Passkeys en PME : faut-il abandonner les mots de passe ?

Les passkeys en PME remplacent le mot de passe par une clé cryptographique liée à l’appareil et au site, ce qui les rend résistantes au phishing par conception. Pour la plupart des PME et ETI, la bonne décision n’est pas « tout passer en passkeys demain » mais commencer par les comptes administrateurs et la messagerie, puis étendre au rythme du parc.

La question devient concrète : Microsoft vient de rappeler aux administrateurs Entra ID de migrer leurs utilisateurs vers les passkeys, comme le rapporte BleepingComputer. Si vous avez déjà déployé une double authentification, vous vous demandez sans doute si ce chantier en vaut la peine. Voici comment trancher.

Ce qu’une passkey change par rapport au mot de passe et au code SMS

Une passkey repose sur le standard FIDO2 / WebAuthn : l’appareil de l’utilisateur génère une paire de clés, garde la clé privée et ne transmet au service que la clé publique. À chaque connexion, l’appareil signe un défi, après déverrouillage local (empreinte, visage ou code PIN). Le détail du mécanisme est décrit par la FIDO Alliance.

Trois conséquences pratiques pour une PME :

• Rien à voler sur le serveur : une fuite de base de comptes n’expose aucun secret réutilisable.
• Rien à saisir sur une fausse page : la passkey est liée au nom de domaine légitime, elle ne fonctionne pas sur un site d’hameçonnage, même parfaitement imité.
• Rien à approuver à l’aveugle : contrairement aux notifications push, il n’y a pas de demande à valider qui pourrait être déclenchée en boucle par un attaquant.

C’est la différence avec la double authentification classique par SMS, code à usage unique ou notification : celle-ci complique la vie de l’attaquant, mais un kit de phishing qui relaie la session en temps réel la contourne. L’ANSSI classe d’ailleurs les facteurs selon leur résistance à ce type d’attaque.

Passkeys en PME : les comptes à migrer en premier

La question n’est pas « faut-il des passkeys partout ? » mais « où un mot de passe volé coûterait-il le plus cher ? ». Dans une PME type, l’ordre de priorité est assez stable :

1. Les comptes administrateurs du tenant Microsoft 365 ou Google Workspace, de l’hyperviseur, du pare-feu et de l’outil de prise en main à distance. Un seul de ces comptes compromis suffit à désactiver vos protections.
2. La direction et la comptabilité, cibles privilégiées de la fraude au virement et de l’usurpation d’identité.
3. La messagerie de tous les salariés, porte d’entrée de la majorité des compromissions de comptes.
4. Les applications métier exposées sur Internet, au fur et à mesure qu’elles prennent en charge WebAuthn.

Si vos comptes administrateurs sont encore protégés par un simple code SMS, c’est là que le gain est le plus net. Le sujet rejoint celui de la réduction des privilèges administrateurs : moins de comptes à privilèges, mieux protégés.

Passkey synchronisée ou liée à l’appareil : le vrai choix

Il existe deux familles de passkeys, et c’est le principal arbitrage pour une entreprise.

Les passkeys synchronisées

Stockées dans un gestionnaire (trousseau Apple, gestionnaire Google, gestionnaire de mots de passe d’entreprise), elles se recopient sur tous les appareils de l’utilisateur. Avantage : pas de matériel à acheter et une récupération simple en cas de perte de téléphone. Limite : la sécurité dépend du compte qui synchronise. Si ce compte est personnel, la clé d’accès à votre messagerie professionnelle vit en dehors de votre contrôle.

Les passkeys liées à l’appareil

Elles restent sur une clé de sécurité physique ou dans l’application d’authentification gérée par l’entreprise, sans possibilité de copie. Avantage : vous savez exactement où se trouve chaque clé, et vous pouvez la révoquer. Limite : il faut gérer les pertes, les remplacements et une seconde clé de secours par personne.

Une règle simple fonctionne pour la plupart des PME : clés liées à l’appareil pour les administrateurs, passkeys synchronisées dans un gestionnaire maîtrisé par l’entreprise pour les autres utilisateurs. Microsoft Entra ID permet de restreindre les types de passkeys acceptés par groupe d’utilisateurs, comme l’explique sa documentation officielle ; Google Workspace propose un réglage équivalent décrit dans son centre d’aide administrateur.

Les pièges qui font échouer un déploiement

La technologie est mûre ; ce sont les détails d’organisation qui coincent.

• Laisser l’ancienne méthode active. Tant qu’un utilisateur peut encore se connecter par SMS ou par mot de passe seul, l’attaquant choisira cette porte-là. Une passkey n’apporte sa protection contre le phishing que si les méthodes faibles sont retirées pour les comptes concernés.
• Négliger la procédure de récupération. Un salarié qui perd son téléphone appelle le support : si celui-ci réinitialise l’accès sur simple appel, vous avez recréé une faille. Définissez qui peut réinscrire une passkey, et avec quelle vérification d’identité. Un attaquant qui obtient l’inscription de sa propre passkey conserve son accès même après un changement de mot de passe.
• Oublier les postes partagés et les comptes de service. Accueil, atelier, comptes génériques : ils demandent une solution dédiée (clé physique attribuée, ou suppression du compte partagé).
• Ignorer les anciens protocoles. Des applications ou imprimantes qui s’authentifient encore par mot de passe simple contournent toute la démarche. Faites-en l’inventaire avant de durcir.

Combien d’effort prévoir pour une PME

Pour une entreprise déjà sur Microsoft 365 ou Google Workspace, l’essentiel est déjà inclus dans la licence : l’effort est surtout humain. Comptez trois phases :

• Pilote : l’équipe informatique et les administrateurs, avec une clé de secours chacun. C’est là que vous rédigez la procédure de récupération.
• Extension : direction et services sensibles, accompagnés d’une démonstration courte et d’un support disponible le jour de l’inscription.
• Généralisation : tous les utilisateurs, puis retrait progressif des méthodes faibles par groupe.

Le budget matériel se limite aux clés physiques pour les administrateurs et les postes partagés. Si vous partez de zéro en double authentification, notre guide de déploiement de la MFA en PME reste le bon point de départ ; les passkeys en sont l’étape suivante, pas un préalable.

Ce que les passkeys ne règlent pas

Une passkey protège l’étape de connexion. Elle ne protège pas une session déjà ouverte dont le jeton est volé par un logiciel malveillant sur le poste, ni un consentement accordé à une application tierce malveillante, ni un salarié manipulé pour approuver un virement. La détection reste indispensable : connexions depuis des lieux inhabituels, inscription d’une nouvelle méthode d’authentification, création de règles de transfert dans la messagerie.

Ces signaux faibles se repèrent avec une surveillance continue de vos journaux d’identité : découvrez notre SOC managé 24/7 pour PME et ETI.

Ce qu’il faut retenir

• Une passkey ne peut pas être saisie sur un faux site : elle neutralise le phishing d’identifiants.
• Commencez par les comptes administrateurs, puis la direction, puis la messagerie de tous.
• Clés liées à l’appareil pour les administrateurs, passkeys synchronisées et maîtrisées pour les autres.
• Retirez les méthodes faibles, sinon l’attaquant les utilisera.
• Écrivez la procédure de récupération avant le déploiement, pas après.

Sources

• FIDO Alliance — Passkeys
• ANSSI — Recommandations relatives à l’authentification multifacteur et aux mots de passe
• Microsoft Learn — Activer les passkeys (FIDO2) dans Microsoft Entra ID
• Google Workspace — Passkeys pour les utilisateurs
• BleepingComputer — Microsoft urges Entra ID admins to migrate users to passkeys