WebAuthn mobile vous permet de vous connecter sur un téléphone à l'aide de Face ID, Touch ID, d'une empreinte digitale, d'un code PIN ou d'un autre moyen de verrouillage local de l'écran, au lieu d'un mot de passe. Le site reçoit une clé publique, et non votre visage ou votre empreinte digitale. Pour les utilisateurs, cette méthode est plus rapide et offre une protection efficace contre le phishing ; pour les équipes produit, il s’agit de la norme de navigateur à la base des clés d’accès et de l’authentification FIDO2.
Qu'est-ce que WebAuthn mobile ?
WebAuthn mobile désigne l'utilisation de l'API d'authentification Web du W3C sur les smartphones et les navigateurs mobiles pour créer et utiliser des clés d'accès. WebAuthn niveau 1 est devenu une recommandation du W3C le 4 mars 2019, tandis que WebAuthn niveau 3 était encore au stade de « recommandation candidate » en 2026, la période de consultation publique du W3C étant ouverte au moins jusqu'au 23 juin 2026.
En termes simples, voici comment cela fonctionne : votre téléphone génère un identifiant cryptographique pour un site web ou un compte d’application spécifique. Le service stocke la clé publique. La clé privée reste sur l’authentificateur, par exemple le matériel sécurisé de votre téléphone, ou chez un fournisseur de clés d’accès tel que le Trousseau iCloud, Google Password Manager ou tout autre fournisseur pris en charge.
La biométrie ne constitue qu’une étape locale de validation. Lorsque vous utilisez WebAuthn sur mobile, Face ID ou un capteur d’empreintes digitales vérifie que la personne qui tient le téléphone est autorisée à utiliser l’identifiant, mais la partie de confiance ne reçoit jamais de données biométriques. Cette distinction est importante, car beaucoup de gens pensent encore que la « connexion biométrique » signifie qu’une entreprise stocke un scan du visage. Avec les clés d’accès, ce n’est pas le cas.
La FIDO Alliance définit une « passkey » comme un identifiant FIDO ; en 2024, elle a officiellement précisé que les passkeys pouvaient être soit synchronisées entre les appareils, soit liées à un appareil spécifique. À l'occasion de la Journée mondiale de la clé d'accès, le 7 mai 2026, l'Alliance FIDO estimait à 5 milliards le nombre de clés d'accès activement utilisées dans le monde. Il ne s'agit plus d'un simple projet pilote.
Comment fonctionne la connexion biométrique sur un téléphone ?
Sur iPhone, la mise en œuvre des clés d'accès par Apple prend en charge la création de compte et la connexion via Face ID ou Touch ID. Sur Android, Google recommande WebAuthn pour les sites Web et Credential Manager pour les applications Android ; la documentation destinée aux développeurs Android de 2026 décrivait également la prise en charge des clés d'accès sur Android, Wear OS et Android XR.
L'inscription vient en premier. Vous créez une clé d'accès pour un service, votre téléphone vous demande de confirmer votre identité localement, puis le navigateur envoie la clé publique ainsi que les métadonnées au service. Par la suite, lors de la connexion, le service envoie un défi cryptographique et votre authentificateur le signe. Aucun secret partagé ne transite par le réseau.
C'est précisément ce dernier point qui explique pourquoi WebAuthn sur mobile est bien plus efficace que les codes à usage unique envoyés par SMS. Un site de hameçonnage peut vous inciter à saisir un code à six chiffres. En revanche, il ne peut pas facilement faire en sorte que votre clé d'accès vous connecte à une origine erronée, car WebAuthn lie les identifiants à l'origine Web de la partie de confiance.
Il existe toutefois un petit bémol en matière d'expérience utilisateur. Si vous consultez un site dans un navigateur intégré à une application sociale, ou sur une combinaison navigateur/appareil plus ancienne, la connexion par clé d'accès peut ne pas être disponible, même si ce même compte fonctionne dans Safari, Chrome ou une application native. La documentation d'aide de PayPal de 2024, par exemple, décrivait la prise en charge des clés d'accès tout en précisant que le navigateur ou l'appareil utilisé n'était peut-être pas encore compatible.
WebAuthn sur mobile face aux mots de passe, aux codes SMS et aux codes OTP générés par une application
La principale différence en matière de sécurité réside dans le fait que les mots de passe et les codes sont des informations ou des valeurs pouvant être copiées, tandis que les clés d'accès reposent sur la cryptographie à clé publique. Votre base de données de mots de passe peut faire l'objet d'une fuite. Vos SMS peuvent être interceptés. Le code de votre application d'authentification peut être volé en temps réel par hameçonnage. La clé privée d'une clé d'accès n'est pas censée quitter l'application d'authentification ou le fournisseur de clés d'accès.
Une comparaison concrète permet de mieux comprendre. Supposons qu’une banque compte 1 million d’utilisateurs mobiles actifs par mois et que 12% d’entre eux contactent le service d’assistance au moins une fois par an pour réinitialiser leur mot de passe — un ordre de grandeur plausible pour les services grand public, mais que vous devriez remplacer par vos propres données de service d’assistance. Si chaque réinitialisation coûte $6 en temps d’assistance en 2026, cela représente $720 000 par an. Réduire le volume de réinitialisations ne serait-ce que de 40% grâce aux clés d’accès permet d’économiser $288 000, sans compter la réduction de la fraude ni la fidélisation des utilisateurs.
Les équipes de sécurité apprécient également la résistance au phishing. Microsoft a indiqué, dans un article publié le 7 mai 2026 à l’occasion de la Journée mondiale de la clé d’accès, que l’adoption des clés d’accès s’accélérait, citant l’estimation de l’Alliance FIDO qui fait état de 5 milliards de clés d’accès. Microsoft a également indiqué que l’authentification résistante au phishing couvrait 99,61 TP7T d’utilisateurs et d’appareils au sein de Microsoft en 2026. Il s’agit là d’un indicateur utile issu d’un environnement d’entreprise de grande envergure, même si votre modèle de menace est différent.
Les banques et les applications fintech y prêtent attention, car les codes OTP par SMS, les codes OTP via application et les validations par notification push présentent tous des modes de défaillance problématiques. L’Alliance FIDO a indiqué en juin 2026 que l’intérêt du secteur bancaire et financier était motivé par la demande d’alternatives résistantes au phishing. Si vous travaillez sur des produits financiers mobiles, associez les clés d’accès à des contrôles anti-fraude plus complets, tels que l’évaluation des risques liés aux appareils, la surveillance des transactions et la vérification des modèles de fraude à l'identité synthétique. L'authentification ne suffit pas à elle seule à prouver que le compte a été ouvert par une personne réelle.
| Méthode | Ce que le service stocke | La résistance au phishing en 2026 | Friction courante dans les appareils mobiles |
|---|---|---|---|
| Mot de passe | Hachage du mot de passe | Faible ; les utilisateurs peuvent le saisir sur un site frauduleux | Mots de passe oubliés, réutilisation, procédures de réinitialisation |
| Code OTP par SMS | Numéro de téléphone et état de la session | Faible à modéré ; les codes peuvent être retransmis | Échanges de cartes SIM, problèmes d'itinérance, mauvaise réception |
| Application d'authentification OTP | Secret partagé ou enregistrement d'inscription | Moyen ; le phishing en temps réel reste possible | Confusion autour de la migration et de la sauvegarde des appareils |
| Clé d'accès mobile WebAuthn | Métadonnées relatives aux clés publiques et aux identifiants | Élevé ; les informations d'identification sont liées à l'origine du site | Récupération sur plusieurs appareils et dépendance vis-à-vis d'un fournisseur |
Clés d'accès synchronisées ou associées à un appareil : faites le bon choix
Les clés d'accès peuvent être synchronisées ou liées à un appareil. Les clés d'accès synchronisées vous suivent d'un appareil à l'autre via un fournisseur de clés d'accès ; c'est la version que la plupart des consommateurs sont prêts à accepter. Les identifiants liés à un appareil restent associés à un appareil ou à un authentificateur matériel spécifique. Ils peuvent offrir une sécurité plus stricte, mais peuvent également entraîner des blocages gênants.
Honnêtement, les clés d’accès synchronisées constituent la meilleure option par défaut pour les produits mobiles grand public, sauf si vous protégez des actions présentant un risque très élevé. Les utilisateurs changent de téléphone, cassent leur écran, partagent leurs tablettes et oublient les étapes de récupération. Un système de connexion théoriquement parfait, mais qui laisse les utilisateurs dans l’impasse après la perte d’un iPhone, deviendra un problème d’assistance et, pire encore, une raison de conserver indéfiniment les mots de passe.
Cet argument contraire mérite d'être pris au sérieux. Un article universitaire publié en 2026, qui comparait les identifiants liés à un appareil à ceux synchronisés, faisait valoir que la sécurité des clés d'accès synchronisées reposait alors entièrement sur le fournisseur de clés d'accès. Si un pirate parvient à compromettre le compte du fournisseur ou son processus de récupération, la situation en matière de sécurité s'en trouve modifiée. C'est là un écueil que les présentations promotionnelles des clés d'accès mentionnent rarement.
La révision 4 de la norme NIST SP 800-63B, publiée en 2025, reconnaissait les authentificateurs synchronisables et indiquait que bon nombre d’entre eux s’appuyaient sur la spécification WebAuthn du W3C. Pour les équipes produit, cela signifie que les authentificateurs synchronisés ne sont plus marginaux. Le défi de conception réside dans la définition des règles : quand accepter une clé d'accès synchronisée, quand renforcer l'authentification et quand exiger un identifiant lié à un appareil ?
Les équipes chargées des applications mobiles devraient également tenir compte de l'évolution du reste de la pile applicative. Si vous prévoyez de mettre en place un système d'authentification pour un produit destiné à fonctionner sur des téléphones, des appareils portables et des appareils de réalité mixte, la transition plus générale décrite dans le développement d'applications mobiles en 2026 C'est important. L'identité fait désormais partie intégrante de l'architecture du produit ; elle ne se limite plus à un simple écran de connexion.
Mettre en place WebAuthn sur mobile sans gêner les utilisateurs
Pour concevoir efficacement une clé d'accès, il faut commencer par admettre que les utilisateurs ne s'intéressent pas à WebAuthn. Ce qui leur importe, c'est de pouvoir accéder à leur compte rapidement et en toute sécurité. Le langage utilisé dans le produit doit indiquer « Se connecter avec une clé d'accès » ou « Utiliser Face ID » lorsque les conventions de la plateforme le permettent, tandis que la couche technique utilise l'API WebAuthn ou le Gestionnaire d'identifiants Android.
Une mise en place progressive s'avère généralement plus efficace qu'un changement brutal. Proposez des clés d'accès après une connexion réussie par mot de passe, lors de la création d'un compte et à l'issue d'une session jugée très fiable. N'imposez pas l'inscription à un utilisateur alors qu'il tente de finaliser un achat ou d'effectuer un virement. Un mauvais timing transforme une amélioration de la sécurité en obstacle au paiement.
- Commencez par proposer l'enregistrement facultatif d'un mot de passe à clé aux utilisateurs disposant de navigateurs et d'appareils compatibles.
- Veillez à disposer d'un moyen de récupération validé avant de désactiver les mots de passe ou la validation par SMS.
- Testez séparément les contextes Safari, Chrome et Android WebView, ainsi que les plateformes iOS et Android et les processus de changement de compte.
- Enregistrer les échecs de création d'identifiants par navigateur, version du système d'exploitation, fournisseur de clés d'accès et catégorie d'appareil.
- Utilisez des vérifications par étapes pour les opérations sensibles, telles que l'ajout d'un moyen de paiement ou la modification de l'adresse e-mail de récupération.
Pour les sites Web, les recommandations de Google pour 2026 orientent les développeurs vers WebAuthn. Pour les applications Android, la solution recommandée est Credential Manager, qui met à la disposition des utilisateurs un sélecteur d’identifiants au niveau du système. Sur les plateformes Apple, AuthenticationServices fournit les flux de clés d'accès, y compris la prise en charge des environnements gérés, des comptes Apple gérés et des contrôles de synchronisation du trousseau iCloud, conformément à la documentation pour développeurs d'Apple de 2026.
Un cas particulier peut fausser vos indicateurs : les invites de passkey qui s'affichent avant que le navigateur n'ait détecté une action stable de l'utilisateur. Certains navigateurs mobiles et contextes d'applications mobiles sont très stricts quant au moment où l'interface utilisateur des identifiants peut s'afficher. Considérez l'enregistrement des passkeys comme un flux produit intégrant des données de télémétrie, et non comme un simple appel API d'une ligne. Les équipes qui investissent déjà dans Tests automatisés pour l'assurance qualité des applications mobiles devraient ajouter à leur suite de tests de régression des scénarios portant sur la création de mots de passe, la connexion, l'annulation et la récupération.
La revente des appareils constitue un autre piège. Un mot de passe ne devrait pas rester valable pour l'authentification du prochain propriétaire d'un téléphone, mais il arrive souvent que les utilisateurs laissent leurs comptes connectés ou omettent d'effacer correctement les données de leurs appareils. Si votre produit traite des données sensibles, rappelez aux utilisateurs comment supprimer des appareils et vérifiez les sessions actives ; ces mêmes mesures de sécurité constituent la base de tout guide sur Vendre un ancien téléphone en toute sécurité.
Paiements, opérations bancaires et activités mobiles à haut risque
C'est avec la « confirmation de paiement sécurisée » que WebAuthn mobile va au-delà de la simple connexion. Le W3C a publié un projet de recommandation candidate concernant la confirmation de paiement sécurisée le 4 juin 2026. Cette spécification est une extension de WebAuthn dédiée aux paiements, qui permet de signer des données spécifiques au paiement, notamment l'origine du commerçant, le montant et la devise.
En quoi est-ce important ? Une connexion classique prouve que l'utilisateur s'est authentifié sur votre site. Une confirmation de paiement permet d'établir un lien cryptographique entre l'autorisation et une transaction spécifique. Dans le domaine bancaire, pour les portefeuilles numériques et les paiements sur les places de marché, il s'agit d'un type de signal différent.
Cela dit, ne considérez pas WebAuthn mobile comme une solution miracle contre la fraude. Une clé d’accès permet de confirmer que l’utilisateur ou l’appareil enregistré a approuvé une action, mais elle ne vous dira pas si l’utilisateur est guidé par téléphone, si le compte bénéficiaire est contrôlé par un « mulet » ou si une session a été lancée à partir d’un appareil compromis. La montée en puissance des attaques assistées par l’IA, abordée dans analyse récente des risques liés à la cybersécurité, ce qui renforce l'importance de cette vision par niveaux.
Pour les opérations à forte valeur, associez les clés d'accès à l'évaluation du risque lié à la transaction, aux informations sur l'appareil, à la vérification des notifications et aux délais de réflexion. En cas de faible risque, les clés d'accès peuvent faciliter le processus. En cas de risque élevé, elles doivent servir de base à un processus de vérification renforcé plutôt que de se substituer à tous les autres contrôles.
C'est la phase de récupération qui détermine la réussite
La plupart des projets « sans mot de passe » qui échouent ne pèchent pas sur le plan de la cryptographie. C'est au niveau de la récupération qu'ils échouent. Un utilisateur change de téléphone, perd l'accès à son fournisseur de clés d'accès, change d'emploi ou voyage avec un seul appareil. C'est alors que le scénario idéal du « sans mot de passe » se heurte à la file d'attente du service d'assistance.
Mettez en place un système de récupération avant de vous réjouir des taux de conversion. Autorisez plusieurs clés d'accès par compte, affichez clairement les appareils associés et facilitez la révocation des anciens identifiants. Si le compte est important, exigez une validation récente de la clé d'accès avant d'ajouter une nouvelle clé ou de modifier les méthodes de récupération.
Il pourrait devenir plus facile de changer de fournisseur avec Google Password Manager. Android Central a rapporté le 19 mai 2026 que Google travaillait sur l'importation et l'exportation de clés d'accès pour Google Password Manager sur Android, mais l'article précisait qu'aucune date de déploiement publique n'avait été confirmée au moment de sa publication. Tant que la portabilité ne sera pas courante, la dépendance vis-à-vis d'un fournisseur reste un véritable enjeu à prendre en compte.
Pour les comptes d'entreprise ou gérés, les paramètres de configuration sont essentiels. La documentation d'Apple de 2026 décrivait les clés d'accès dans les environnements gérés, avec les comptes Apple gérés et les contrôles de synchronisation du trousseau iCloud. Les administrateurs s'intéresseront davantage à l'inscription, à la révocation, au remplacement des appareils et aux pistes d'audit qu'à l'élégance du bouton de connexion.
Mon avis : WebAuthn mobile est prêt à être utilisé pour les connexions courantes, mais seulement si l’on considère la récupération comme faisant partie intégrante de l’authentification, et non comme une simple formalité secondaire. N’hésitez pas à intégrer le bouton « Clé d’accès ». Mais ne retirez pas l’échelle avant d’être sûr que les utilisateurs puissent remonter.
FAQ
La connexion via Face ID est-elle sécurisée avec WebAuthn Mobile ?
Oui, à condition que cela soit correctement mis en œuvre. Face ID ou la vérification par empreinte digitale ne permettent que de déverrouiller l'utilisation locale de la clé d'accès ; le site web reçoit une signature cryptographique, et non vos données biométriques.
WebAuthn remplace-t-il complètement les mots de passe ?
C'est possible, mais de nombreux services commencent par proposer des clés d'accès en complément des mots de passe. Le remplacement complet dépend de la conception du système de récupération, de la couverture des appareils, du niveau de risque associé au compte et de la capacité à accompagner les utilisateurs.
Puis-je utiliser une clé d'accès mobile sur un ordinateur de bureau ?
Souvent, oui. De nombreux systèmes de clés d'accès permettent à un téléphone d'approuver la connexion à un navigateur de bureau, généralement via un processus géré par la plateforme, mais cette fonctionnalité dépend de la prise en charge par le navigateur, le système d'exploitation et le fournisseur de clés d'accès.
Que se passe-t-il si je perds mon téléphone avec mes clés d'accès ?
Si vos mots de passe sont synchronisés, vous pouvez les récupérer via votre compte chez votre fournisseur d'accès et à l'aide d'un autre appareil de confiance. S'ils sont liés à un appareil spécifique, la récupération dépend de la procédure de récupération de compte du service concerné et des identifiants de secours que vous avez enregistrés.
WebAuthn mobile, c'est la même chose que FIDO2 ?
Pas tout à fait. WebAuthn est l'API de navigateur du W3C utilisée avec FIDO2 et les clés d'accès, tandis que FIDO2 désigne l'ensemble plus large de normes relatives à l'authentification par clé publique résistante au phishing.
FR 
EN 
ES