La fin des mots de passe : ce que recouvre réellement la promesse
Un mot de passe de huit caractères peut être testé en quelques minutes par un matériel courant. Cette estimation, régulièrement citée par les organismes de sécurité, résume la tension dans laquelle se trouvent les systèmes d'authentification : plus les usages se multiplient, plus la chaîne repose sur un secret unique et réutilisé. C'est de ce constat que naît l'expression « fin des mots de passe », souvent présentée comme une bascule imminente. La réalité est plus fragmentée.
Ce que « sans mot de passe » désigne techniquement
L'expression recouvre des mécanismes distincts, souvent confondus dans le débat public. Le premier repose sur une paire de clés cryptographiques : une clé privée reste stockée sur l'appareil de l'utilisateur, une clé publique est déposée chez le service. L'authentification consiste à prouver la possession de la clé privée sans jamais la transmettre. Le secret ne circule donc plus sur le réseau, ce qui supprime une grande partie des attaques par interception ou par hameçonnage.
Le second mécanisme repose sur un lien de confiance établi avec un autre appareil : un téléphone confirme une connexion initiée sur un ordinateur, ou l'inverse. Le mot de passe n'est pas supprimé, il est déplacé vers un dispositif que l'utilisateur garde sur lui. La différence est importante : dans un cas le secret disparaît, dans l'autre il change de support.
Une troisième famille regroupe les méthodes fondées sur un facteur biométrique, empreinte ou reconnaissance faciale. Elles sont fréquemment présentées comme l'aboutissement du mouvement. Elles jouent pourtant un rôle différent : la biométrie sert le plus souvent à déverrouiller localement une clé stockée dans une puce, et non à remplacer cette clé. Elle agit comme un verrou d'accès, pas comme le secret lui-même.
Les idées reçues qui résistent
La première idée reçue consiste à croire que la suppression du mot de passe élimine le risque d'usurpation. Elle le déplace. Un attaquant qui obtient l'accès physique à un appareil déverrouillé, ou qui parvient à convaincre un utilisateur d'approuver une demande d'authentification frauduleuse, contourne le mécanisme sans jamais casser la cryptographie. Les campagnes d'hameçonnage se sont d'ailleurs adaptées : elles ne cherchent plus à recueillir un mot de passe, mais à déclencher une validation sur le téléphone de la victime.
La deuxième idée reçue présente la bascule comme une affaire de volonté des grandes plateformes. Or l'adoption dépend d'un écosystème entier. Un service ne peut proposer une authentification sans mot de passe que si le navigateur, le système d'exploitation et l'appareil prennent en charge les mêmes standards. Les normes techniques existent et sont implémentées progressivement, mais leur déploiement reste inégal selon les régions, les parcs matériels et les secteurs.
La troisième idée reçue assimile la fin des mots de passe à une disparition totale. Le vocabulaire masque une réalité plus prosaïque : dans la plupart des cas, un mot de passe ou un code de secours demeure prévu pour récupérer l'accès en cas de perte ou de changement d'appareil. Ce mécanisme de secours est souvent le maillon le plus fragile de la chaîne, car il réintroduit un secret que l'attaquant peut viser.
Enfin, l'argument de la simplicité mérite d'être nuancé. Pour un utilisateur équipé d'un matériel récent, l'authentification sans mot de passe réduit effectivement les frictions. Pour une personne dont l'appareil est ancien, partagé ou perdu, la même méthode peut devenir un obstacle difficile à franchir.
Où en est réellement le déploiement
Les usages les plus avancés se concentrent dans les environnements professionnels, où le parc de terminaux est maîtrisé et où les équipes informatiques peuvent accompagner le changement. Dans ces contextes, l'authentification par clé s'intègre aux politiques d'accès existantes et remplace progressivement les mots de passe sur les applications internes.
Le grand public progresse plus lentement, pour des raisons qui tiennent moins à la technique qu'à l'organisation. Un utilisateur dispose en moyenne de plusieurs dizaines de comptes, répartis entre services qui n'évoluent pas au même rythme. Tant qu'une partie de ces services ne prend pas en charge les standards, l'utilisateur doit conserver une méthode classique en parallèle, ce qui annule une partie du bénéfice.
La question de la récupération reste le point de blocage le plus concret. Lorsqu'un appareil est perdu, remplacé ou réinitialisé, l'accès aux comptes dépend de procédures de secours dont la solidité varie fortement d'un service à l'autre. Certaines reposent sur des codes de récupération à conserver hors ligne, d'autres sur une vérification par courriel, d'autres encore sur un contact humain. Ces procédures déterminent en pratique le niveau de sécurité réel du dispositif, davantage que le mécanisme d'authentification lui-même.
Le mouvement est engagé, mais il ne se traduit pas par une substitution nette. Il produit plutôt une coexistence durable entre plusieurs modes d'authentification, dont la répartition dépend du type d'appareil, du secteur d'activité et du niveau de risque associé au compte. Les services les plus sensibles, bancaires ou administratifs, conservent souvent plusieurs facteurs combinés, précisément parce qu'aucun mécanisme unique ne couvre l'ensemble des scénarios d'attaque. À consulter également : maman-bebe.ch.
La disparition annoncée tient donc moins d'un basculement que d'un déplacement progressif du secret. Ce qui change n'est pas l'existence d'une preuve d'identité, mais l'endroit où elle réside et la manière dont elle est vérifiée. Les limites de cette évolution se situent moins dans la cryptographie que dans les procédures de secours, la compatibilité des équipements et la capacité des utilisateurs à comprendre ce qu'ils valident au moment où ils valident.
