Mot de passe, code ou clé d'accès : ce qui protège vraiment un compte

Un faux site de connexion peut ressembler trait pour trait au vrai. Face à lui, un mot de passe, un code à six chiffres et une clé d'accès ne réagissent pas de la même manière. Ce comparatif documentaire, fondé sur les publications de l'Office fédéral de la cybersécurité et de l'institut américain de normalisation, explique ce que chaque méthode protège, ce qu'elle laisse ouvert et ce qui se passe quand un téléphone disparaît.

Aucune de ces méthodes n'a été testée par LEMOVIA. Les comparaisons qui suivent reposent sur des documents publiés, pas sur des essais ni sur un classement de produits. Une précision de vocabulaire d'abord : une clé d'accès, souvent appelée « passkey », remplace le mot de passe par une paire de clés cryptographiques enregistrée sur un appareil ou dans un service de synchronisation.

Trois méthodes, trois façons de se faire piéger

Le mot de passe est un secret que l'on tape. S'il est saisi sur une fausse page, l'attaquant peut le réutiliser. Dans sa classification publiée en septembre 2026, l'Office fédéral de la cybersécurité (OFCS) place le couple nom d'utilisateur et mot de passe au niveau « faible » et recommande d'éviter ce niveau, en le remplaçant si possible par une méthode plus sûre.

Le code temporaire, envoyé par SMS ou affiché par une application, change à chaque connexion. L'OFCS classe ces solutions au niveau « moyen ». Il rappelle aussi que la sécurité des procédures par SMS n'est « pas garantie » et qu'elles ne devraient servir qu'en l'absence de meilleure solution. Surtout, un code tapé à la main peut être relayé en temps réel par un faux site : la publication SP 800-63B-4 du NIST, l'institut américain de normalisation, précise que les méthodes reposant sur la saisie manuelle d'un code ne sont pas considérées comme résistantes à l'hameçonnage.

La clé d'accès fonctionne autrement. Selon la note de l'OFCS consacrée aux clés d'accès, datée de septembre 2025, la clé privée reste sur l'appareil, le service ne conserve qu'une clé publique, et l'adresse du serveur est vérifiée avant la signature. La réponse ne peut donc servir qu'auprès du vrai site. C'est ce lien avec l'adresse qui explique la protection contre de nombreuses attaques par hameçonnage.

Synchronisée ou liée à un appareil : une différence qui compte

Une clé d'accès peut être conservée sur un seul objet, par exemple une clé de sécurité USB, ou copiée sur tous les appareils d'un même compte. L'Alliance FIDO, le consortium industriel qui promeut cette technologie, parle dans le premier cas de clés « liées à l'appareil » et dans le second de clés « synchronisées ».

La synchronisation facilite la vie : un nouveau téléphone retrouve les clés déjà créées. Mais elle change le niveau de protection. Le NIST admet ces clés synchronisables pour un niveau d'assurance intermédiaire, mais les exclut de son niveau le plus élevé, qui exige une clé privée impossible à exporter. Dans la partie consacrée aux clés synchronisables, il cite aussi des risques propres à ce modèle : compromission du service qui synchronise, partage de clés avec des appareils appartenant à d'autres personnes, perte de contrôle.

L'OFCS fait une distinction comparable. Les clés d'accès synchronisables ou exportables restent au niveau « moyen », même combinées à un mot de passe et à un code SMS, car, selon l'OFCS, le cumul de plusieurs méthodes d'authentification ne renforce pas le niveau de sécurité. Les implémentations sans synchronisation ni exportation peuvent atteindre le niveau « élevé ».

Ce qu'une clé d'accès ne règle pas

La protection porte sur le moment de la connexion. Elle ne rend pas sûr un appareil déjà compromis. Une fois la session ouverte, une attaque qui détourne cette session reste un autre problème : l'OFCS signale justement la hausse des attaques visant à prendre le contrôle de connexions authentifiées.

Le mot de passe ne disparaît pas toujours non plus. Dans sa note de 2025, l'OFCS relève que, dans de nombreux cas, il restera possible, voire nécessaire, d'utiliser des mots de passe, par exemple comme solution de secours pour les réinitialiser, et que des mots de passe faibles resteront alors exposés. La sécurité d'un compte dépend donc aussi de sa procédure de récupération. Si l'on peut la contourner avec un simple courriel ou un code SMS, la clé d'accès ne protège pas cette porte-là.

Enfin, l'OFCS insiste sur les détails de mise en œuvre : selon lui, il est impossible de tirer des conclusions générales sur la sécurité des clés d'accès, car tout dépend de l'implémentation.

Quand un téléphone est perdu ou qu'un salarié part

La perte d'un appareil illustre le compromis. Avec des clés synchronisées, l'utilisateur les retrouve sur un nouvel appareil, à condition de pouvoir rouvrir le compte qui les synchronise. Avec une clé matérielle non exportable, aucune copie de sauvegarde n'est possible : l'OFCS précise qu'il faut alors un second module matériel. L'Alliance FIDO présente d'ailleurs les clés de sécurité comme un moyen de récupération lorsqu'on a perdu l'accès à tous les appareils sur lesquels ses clés d'accès étaient synchronisées.

Pour une PME, la question se pose aussi au départ d'un collaborateur. Le NIST relève qu'une révocation centralisée de ces clés est difficile, car chacune est propre à un service. Il recommande notamment de limiter leur nombre grâce à une connexion centralisée, de pouvoir retirer une clé compromise et de demander aux utilisateurs de revoir régulièrement leurs clés. Une clé synchronisée sur le téléphone personnel d'un employé ou partagée avec un collègue échappe plus facilement à ce contrôle. Pour limiter ce partage, le NIST cite les outils de gestion des appareils de l'entreprise.

Comment choisir sans promesse d'invulnérabilité

Les documents consultés convergent sur trois points. Un mot de passe seul ne suffit plus. Un code temporaire améliore la situation, mais reste vulnérable à un faux site qui le relaie aussitôt. Une clé d'accès protège mieux contre l'hameçonnage, avec un niveau qui dépend de son stockage et de sa synchronisation.

Avant de généraliser les clés d'accès, une entreprise peut donc vérifier quatre points : où les clés sont conservées, qui peut les synchroniser ou les partager, comment se déroule la récupération d'un compte et comment retirer un accès lors d'un départ. Les chiffres d'adoption ou de réduction de fraude mis en avant par les promoteurs de la technologie ne remplacent pas cet examen : ils proviennent souvent d'entreprises ou d'organismes qui la défendent.

Sources principales

• Office fédéral de la cybersécurité (OFCS), Considérations technologiques : niveaux de sécurité pour les procédures, moyens et services d'authentification, septembre 2026.
• Office fédéral de la cybersécurité (OFCS), Considérations technologiques : clés d'accès, septembre 2025.
• NIST, SP 800-63B-4, Authenticators, version publiée en juillet 2025.
• NIST, SP 800-63B-4, Syncable Authenticators, version publiée en juillet 2025.
• Alliance FIDO, Passkeys, page sans date indiquée ; source d'un promoteur de la technologie.

Comparatif documentaire. Aucune méthode, aucun appareil ni aucun service n'a été testé par LEMOVIA.