Clé d'accès (passkey) : l'activer et la garder si vous perdez votre téléphone

Une clé d'accès, ou passkey, permet de se connecter à un compte sans taper de mot de passe : le téléphone ou l'ordinateur confirme que c'est bien vous, avec votre empreinte, votre visage ou votre code de déverrouillage. Google, Apple et Microsoft la proposent sur leurs comptes, et bien d'autres sites l'offrent au moment de la connexion. Ce guide explique ce qu'elle protège vraiment, comment l'activer chez chacun des trois, et ce qu'il faut faire le jour où le téléphone disparaît.

Comment fonctionne une clé d'accès

Au moment où vous créez une clé d'accès pour un compte, votre appareil fabrique une paire de clés. La clé privée reste chez vous, sur l'appareil ou dans un gestionnaire de mots de passe synchronisé. La clé publique est confiée au site. À chaque connexion, le site envoie un défi que seule la clé privée sait signer, une fois que vous avez déverrouillé l'appareil. Le site ne détient donc aucun secret : si sa base de comptes fuit, comme lors des incidents qui ont touché Instagram ou ManoMano, il n'y a pas de mot de passe à réutiliser ailleurs.

Deux autres propriétés comptent au quotidien. La clé est liée au nom de domaine du site : Microsoft prend l'exemple d'une clé créée pour netflix.com, qui ne sert que sur netflix.com, même si l'on vous attire sur un site imité. Et vos données biométriques ne quittent pas l'appareil : Google comme Microsoft précisent qu'elles ne leur sont jamais transmises. L'empreinte ou le visage servent seulement à déverrouiller la clé.

Une nuance, enfin, sur la « double authentification ». La CNIL, dans sa recommandation sur l'authentification multifacteur du 1er avril 2025, classe la clé d'accès parmi les authentifications cryptographiquement robustes, mais pas forcément multifacteur : elle ne le devient que si elle est associée à un appareil précis, verrouillé par un code. Microsoft, de son côté, la considère comme multifacteur (l'appareil que vous possédez plus votre empreinte ou votre code). En pratique, Google indique qu'une clé d'accès dispense de la seconde étape de la validation en deux étapes, parce qu'elle prouve que vous détenez l'appareil.

Ce qu'il faut avant de commencer

Selon l'aide Google consultée le 18 octobre 2026, il faut un ordinateur sous Windows 10, macOS Ventura ou ChromeOS 109 au minimum, ou un téléphone sous Android 9 ou iOS 16 au minimum, avec un navigateur récent (Chrome ou Edge 109, Safari 16, Firefox 122 ou versions ultérieures). Microsoft précise que ses fonctions les plus récentes autour des clés d'accès demandent Windows 11 : si votre PC est encore sous Windows 10, voyez notre guide sur la fin du support de Windows 10.

Trois réglages conditionnent le reste. Le verrouillage de l'écran doit être activé : sans code, empreinte ni visage, l'appareil ne propose aucune clé. Le Bluetooth doit être allumé pour utiliser la clé du téléphone sur un autre ordinateur. Sur iPhone, iPad et Mac, le trousseau iCloud et l'identification à deux facteurs du compte Apple sont obligatoires. Évitez enfin la navigation privée, où la création d'une clé échoue parfois.

Ne créez une clé d'accès que sur un appareil qui vous appartient et que vous êtes seul à utiliser. Google le dit sans détour : toute personne capable de déverrouiller l'appareil peut ensuite entrer dans le compte, même après une déconnexion. Le code du téléphone devient la vraie serrure.

Ajouter une clé d'accès ne retire aucune des méthodes de connexion ou de récupération déjà configurées. Une clé toute neuve peut mettre jusqu'à sept jours avant d'être acceptée à la connexion, un délai qui peut être raccourci si vous possédez déjà une clé approuvée. Les comptes Google Workspace fournis par un employeur ou une école peuvent ne pas autoriser la connexion par clé seule : l'administrateur en décide.

Si aucune option n'apparaît, le site ou l'app ne prend pas encore en charge les clés d'accès, précise le guide de l'iPhone d'Apple (mis à jour le 18 septembre 2026). Les sites peuvent aussi créer une clé automatiquement lors d'une connexion.

Sous Windows, les clés rangées sur le PC se consultent et se suppriment dans Paramètres, Comptes, Clés d'accès. Dans Edge, le navigateur peut créer une clé tout seul quand un site le propose ; ce comportement se règle dans Paramètres, « Mots de passe et remplissage automatique », Gestionnaire de mots de passe Microsoft, Autres paramètres.

Sur les autres sites, la clé se crée dans la rubrique sécurité ou connexion du compte, ou depuis la fenêtre qui la propose à la connexion. Sans proposition, le service ne la gère pas encore.

Se connecter sur un autre ordinateur avec le QR code

Sur un ordinateur qui n'a pas votre clé, celui d'un proche ou du travail, la clé du téléphone fait l'affaire. Saisissez votre identifiant, choisissez « Essayer une autre méthode » puis « Utiliser votre clé d'accès » chez Google, ou une option comme « Autres options » puis « Clé d'accès d'un appareil à proximité » sur d'autres sites. Un QR code s'affiche : scannez-le avec l'appareil photo du téléphone, Bluetooth allumé, puis déverrouillez le téléphone.

Une vérification de proximité a lieu à ce moment, d'où le Bluetooth : Microsoft explique qu'elle garantit que la clé ne sert qu'à un appareil situé tout près, et non à un pirate à distance. Chez Google, la connexion suivante depuis ce même couple ordinateur et téléphone se valide par une simple notification.

Quand aucune clé d'accès n'est proposée

Un message indiquant qu'aucune clé n'est disponible signifie le plus souvent que l'appareil devant vous ne possède pas la clé de ce compte. Les causes relevées par l'aide Google :

• le verrouillage de l'écran a été désactivé sur l'appareil qui porte la clé ; il faut le réactiver ;
• la clé a été créée il y a moins de sept jours ;
• l'option « Ignorer le mot de passe si possible » est désactivée, ce qui fait passer le mot de passe en premier ;
• la clé est sur un autre appareil : passez par le QR code.

« Essayer une autre méthode » permet toujours de revenir au mot de passe ou aux autres moyens configurés. Si vous l'utilisez souvent, Google vous proposera de moins en moins la clé. À l'inverse, si une clé supprimée de votre compte Google continue d'apparaître, elle est restée dans un gestionnaire de mots de passe tiers : supprimez-la là aussi.

Microsoft met en garde : retirer toutes les informations de sécurité d'un compte le place sous restriction pendant 30 jours, sans possibilité d'en ajouter de nouvelles. Si vous soupçonnez qu'un tiers s'est déjà servi de vos comptes, suivez notre guide usurpation d'identité : que faire.

Préparer la perte avant qu'elle arrive

Le meilleur moment pour régler la question est avant l'incident. Chez Apple, les clés synchronisées par le trousseau iCloud restent récupérables même si vous perdez tous vos appareils, selon la page d'Apple sur la sécurité des clés d'accès. Deux outils facilitent la reprise du compte :

• Le contact de récupération : jusqu'à cinq proches de confiance, équipés d'un appareil Apple récent, peuvent vous transmettre un code pour réinitialiser le mot de passe du compte Apple. Ils n'ont jamais accès au compte. Réglages, votre nom, « Connexion et sécurité », Contacts de récupération.
• La clé de secours : un code de 28 caractères qui remplace la procédure de récupération standard d'Apple. Si vous la perdez, Apple prévient que vous risquez de ne plus jamais accéder au compte. Imprimez-la, gardez-en plusieurs copies, jamais dans l'app Mots de passe, Notes ou iCloud Drive.

Chez Google, vérifiez que l'adresse e-mail de récupération et le numéro de téléphone du compte sont à jour : ce sont eux qui servent quand aucun appareil n'est disponible. Chez Microsoft, le conseil est de ranger les clés dans un gestionnaire synchronisé, ou d'en créer une sur chaque appareil, comme un double de clé chez soi. Une fois les comptes verrouillés, reste la question des données que les sites conservent sur vous : notre guide pour supprimer ses données personnelles d'internet détaille les démarches.