L'adoption des passkeys sur le Web d'ici 2026 est bien réelle, mais inégale : les consommateurs adoptent cette technologie plus rapidement que les sites Web ne la mettent en œuvre. L'Alliance FIDO estime à 5 milliards le nombre de passkeys utilisées dans le monde en 2026, mais des analyses universitaires n'ont encore recensé que quelques centaines de sites Web confirmés comme prenant en charge les passkeys parmi les domaines les mieux classés. Pour vous, la solution pratique est simple : prenez en charge les passkeys dès maintenant, veillez à ce que la récupération reste d’une fiabilité à toute épreuve, et ne supprimez pas les mots de passe tant que vos utilisateurs ne disposent pas d’une solution de secours sûre.
Adoption de Passkeys sur le Web en 2026 : un état des lieux sans concession
À première vue, ces chiffres semblent impressionnants. Le 7 mai 2026, la FIDO Alliance a indiqué qu'on estimait à 5 milliards le nombre de « passkeys » utilisées dans le monde, un cap symbolique qui reflète l'engagement d'Apple, Google, Microsoft, les gestionnaires de mots de passe, les banques, les commerçants et les plateformes d'identité d'entreprise vont tous dans le même sens.
Les données d’enquête confirment cette tendance, avec toutefois quelques réserves. L’enquête menée en 2026 par la FIDO Alliance auprès de 11 000 consommateurs a révélé que 69% d’entre eux avaient activé les clés d’accès sur au moins certains de leurs comptes. La Chine et l'Inde affichent toutes deux un taux de 88%, le Royaume-Uni 77%, l'Allemagne 70% et la France 64%.
Le taux d'utilisation est inférieur au taux d'adoption, ce qui est significatif. Selon FIDO, 49% des consommateurs utilisent des clés d'accès pour accéder à des applications et à des services en ligne « dès que possible » ou « la plupart du temps ». C'est un signal fort, mais cela ne revient pas à dire que la moitié des internautes ont abandonné les mots de passe.
Voici une meilleure façon d'interpréter les chiffres relatifs à l'adoption des « passkeys » sur le Web en 2026 : les titulaires de comptes sont de plus en plus prêts, les systèmes d'exploitation sont prêts, les grands fournisseurs d'identité se mobilisent, et la « longue traîne » des sites Web est encore en train de rattraper son retard. Si votre équipe produit attend que « tout le monde » adopte d'abord cette technologie, vous risquez d'attendre trop longtemps.
Pourquoi le nombre de sites est inférieur à ce que laisse entendre le battage médiatique
L'une des analyses les plus pertinentes est venue du monde universitaire, et non commercialisation. L'article publié en février 2026 sur arXiv, intitulé « State of Passkey Authentication in the Wild: A Census of the Top 100K sites », a utilisé un robot d'exploration basé sur 43 heuristiques pour analyser les 100 000 premiers domaines du classement Tranco. Une prépublication connexe de la conférence USENIX Security 2026 a indiqué que PASSKEYS-RADAR avait identifié 872 entités de confiance utilisant des passkeys.
Un examen manuel a permis de réduire ce chiffre à 386 sites web confirmés comme prenant en charge les passkeys, et les chercheurs ont analysé 208 implémentations indépendantes après déduplication. Pour parler franchement, si l’on divise les 386 sites confirmés par 100 000 domaines, on obtient environ 0,386%. Ce n’est pas une faute de frappe. Cela signifie que la prise en charge visible sur le Web reste encore très en deçà de la maturité de la plateforme.
Il y a toutefois un bémol que personne ne devrait ignorer : la détection automatisée passe à côté de certains flux, en particulier les sites qui masquent la configuration des mots de passe derrière une procédure de connexion, des vérifications d'appareil, des règles régionales ou l'ancienneté du compte. La prépublication de l'USENIX indiquait également que les analyses automatisées avaient recensé environ 125% de parties de confiance utilisant des mots de passe de plus que l'ensemble des annuaires communautaires, ce qui signifie que les listes publiques sont elles aussi incomplètes.
Pour autant, l'écart est bien réel. L'adoption des « passkeys » sur le Web d'ici 2026 n'est pas une simple « affaire conclue » ; il s'agit d'un marché fragmenté où Apple Passwords, Google Password Manager, Microsoft Authenticator, 1Password, Dashlane et les systèmes d'identité d'entreprise pourraient être prêts avant votre service préféré.
Les clés d'accès sont-elles en train de remplacer les mots de passe ?
Ils commencent par remplacer les mots de passe dans certains domaines spécifiques : l'identité des employés, les comptes clients à forte valeur ajoutée, le secteur bancaire, le commerce électronique et les grandes plateformes qui ont les moyens de mettre en place un système de récupération de compte efficace. Ils ne remplaceront pas tous les mots de passe sur tous les sites web en 2026.
L'enquête menée par FIDO auprès des entreprises, portant sur 1 400 organisations en 2026, a révélé que 68% avaient déployé, étaient en train de déployer ou testaient des clés d'accès destinées à leur personnel. La répartition par région était la suivante : 72% aux États-Unis, 64% en Europe et 70% dans la région Asie-Pacifique. Il s'agit là d'une adoption, et non d'une migration généralisée.
La même enquête a révélé que 57% des organisations utilisaient encore des méthodes basées sur des mots de passe comme principal moyen de connexion pour leurs collaborateurs, tandis que 30% déclaraient utiliser principalement des méthodes basées sur des clés d'accès. Ces deux chiffres illustrent bien la tension qui existe : la plupart des organisations testent les clés d'accès, mais les mots de passe restent au cœur de nombreux systèmes de connexion.
Microsoft est le fournisseur qui mène cette transition de la manière la plus visible. Selon Microsoft Learn, Entra ID fera des clés d’accès le mode d’authentification par défaut à compter du 1er septembre 2026 pour les utilisateurs bénéficiant de l’authentification par SMS ou par appel vocal dans les locataires du cloud public. Le 1er février 2027, les services de SMS et d’appels vocaux fournis par Microsoft seront supprimés dans ces locataires, et les utilisateurs dont la seule méthode d’authentification multifactorielle (MFA) est le SMS ou l’appel vocal devront enregistrer une clé d’accès avant de pouvoir continuer à se connecter.
C'est important, car les SMS constituent depuis des années le maillon faible par excellence. Si vous surveillez les risques liés à l'identité de manière plus générale, cette même tendance apparaît dans les rapports concernant L'IA accentue les risques liés à la cybersécurité et les pirates qui automatisent les attaques par usurpation d'identifiants à grande échelle.
L'infrastructure Web qui sous-tend un mot de passe
Une clé d'accès n'est pas simplement un mot de passe sophistiqué enregistré dans une application plus élégante. Le NCSC décrit les clés d'accès comme des identifiants à clé publique résistants au phishing, et cette définition est tout à fait pertinente. Le site web reçoit une clé publique ; votre appareil ou votre gestionnaire d'identifiants conserve la clé privée ; la connexion prouve que vous êtes en possession de la clé sans envoyer de secret partagé susceptible d'être saisi sur une fausse page.
Sur le Web, l'interface standard est WebAuthn. Le guide de MDN sur les clés d'accès, mis à jour pour la dernière fois le 2 avril 2026, indique que les sites Web utilisent navigator.credentials.create() pour l'enregistrement du mot de passe et navigator.credentials.get() pour l'authentification. Google Developers fournit les mêmes recommandations fondamentales : la mise en œuvre nécessite un enregistrement et une authentification côté serveur, l'API WebAuthn du navigateur se chargeant quant à elle de la partie côté client.
Le site web fait office de « partie de confiance » (Relying Party) dans le cadre de WebAuthn. MDN précise que la partie de confiance doit générer les options d’enregistrement et d’authentification côté serveur et vérifier les réponses de l’authentificateur côté serveur. En d’autres termes, il ne s’agit pas d’un simple widget front-end que l’on intègre à l’environnement de production un vendredi après-midi.
Les équipes qui développent conjointement des applications web et mobiles devraient concevoir l'expérience utilisateur comme un système d'identité unique, et non comme deux écrans de connexion distincts. Si votre service s'appuie largement sur des applications, la transition plus large prévue pour 2026 dans développement d'applications mobiles Cela a également des répercussions sur le déploiement des mots de passe, car les utilisateurs s'attendent à ce que les mêmes identifiants fonctionnent aussi bien sur navigateur que sur iOS, Androïde, et sur ordinateur de bureau.
Synchronisation, association à un appareil et problème de restauration
C’est grâce aux clés d’accès synchronisées que tout un chacun peut utiliser cette technologie. Le support Apple a indiqué le 5 juin 2026 que le Trousseau iCloud conserve les mots de passe et les clés d'accès disponibles et à jour sur tous les appareils Apple approuvés. Apple Developer précise également que les clés d'accès peuvent être synchronisées via des fournisseurs externes, qu'elles prennent en charge les comptes Apple gérés dans des environnements gérés, et qu'elles peuvent être importées ou exportées en toute sécurité entre différents gestionnaires de mots de passe.
Les clés d'accès liées à un appareil restent importantes, en particulier dans les environnements réglementés ou à haut risque. Une clé de sécurité matérielle ou un identifiant lié à une plateforme peut réduire le risque de piratage de compte, mais cela peut également compliquer la gestion technique en cas de perte, d'effacement, de remplacement ou d'attribution à un autre employé de l'appareil concerné.
Les données 2026 de FIDO sur les entreprises montrent que le marché n'a pas encore opté pour un modèle unique. Parmi les organisations utilisant des clés d'accès, 50% utilisaient à la fois des clés d'accès liées à un appareil et des clés synchronisées, 22% utilisaient principalement des clés synchronisées, et 23% utilisaient principalement des clés liées à un appareil.
| Signal d'adoption pour 2026 | Chiffre communiqué | Contexte source |
|---|---|---|
| Estimation du nombre de mots de passe dans le monde entier | 5 milliards | Estimation de la FIDO Alliance, 7 mai 2026 |
| Les consommateurs dont certains comptes sont configurés avec des clés d'accès | 69% | Enquête FIDO, 11 000 personnes interrogées |
| Les consommateurs qui utilisent des clés d'accès dès que possible ou la plupart du temps | 49% | Enquête FIDO auprès des consommateurs, 2026 |
| Organisations qui déploient, testent ou ont déjà déployé les « passkeys » pour leur personnel | 68% | Enquête FIDO auprès des entreprises, 1 400 organisations |
| Organisations utilisant des mots de passe comme moyen principal de connexion pour leurs collaborateurs | 57% | Enquête FIDO auprès des entreprises, 2026 |
| Sites web confirmés comme prenant en charge les mots de passe à clé, parmi les 100 000 premiers sites analysés | 386 | Prépublication de USENIX Security 2026 |
Voici le piège : la procédure de récupération peut réintroduire discrètement les mots de passe faibles qui avaient été supprimés. FIDO a indiqué que la récupération de compte et la restauration de l’accès constituaient un obstacle pour 16% d’organisations qui n’avaient pas encore entièrement abandonné les mots de passe. Si votre procédure en cas de « clé d'accès perdue » repose uniquement sur la réinitialisation par e-mail, les interventions du centre d'appel ou les SMS, les attaquants s'attaqueront à ces points faibles.
Si vous avez besoin d'aide pour la configuration, ce guide constitue un outil pratique pour Configuration des clés d'accès sur les appareils Apple, Google et Microsoft. Pour les entreprises, la tâche la plus importante consiste à rédiger, avant le lancement, une politique de reprise après sinistre, des scripts d'assistance, des procédures de remplacement des appareils et des règles d'audit.
Comment ajouter des clés d'accès à un site web ?
Commencez par réfléchir au produit, pas à l'API. En 2026, l'adoption des « passkeys » sur le Web est suffisamment mûre pour que votre question ne soit plus « pouvons-nous les mettre en place ? ». La bonne question est de savoir où elles trouvent leur place : comme deuxième méthode de connexion facultative, comme premier facteur d'authentification sans mot de passe, comme authentification renforcée ou comme connexion obligatoire pour les employés.
- Définissez l'identité de votre partie de confiance, les origines autorisées, les règles de vérification des utilisateurs, ainsi que la prise en charge des clés d'accès synchronisées, des identifiants liés à un appareil, ou les deux.
- Créer des options d'enregistrement côté serveur, appeler
navigator.credentials.create()dans le navigateur, puis vérifier et enregistrer côté serveur les informations d'identification de la clé publique renvoyées. - Définir les options d'authentification, appeler
navigator.credentials.get(), puis vérifiez côté serveur la réponse de l'authentificateur, le défi, l'origine, la présence de l'utilisateur et l'authentification de l'utilisateur. - Concevoir un système de récupération de compte avant la mise en production, couvrant notamment les cas de perte d'appareil, de changement de téléphone, de comptes gérés, de transfert via un gestionnaire d'identifiants et de tentatives de récupération suspectes.
- Effectuez des tests avec les navigateurs Apple, Google, Microsoft, Android, iOS, les navigateurs de bureau, les gestionnaires de mots de passe et les appareils gérés par l'entreprise, plutôt que de vous contenter d'un scénario idéal.
L'étude préliminaire de l'USENIX a révélé que, parmi les 208 implémentations de « passkey » analysées, 71 sites, soit 34%, exigeaient une confirmation supplémentaire avant l'enregistrement d'un « passkey » ; 66% autorisaient l'enregistrement immédiat sans confirmation supplémentaire. Je préfère qu'une confirmation soit exigée pour les comptes importants. Cela ajoute certes une étape supplémentaire, mais l'enregistrement silencieux lors d'une session piratée est un risque que de nombreuses équipes sous-estiment.
Les tests de sécurité menés dans le cadre de cette même étude devraient donner à réfléchir à tous les responsables techniques. Sur les 103 sites web utilisant des « passkeys » testés, aucun n’a réussi l’ensemble des tests de sécurité requis, et plus de la moitié présentaient des vulnérabilités de gravité élevée ou critique. Les « passkeys » réduisent le risque d’hameçonnage ; elles ne résolvent pas comme par magie les problèmes liés à une gestion défaillante des sessions, à une validation insuffisante de l’origine ou à des processus de récupération imprudents.
Si votre équipe a déjà du mal à déployer rapidement des fonctionnalités sécurisées, considérez les clés d'accès comme un projet de sécurité intégrant la conception de produit, et non comme une simple refonte du processus de connexion. Le problème plus général est bien connu : Le développement logiciel continue d'avancer à grands pas, tandis que la sécurité peine à suivre le rythme.
Ce que les chiffres de 2026 signifient pour les acheteurs et les constructeurs
Pour un produit grand public, proposer des clés d'accès en 2026 est désormais un gage de confiance, surtout si votre public utilise des iPhone, des téléphones Android, des PC Windows ou des gestionnaires de mots de passe courants. Cela permet également de réduire les coûts d'assistance à long terme, mais seulement une fois que les cas limites ont été résolus.
En matière d’identité d’entreprise, la pression est encore plus forte. Le calendrier des notifications par SMS et par voix de Microsoft Entra fournit aux administrateurs une date butoir précise, et non une simple tendance vague. Si votre locataire s’appuie encore sur l’authentification multifactorielle (MFA) par téléphone, cette tâche n’est plus une simple planification facultative ; il s’agit d’un travail de migration avec une échéance impérative fixée à 2027.
Les équipes de sécurité doivent également ne pas céder à un contre-argument facile : « Les passkeys sont synchronisées, elles ne sont donc pas sûres. » Les identifiants synchronisés donnent certes lieu à des hypothèses de confiance différentes, mais le NCSC continue de décrire les clés d’accès comme résistantes au phishing, et pour de nombreux utilisateurs, une clé d’accès synchronisée dans un gestionnaire d’identifiants sécurisé est bien plus sûre qu’un mot de passe réutilisé associé à un SMS.
En termes de coûts, le calcul porte moins sur le prix de la licence que sur les modes de défaillance. Supposons qu’un service grand public compte 2 millions d’utilisateurs actifs par mois et que seuls 10% adoptent les clés d’accès en 2026. Cela représente 200 000 comptes moins exposés au phishing classique visant les identifiants. Même si le nombre de tickets d’assistance augmente pendant le déploiement, la réduction du risque de piratage de comptes peut justifier l’effort pour les services financiers, les places de marché, les plateformes de santé et les produits SaaS.
Il n’en reste pas moins que l’adoption des clés d’accès sur le Web d’ici 2026 cache une vérité dérangeante : les utilisateurs ne peuvent pas adopter ce que les services ne proposent pas. Selon le NCSC, l’adoption dépend de la mise à disposition de ces clés par les services. Cette phrase devrait figurer dans chaque rapport d’évaluation des plans d’action relatifs à la sécurité des comptes.
Mon avis : si vous gérez un service web sérieux et que vous ne vous y êtes pas encore mis, vous avez du retard, mais vous n’êtes pas pour autant condamné. Proposez des clés d’accès optionnelles, mettez en place des outils de suivi du parcours utilisateur, renforcez les procédures de récupération et évitez les promesses grandiloquentes jusqu’à ce que vos tests de sécurité confirment que vous les méritez.
FAQ
Les clés d'accès sont-elles plus sûres que les mots de passe ?
Oui, pour se prémunir contre le phishing. Les clés d'accès utilisent la cryptographie à clé publique ; ainsi, un site web frauduleux ne peut pas voler un secret réutilisable comme il le ferait avec un mot de passe.
Les « passkeys » fonctionneront-elles si je perds mon téléphone ?
Souvent, oui, si vos clés d'accès sont synchronisées via un gestionnaire d'identifiants tel que le Trousseau iCloud ou un autre fournisseur, et que vous pouvez récupérer votre compte de confiance. Les clés d'accès liées à un appareil sont différentes ; les services doivent donc disposer d'un processus de récupération soigneusement conçu.
Les clés d'accès fonctionnent-elles sur le Web ou uniquement dans les applications ?
Ils fonctionnent sur le Web via l'API WebAuthn. Les sites Web enregistrent les clés d'accès auprès de navigator.credentials.create() et authentifier les utilisateurs à l'aide de navigator.credentials.get(), tandis que le code côté serveur vérifie les réponses.
Le taux d'adoption des clés d'accès sur le Web en 2026 est-il suffisamment élevé pour justifier leur mise en œuvre ?
Oui, pour la plupart des services où la sécurité est primordiale, mais pas parce que tous les sites web les prennent déjà en charge. Les plateformes utilisateur sont prêtes, les consommateurs y sont de plus en plus sensibilisés, et les échéances fixées par Microsoft pour les entreprises font des « passkeys » un moyen d'authentification courant.
FR 
EN 
ES