Double authentification, passkeys et clés FIDO2 (YubiKey et autres)

En clair

Un mot de passe, c'est une clé qu'on peut copier : si quelqu'un la voit ou la vole, il entre. La double authentification ajoute un deuxième élément que le voleur n'a pas : votre téléphone, votre empreinte, ou une petite clé de sécurité USB. Mais toutes les doubles authentifications ne se valent pas : un code reçu par SMS peut être recopié sur un faux site par un escroc, alors qu'une clé FIDO2 ou une passkey vérifie elle-même qu'elle parle au vrai site et refuse de répondre au faux. C'est la différence entre un vigile qui demande un code et un vigile qui reconnaît votre visage.

1. Les facteurs d'authentification

Facteur	Ce que c'est	Exemples
Ce que je sais	Un secret mémorisé	Mot de passe, code PIN
Ce que je possède	Un objet	Téléphone, clé de sécurité, carte à puce
Ce que je suis	Une caractéristique physique	Empreinte digitale, visage

La double authentification (2FA) ou authentification multifacteur (MFA) combine au moins deux facteurs différents. Deux mots de passe ne font pas une double authentification.

2. Les méthodes, de la plus faible à la plus forte

Méthode	Fonctionnement	Résiste à l'hameçonnage moderne ?	Principaux risques
SMS ou appel vocal	Un code envoyé sur le téléphone	Non	Échange de carte SIM (l'attaquant récupère votre numéro), interception, code recopié sur un faux site
Code par courriel	Un code envoyé dans la messagerie	Non	Si la messagerie est compromise, tout l'est
Code TOTP (application d'authentification)	Un code à 6 chiffres qui change toutes les 30 secondes	Non	Code recopié sur un faux site ; perte du téléphone sans sauvegarde
Notification à approuver	Un bouton « Approuver » sur le téléphone	Non	Fatigue MFA : l'attaquant envoie des dizaines de demandes jusqu'à ce que l'utilisateur, excédé, accepte
Notification avec saisie d'un nombre (number matching)	Taper sur le téléphone le nombre affiché à l'écran de connexion	Non, mais limite la fatigue MFA	Toujours vulnérable à un faux site relais
Passkey synchronisée	Une clé cryptographique dans le gestionnaire de mots de passe (Apple, Google, Bitwarden, 1Password…), déverrouillée par biométrie ou PIN	Oui	Dépend de la sécurité du compte qui synchronise
Passkey liée à l'appareil et clé de sécurité FIDO2	La clé privée ne quitte jamais le téléphone ou la clé physique	Oui	Perte de la clé : prévoir une seconde clé
Windows Hello for Business, carte à puce ou certificat	Clé liée au matériel du PC (puce TPM) ou à une carte	Oui	Déploiement plus lourd

Pourquoi les codes ne suffisent plus

Les kits d'hameçonnage actuels (dits AiTM, adversary-in-the-middle) placent un faux site relais entre la victime et le vrai site. La victime saisit son mot de passe et son code sur la copie ; le relais les transmet instantanément au vrai site, et vole le jeton de session qui en revient. L'attaquant est connecté, double authentification comprise.

Une passkey ou une clé FIDO2 déjoue cette attaque : la clé est liée au nom de domaine du site sur lequel elle a été créée. Sur micr0soft-login.com, elle n'existe tout simplement pas, et rien ne peut être relayé.

L'ordre de priorité

Une double authentification faible vaut infiniment mieux que pas de double authentification : elle bloque l'immense majorité des attaques automatisées par mots de passe volés. Activez-la partout, puis remplacez progressivement les SMS par une application, et l'application par des passkeys ou des clés FIDO2, en commençant par les comptes les plus importants.

3. Passkeys et FIDO2 : le vocabulaire

Terme	Signification
FIDO2	La norme de la FIDO Alliance pour l'authentification sans mot de passe, composée de WebAuthn (côté navigateur et site) et CTAP (dialogue avec la clé)
Passkey (clé d'accès)	Le nom grand public d'un identifiant FIDO2 : une paire de clés, la privée reste chez vous, la publique est donnée au site
Passkey synchronisée	Stockée chiffrée dans un gestionnaire (trousseau iCloud, gestionnaire de mots de passe Google, Bitwarden…) et disponible sur tous vos appareils
Passkey liée à l'appareil	Ne quitte jamais l'appareil : clé de sécurité, puce sécurisée du téléphone (par exemple dans Microsoft Authenticator)
Identifiant découvrable (resident key)	Passkey stockée dans la clé de sécurité : elle permet de se connecter sans même saisir son nom d'utilisateur. Les clés ont un nombre limité d'emplacements
U2F	L'ancêtre de FIDO2 : la clé sert de second facteur après le mot de passe
Attestation	La preuve, fournie par la clé, de son modèle et de son fabricant ; les entreprises peuvent n'autoriser que certains modèles

4. Choisir une clé de sécurité

Fabricant	Pays	Particularités
Yubico (YubiKey)	Suède	La référence. Gamme YubiKey 5 : FIDO2, U2F, carte à puce (PIV), OpenPGP, codes TOTP et HOTP ; gamme Security Key limitée à FIDO2 et U2F. Versions certifiées FIPS
Token2	Suisse	Nombreux modèles FIDO2, dont certains avec de très nombreux emplacements de passkeys ; modèles avec lecteur d'empreinte
Nitrokey	Allemagne	Micrologiciel libre et vérifiable ; FIDO2, OpenPGP, TOTP selon les modèles
Feitian	Chine	Large gamme, dont des modèles biométriques ; très présent chez les intégrateurs
Google Titan	États-Unis	FIDO2 et U2F, simple, bien intégré à l'écosystème Google

Les critères

Critère	Ce qu'il faut regarder
Connectique	USB-A, USB-C, et NFC pour l'utiliser sur un téléphone ; format « nano » pour la laisser à demeure dans un portable
Nombre de passkeys	Les YubiKey en micrologiciel 5.7 et plus stockent jusqu'à 100 passkeys ; les versions antérieures, 25
Fonctions au-delà de FIDO2	Carte à puce PIV (Windows, VPN), OpenPGP (signature, SSH), codes TOTP stockés dans la clé
Certification	FIPS 140 ou CSPN pour certains environnements réglementés
Biométrie	Lecteur d'empreinte intégré : pratique si l'on ne veut pas de code PIN

Le micrologiciel d'une YubiKey ne se met pas à jour

Pour des raisons de sécurité, le micrologiciel d'une YubiKey est figé à la fabrication. Une clé achetée avec une ancienne version garde ses limites (nombre de passkeys, fonctions). Vérifiez la version annoncée avant l'achat.

Toujours deux clés

Achetez deux clés (ou une clé et une passkey sur le téléphone), enregistrez-les toutes les deux sur chaque compte, et gardez la seconde en lieu sûr. Conservez aussi les codes de récupération des services importants, imprimés ou dans le gestionnaire de mots de passe. Une clé perdue sans secours, c'est un compte perdu.

Configurer une clé

Installez Yubico Authenticator (Windows, macOS, Linux, mobiles) ou l'outil de votre fabricant.
Définissez un code PIN FIDO2 (au moins 6 caractères, pas 123456) : il est demandé à chaque utilisation et la clé se bloque après 8 essais ratés.
Sur chaque service, allez dans les réglages de sécurité et choisissez Ajouter une clé de sécurité ou Créer une passkey.

En ligne de commande avec l'outil ykman (YubiKey) :

ykman info
ykman fido access change-pin
ykman fido credentials list

5. Chez soi : par où commencer

La messagerie : c'est elle qui permet de réinitialiser tous les autres mots de passe.
Le gestionnaire de mots de passe (voir la fiche dédiée).
Les comptes Apple, Google ou Microsoft, qui donnent accès aux sauvegardes et aux appareils.
La banque, les impôts et services publics (avec les méthodes qu'ils imposent).
Les réseaux sociaux, le cloud, les boutiques en ligne.

Pour les codes TOTP, préférez une application qui sauvegarde ses codes chiffrés (Ente Auth, Aegis sous Android, l'application de votre gestionnaire de mots de passe) : un téléphone perdu ne doit pas vous enfermer dehors.

6. En entreprise avec Microsoft Entra ID

Microsoft retire les SMS et appels vocaux

Dans Entra ID, depuis le 1er septembre 2026, les passkeys deviennent la méthode par défaut et sont activées automatiquement pour les utilisateurs qui utilisaient SMS ou appel vocal. Le 1er février 2027, les SMS et appels vocaux fournis par Microsoft seront retirés pour tous les utilisateurs, sauf les administrateurs généraux et les utilisateurs externes (retrait le 1er juillet 2027). Après cette date, un utilisateur dont la seule méthode est le SMS devra créer une passkey pour se connecter. Les organisations qui tiennent aux SMS devront passer par un fournisseur de téléphonie tiers.

La démarche

Inventaire des méthodes utilisées : rapport Méthodes d'authentification > Activité dans le centre d'administration Entra, ou le script fourni par Microsoft pour repérer les utilisateurs SMS.
Stratégie des méthodes d'authentification (Protection > Méthodes d'authentification) : activer Passkey (FIDO2), Microsoft Authenticator (avec saisie du nombre, désormais imposée), Windows Hello for Business ; désactiver progressivement SMS, appel vocal et courriel.
Campagne d'inscription : demander aux utilisateurs d'enregistrer une passkey à la connexion.
Administrateurs d'abord : clés FIDO2 ou passkeys dans Microsoft Authenticator, exigées par l'accès conditionnel avec l'exigence d'authentification résistante à l'hameçonnage (fiche dédiée à venir).
Récupération de compte : définir comment un utilisateur qui a perdu sa clé retrouve l'accès (passe d'accès temporaire, Temporary Access Pass, délivré après vérification d'identité).

Population	Méthode conseillée par Microsoft
Administrateurs, utilisateurs à privilèges, secteurs réglementés	Clés de sécurité FIDO2, ou passkeys dans Microsoft Authenticator
Utilisateurs sur PC Windows de l'entreprise	Windows Hello for Business
Autres utilisateurs	Passkeys synchronisées ou dans Microsoft Authenticator

Windows Hello for Business

Il transforme le PC en clé de sécurité : la clé privée est stockée dans la puce TPM et déverrouillée par un code PIN local ou la biométrie. Le code PIN ne quitte jamais l'appareil : volé, il est inutile sans le PC. Pour l'accès aux ressources de l'AD local, le modèle confiance Kerberos cloud (cloud Kerberos trust) est aujourd'hui le plus simple à déployer.

7. Sous Linux : SSH et sudo avec une clé FIDO2

Depuis OpenSSH 8.2, une clé FIDO2 peut porter une clé SSH dont la partie privée ne quitte jamais la clé physique :

ssh-keygen -t ed25519-sk -O resident -O verify-required -C "spo-yubikey"

Option	Effet
`-t ed25519-sk`	Clé SSH adossée à la clé de sécurité (`-sk` : security key)
`-O resident`	La clé est stockée dans la clé de sécurité, récupérable sur un autre PC avec `ssh-keygen -K`
`-O verify-required`	Exige le code PIN en plus du toucher

Copiez ensuite la clé publique sur le serveur (ssh-copy-id), comme une clé classique (voir sécuriser SSH). Chaque connexion demandera de toucher la clé : un logiciel malveillant sur votre poste ne peut pas l'utiliser à votre insu.

Pour exiger la clé lors de sudo ou de l'ouverture de session locale, le module PAM pam_u2f (paquet libpam-u2f sous Debian et Ubuntu) s'ajoute aux fichiers de /etc/pam.d/. Testez-le dans un second terminal resté ouvert en root : une erreur dans PAM peut vous interdire toute connexion.

8. Les bonnes pratiques

Pratique	Pourquoi
Double authentification partout, en commençant par la messagerie et les administrateurs	Bloque l'essentiel des attaques par mots de passe volés
Méthodes résistantes à l'hameçonnage pour les administrateurs	Ce sont eux que visent les attaques sophistiquées
Deux clés par personne pour les comptes critiques, et codes de récupération conservés	Pas de compte perdu avec une clé
Désactiver progressivement SMS, appel vocal et courriel	Méthodes les plus faibles
Saisie du nombre pour les notifications	Contre la fatigue MFA
Procédure de récupération avec vérification d'identité	L'escroc qui appelle le support pour « réinitialiser sa double authentification » est une attaque classique
Ne jamais approuver une demande qu'on n'a pas initiée, et la signaler	C'est le signe que le mot de passe est déjà connu de l'attaquant

À retenir

Toute double authentification vaut mieux qu'aucune, mais SMS, codes et notifications sont contournables par les faux sites relais.
Passkeys et clés FIDO2 sont liées au vrai site : elles résistent à l'hameçonnage.
Une clé de sécurité se choisit selon la connectique (USB-C, NFC), le nombre de passkeys et les fonctions utiles ; prenez-en deux.
Entra ID passe aux passkeys par défaut depuis septembre 2026 et retire les SMS en février 2027.
Sous Linux, ssh-keygen -t ed25519-sk met votre clé SSH dans la clé de sécurité.

Sécurité / Fiche