Un lundi matin, un dirigeant de PME apprend que trois virements ont été initiés depuis un compte fournisseur. L'attaquant n'a « cassé » aucun mot de passe. Il a envoyé un faux e-mail de connexion, récupéré l'identifiant, le mot de passe et le code reçu par SMS, puis s'est connecté en quelques secondes. Le second facteur n'a rien empêché : lui aussi était réutilisable et transmissible.
Ce scénario n'a rien d'exceptionnel. Le mot de passe reste le maillon faible de la sécurité, et le MFA par SMS ou par code à usage unique ne fait souvent que déplacer le problème sans le résoudre. C'est précisément ce que les passkeys viennent corriger, en supprimant le secret partagé lui-même.
2026 est une année charnière : les grands fournisseurs, les navigateurs et les systèmes d'exploitation ont fini d'aligner leur support. Pour une PME, la question n'est plus « faut-il s'y intéresser ? » mais « par où commencer, et comment cohabiter avec l'existant ? »
Une passkey, concrètement, c'est quoi ?
Une passkey repose sur les standards FIDO2 et WebAuthn. À la place d'un mot de passe, votre appareil génère une paire de clés cryptographiques : une clé privée qui ne quitte jamais le téléphone, l'ordinateur ou la clé de sécurité, et une clé publique confiée au service en ligne. Pour vous connecter, l'appareil prouve qu'il détient la clé privée — via votre empreinte, votre visage ou le code de déverrouillage — sans jamais transmettre de secret.
Trois conséquences directes :
- Il n'y a plus de mot de passe à mémoriser, à réutiliser ou à faire fuiter.
- Le service ne stocke qu'une clé publique : une fuite de sa base de données ne livre aucun identifiant exploitable.
- L'authentification est liée au vrai domaine du service, ce qui bloque les sites de phishing par construction.
Pourquoi les passkeys résistent au phishing
Le phishing fonctionne parce que le secret est réutilisable : si vous tapez votre mot de passe — et même votre code MFA — sur un faux site, l'attaquant le rejoue sur le vrai. Une passkey ne peut pas être rejouée. La signature cryptographique est calculée pour un domaine précis, vérifié par le navigateur. Un site frauduleux, hébergé sur un autre domaine, n'obtient rien d'exploitable.
C'est une différence de nature avec le MFA classique. Un code à six chiffres reçu par SMS ou généré par une application reste une donnée que l'utilisateur peut être manipulé à communiquer. La passkey, elle, ne transite jamais et ne se recopie pas.
Passkeys contre MFA SMS : la fin d'un compromis
Le MFA par SMS a longtemps été « mieux que rien ». Ses limites sont aujourd'hui bien connues :
- Le SMS peut être intercepté (SIM swapping, réseaux mobiles) ou hameçonné en temps réel.
- La « fatigue MFA » — ces notifications de validation répétées — pousse les utilisateurs à approuver par lassitude.
- Les codes se copient, se dictent au téléphone, se saisissent sur un faux portail.
Les passkeys ne remplacent pas seulement le mot de passe : elles absorbent le rôle du second facteur. Une seule action — déverrouiller son appareil — vaut à la fois preuve de possession et preuve d'identité. Pour l'utilisateur, c'est plus simple ; pour l'attaquant, c'est un mur.
Où en est l'adoption en 2026
L'écosystème est prêt. Les grands fournisseurs d'identité et de messagerie, les principaux réseaux sociaux et de nombreux services SaaS professionnels acceptent désormais les passkeys. Les navigateurs (Chrome, Safari, Edge, Firefox) et les systèmes d'exploitation (Windows, macOS, iOS, Android) gèrent leur création, leur synchronisation et leur sauvegarde. Les gestionnaires de mots de passe d'entreprise savent les stocker et les partager.
Le frein n'est donc plus technique. Il est organisationnel : inventaire des comptes, choix des priorités, accompagnement des équipes. C'est là qu'une PME peut avancer vite, sans grand projet informatique.
Votre plan d'action
Inutile de tout basculer d'un coup. Une PME peut adopter les passkeys de façon progressive et réversible.
- Cartographiez vos comptes critiques : messagerie, administration Microsoft 365 / Google Workspace, banque, hébergeur, nom de domaine, outils financiers.
- Commencez par les comptes à privilèges (administrateurs, dirigeants). C'est là que l'impact d'un vol d'identifiants est maximal.
- Activez les passkeys là où elles existent déjà, en gardant temporairement votre MFA actuel comme filet de sécurité.
- Enregistrez au moins deux facteurs par compte critique (téléphone + clé de sécurité physique) pour ne jamais perdre l'accès.
- Documentez une procédure de récupération claire avant de désactiver les anciens mots de passe.
- Formez les équipes en une fois : ce qu'est une passkey, comment la créer, quoi faire en cas de perte d'appareil.
- Étendez ensuite aux comptes secondaires, puis retirez progressivement le MFA SMS des comptes sensibles.
Comment Sedona peut aider
Les passkeys sécurisent l'accès, mais elles ne disent rien de tout ce que votre organisation expose par ailleurs. Sedona Radar mesure votre surface d'attaque externe — services exposés, configuration e-mail (SPF, DKIM, DMARC), TLS, vulnérabilités connues — et vous donne une vue objective de votre exposition, avec un score de conformité indicatif. En complément, une simulation de phishing encadrée permet de mesurer, sans jugement, la résistance réelle de vos équipes aux tentatives de vol d'identifiants — précisément le risque que les passkeys réduisent. Pour ancrer ces réflexes, des formations sont proposées via notre partenaire (finançables OPCO). Rien de tout cela ne remplace le déploiement des passkeys, qui reste entre vos mains : notre rôle est de vous montrer où vous en êtes et de prioriser.
Testez gratuitement votre exposition avec le plan Découverte de Sedona Radar, ou parlez-en à un expert.
