Les passkeys en 2026 : se connecter sans mot de passe sur Google, Apple, Microsoft et Amazon

Les chiffres clés

Qu'est-ce qu'une passkey ?

Une passkey (ou « clé d'accès ») permet de se connecter sans taper de mot de passe. À sa création, votre appareil génère deux clés liées : l'une reste sur votre téléphone ou ordinateur, l'autre est conservée par le site. Pour vous connecter, vous déverrouillez simplement votre appareil comme d'habitude, avec votre empreinte, votre visage ou votre code, et les deux clés sont comparées, comme l'explique Tom's Guide.

La clé de votre appareil ne le quitte jamais, et elle ne fonctionne qu'avec le vrai site pour lequel elle a été créée. C'est la grande différence avec un mot de passe : un faux site ne peut pas vous soutirer une passkey, et une fuite de données chez le site ne révèle rien de réutilisable ailleurs.

Pourquoi s'y mettre maintenant ?

Les mots de passe restent le point faible de la sécurité en ligne. Dans l'enquête 2026 de la FIDO Alliance auprès de 11 000 personnes dans dix pays, 33 % avaient subi un piratage de compte ou reçu une alerte de fuite au cours de l'année, et 47 % déclaraient qu'elles abandonneraient probablement un achat ou une connexion faute de se souvenir d'un mot de passe.

Les grandes plateformes ont bougé. Google a fait des passkeys l'option de connexion par défaut des comptes Google personnels en octobre 2023, en affirmant qu'elles sont 40 % plus rapides que les mots de passe. Depuis mai 2025, les nouveaux comptes Microsoft sont sans mot de passe par défaut : on demande aux utilisateurs de créer une passkey plutôt qu'un mot de passe, selon BleepingComputer. La FIDO Alliance estime qu'environ 5 milliards de passkeys étaient utilisées dans le monde en mai 2026, et que 75 % des personnes interrogées en avaient activé au moins une.

Où les activer en premier

Tous les sites ne proposent pas encore les passkeys : en 2024, la FIDO Alliance les comptait sur 20 % des 100 plus grands sites du monde. Parmi les services qui les acceptent, selon la FIDO Alliance : Google, Apple, Microsoft (dont Xbox et Microsoft 365), Amazon, PayPal, PlayStation, Nintendo, TikTok, Shopify et Adobe.

Commencez par les comptes dont le vol vous ferait le plus de mal :

• Votre e-mail principal : celui qui le contrôle peut réinitialiser tous vos autres mots de passe.
• Votre compte Apple, Google ou Microsoft : il contient vos photos, vos sauvegardes et vos moyens de paiement.
• Vos comptes d'achat et de paiement : Amazon, PayPal et vos boutiques préférées.
• Vos comptes de jeu : les comptes PlayStation, Xbox et Nintendo sont des cibles fréquentes et contiennent souvent une carte enregistrée.

Dans chaque service, cherchez « passkey » ou « clé d'accès » dans les réglages de sécurité ou de connexion, puis suivez les étapes. Sur un site que vous utilisez déjà, le chemin habituel est : connectez-vous, ouvrez les paramètres du compte et choisissez créer une passkey.

Comment ça marche sur vos appareils

• iPhone, iPad et Mac : les passkeys sont enregistrées dans votre trousseau iCloud, accessible dans l'app Mots de passe d'Apple sur les versions récentes d'iOS et de macOS, et synchronisées entre vos appareils Apple. Activez le trousseau iCloud, puis confirmez avec Face ID, Touch ID ou votre code quand un site propose une passkey.
• Android : les passkeys sont créées avec le verrouillage de l'écran (empreinte, visage ou code) et, pour la plupart des utilisateurs, enregistrées dans le compte Google pour être disponibles sur leurs autres appareils Android.
• Windows : Windows Hello (visage, empreinte ou code PIN) protège les passkeys enregistrées sur le PC.
• Sur un ordinateur qui n'est pas le vôtre : beaucoup de sites affichent un QR code ; scannez-le avec votre téléphone, qui utilise sa propre passkey, sans rien laisser sur l'ordinateur emprunté.
• Gestionnaires de mots de passe : plusieurs gestionnaires savent désormais stocker et synchroniser les passkeys entre iPhone, Android et Windows, pratique si vous mélangez les marques. Voir notre guide pour choisir un gestionnaire de mots de passe.

Ne vous retrouvez pas bloqué : votre plan de secours

Une passkey n'est sûre que si l'appareil et le compte qui la conservent le sont aussi. Avant de passer le cap, vérifiez ces points :

• Gardez la synchronisation activée (trousseau iCloud, compte Google ou votre gestionnaire de mots de passe) : un téléphone perdu ne signifie pas des passkeys perdues.
• Mettez à jour vos moyens de récupération : un numéro de téléphone et un e-mail de secours à jour sur vos comptes principaux.
• Gardez un second accès sur les comptes essentiels : un deuxième appareil avec une passkey, ou des codes de secours imprimés et rangés chez vous.
• Protégez l'appareil lui-même : un code solide, car il déverrouille désormais vos comptes.
• Avant de vendre ou donner un téléphone, vérifiez que vos passkeys sont bien synchronisées sur le nouveau. Notre guide pour transférer ses données vous aide pour le changement.

Les limites à connaître

• Pas encore partout : beaucoup de sites n'acceptent encore que les mots de passe ; vous vivrez avec les deux pendant un moment.
• Mélanger les écosystèmes peut dérouter : une passkey enregistrée dans le trousseau iCloud n'est pas automatiquement sur votre PC Windows ; un gestionnaire multiplateforme ou la méthode du QR code règle le problème.
• Le mot de passe reste souvent en arrière-plan : sur beaucoup de sites, créer une passkey ne supprime pas l'ancien mot de passe. Quand l'option existe, comme sur les comptes Microsoft, vous pouvez le supprimer dans les réglages de sécurité.
• Comptes familiaux partagés : une passkey est liée à l'appareil d'une personne ; pour un compte de streaming ou d'achat partagé, un gestionnaire de mots de passe avec partage est souvent plus simple.

Questions fréquentes

Une passkey, c'est la même chose que la double authentification ? Non. Une passkey remplace le mot de passe et résiste à elle seule à l'hameçonnage, car elle ne fonctionne que sur le vrai site. Beaucoup de services la jugent assez solide pour se passer du code supplémentaire.

Que se passe-t-il si on me vole mon téléphone ? Le voleur aurait aussi besoin de votre empreinte, de votre visage ou de votre code. Avec la synchronisation activée, vous récupérez vos passkeys sur un nouvel appareil en vous connectant à votre compte Apple ou Google ou à votre gestionnaire de mots de passe.

Les sites voient-ils mon empreinte ou mon visage ? Non. La biométrie sert seulement à déverrouiller votre appareil ; le site ne la reçoit jamais.

Dois-je supprimer mes mots de passe ? Pas tout de suite. Commencez par ajouter des passkeys à vos comptes principaux, puis supprimez les mots de passe là où le service le permet et quand votre plan de secours est prêt.

Verdict

Les passkeys sont la mise à niveau de sécurité la plus importante que la plupart des gens puissent faire en 2026 : elles sont plus rapides que les mots de passe et ne peuvent pas être hameçonnées. Activez-les d'abord sur votre e-mail principal, votre compte Apple, Google ou Microsoft, et vos comptes d'achat et de paiement, gardez la synchronisation et les moyens de récupération à jour, et vivez avec les mots de passe ailleurs en attendant que plus de sites suivent. Pour vos fichiers, complétez avec notre guide pour sauvegarder son ordinateur et notre guide pour sauvegarder les photos du téléphone.

Ce guide s'appuie sur des annonces, des enquêtes et des guides pratiques publiés par les sources citées. Les noms des menus peuvent changer avec les mises à jour ; consultez l'aide de votre appareil si un réglage a changé de place.