte, votre appareil fabrique deux « clés » numériques liées :

• Une clé privée, qui reste sur votre appareil (ou dans votre coffre chiffré, comme le trousseau iCloud ou le gestionnaire de mots de passe de Google) et n’est jamais envoyée au site.
• Une clé publique, conservée par le site, qui ne sert à rien toute seule.

À la connexion, le site demande à votre appareil de prouver qu’il possède la clé privée. Votre appareil vous demande votre empreinte ou votre visage, puis fournit la preuve. Rien n’est tapé, et rien ne peut être copié-collé dans une fausse page.

Pourquoi est-ce plus sûr qu’un mot de passe ?

1. Résistant au phishing : Google et Apple présentent les clés d’accès comme conçues pour résister à l’hameçonnage. La raison : la clé est liée au vrai site uniquement, et ne fonctionne pas sur une fausse page, même parfaitement imitée.
2. Rien d’utile ne fuit : si un site est piraté et sa base de données volée, le pirate récupère des « clés publiques » qui ne lui permettent pas d’entrer dans votre compte.
3. Fini les mots de passe réutilisés : le problème du même mot de passe partout disparaît, puisque chaque clé est propre à un seul site.
4. Plus rapide : un toucher du doigt au lieu de taper un long mot de passe puis d’attendre un SMS.

Avant de commencer : ce qu’il vous faut

Selon l’aide de Google, il vous faut un appareil assez récent, par exemple :

• Android 9 ou plus récent, ou iOS 16 ou plus récent sur iPhone.
• Windows 10 ou plus récent, macOS Ventura ou plus récent, ou ChromeOS 109 ou plus récent.
• Un navigateur récent : Chrome ou Edge (version 109 ou plus), Safari 16 ou plus, ou Firefox 122 ou plus.
• Un verrouillage d’écran activé sur le téléphone (empreinte, visage ou code).
• Sur les appareils Apple : le trousseau iCloud et l’identification à deux facteurs du compte Apple activés.

Ces conditions et les noms des menus peuvent évoluer avec les mises à jour. Si vous ne trouvez pas une option sous ce nom exact, cherchez « clé d’accès » ou « passkey » dans les paramètres du compte.

Pas à pas : une clé d’accès pour votre compte Google

1. Ouvrez le navigateur de votre téléphone ou de votre ordinateur personnel et connectez-vous à votre compte Google.
2. Allez à l’adresse g.co/passkeys (tapez-la vous-même).
3. Appuyez sur « Créer une clé d’accès » (Create a passkey).
4. Suivez les instructions : votre appareil vous demandera votre empreinte, votre visage ou votre code.
5. C’est fait. À la prochaine connexion, Google vous proposera d’utiliser la clé d’accès.

Points importants signalés par Google :

• Ajouter une clé d’accès ne supprime pas la validation en deux étapes ni les options de récupération de votre compte. Gardez-les.
• Ne créez pas de clé d’accès sur un appareil partagé : toute personne capable de le déverrouiller pourrait accéder à votre compte.
• Pour utiliser votre téléphone comme clé pour vous connecter sur un ordinateur, il faudra peut-être activer le Bluetooth sur les deux appareils.

Pas à pas : les clés d’accès sur iPhone

Sur iPhone, il n’y a pas de « bouton unique » pour créer des clés pour tous vos comptes. Cela se fait site par site :

1. Vérifiez que le trousseau iCloud et l’identification à deux facteurs de votre compte Apple sont activés.
2. Quand vous vous connectez à un site ou une application qui prend en charge les clés d’accès, il vous propose d’en enregistrer une. Touchez « Continuer ».
3. La clé est enregistrée dans l’application Mots de passe (Passwords), disponible depuis iOS 18.
4. Lors des connexions suivantes, choisissez le nom du compte et confirmez avec Face ID, Touch ID ou votre code.

Selon Apple, les clés d’accès se synchronisent entre les appareils Apple connectés au même compte grâce au trousseau iCloud. Vous pouvez aussi vous connecter sur un ordinateur proche qui n’est pas un Apple en scannant un code QR avec votre iPhone.

Et vos autres comptes ?

Cherchez l’option « Passkey » ou « clé d’accès » dans les paramètres de sécurité de chaque compte important. Beaucoup de grands services l’ont ajoutée. Si vous utilisez un gestionnaire de mots de passe, il peut aussi enregistrer vos clés d’accès.

Commencez toujours par votre adresse e-mail, car c’est la clé qui permet de réinitialiser tous vos autres comptes, comme nous l’expliquons dans l’article votre e-mail est la clé maîtresse.

Si votre téléphone est perdu ou volé

• Chez Apple et Google, les clés d’accès synchronisées sont sauvegardées dans votre compte : vous les retrouvez sur un nouvel appareil après connexion.
• Verrouillez ou effacez l’appareil perdu à distance (Localiser chez Apple, « Localiser mon appareil » sur Android).
• Gardez vos options de récupération (téléphone, e-mail de secours) et ne les supprimez pas après avoir créé une clé d’accès.
• Si vous pensez que quelqu’un a utilisé votre appareil, supprimez la clé d’accès correspondante depuis la page des clés d’accès de votre compte, puis créez-en une nouvelle.

Questions fréquentes

Quelqu’un qui connaît le code de mon téléphone peut-il utiliser mes clés d’accès ? Oui, car c’est ce code qui déverrouille la clé. Choisissez donc un code que personne d’autre ne connaît, et ne prêtez pas votre téléphone déverrouillé.

Dois-je supprimer mon mot de passe après avoir créé une clé d’accès ? Non. Beaucoup de sites gardent le mot de passe comme solution de secours. Rendez-le solide et unique, et utilisez la clé d’accès au quotidien.

L’essentiel à retenir

• Clé d’accès = connexion par empreinte, visage ou code, sans mot de passe.
• Elle ne fonctionne pas sur les pages de phishing, et rien d’utile ne fuit en cas de piratage d’un site.
• Google : g.co/passkeys, puis « Créer une clé d’accès ».
• iPhone : activez le trousseau iCloud et acceptez la clé quand le site la propose.
• Pas de clé sur un appareil partagé, et gardez vos options de récupération.
• Commencez par votre e-mail.

Sources

• Google Account Help : Sign in with a passkey instead of a password
• Google : How to set up a Google Account passkey (8 octobre 2026)
• Apple Support : Use passkeys to sign in to websites and apps on iPhone
• Apple Support : About the security of passkeys