Une authentification sans mot de passe, enfin industrialisable

Le rapport State of Passkeys 2026, publié par la FIDO Alliance à l'occasion du World Passkey Day (7 mai 2026), documente une adoption qui sort du stade expérimental :

Environ 5 milliards de passkeys en usage dans le monde (estimation FIDO Alliance).
68 % des organisations interrogées ont déployé ou déploient activement des passkeys pour la connexion de leurs employés.
Parmi les structures ayant déployé des passkeys, 32 % signalent une baisse des incidents liés au phishing.

Ces chiffres proviennent d'études menées en avril 2026 (11 000 consommateurs et 1 400 décideurs dans dix pays). Pour une PME ou une équipe produit, le sujet n'est plus théorique : les passkeys deviennent un levier concret pour réduire le phishing et simplifier l'expérience de connexion.

Ce que changent les passkeys

Les passkeys s'appuient sur FIDO2 et la cryptographie asymétrique : clé publique côté serveur, clé privée sur l'appareil de l'utilisateur. Le secret n'est plus réutilisable sur plusieurs services, ce qui change la donne face aux campagnes de credential stuffing.

Sécurité

Moins de dépendance aux mots de passe réutilisés. Une compromission serveur n'expose pas un secret réutilisable sur d'autres comptes.

Expérience utilisateur

Connexion biométrique ou code appareil, sans mémorisation de dizaines de mots de passe. Moins de tickets « mot de passe oublié ».

Conformité et coût

Renforcement crédible des contrôles d'accès et des exigences clients. Selon la FIDO Alliance, 35 % des organisations déployées constatent moins de tickets de réinitialisation de mot de passe.

Déploiement en quatre étapes

Cartographier les accès critiques

Lister les applications exposées (SaaS, VPN, messagerie, back-office).
Identifier les parcours encore 100 % mot de passe et les dépendances SSO.

Choisir l'implémentation technique

Privilégier WebAuthn et des fournisseurs compatibles FIDO2.
Prévoir un plan de secours documenté (récupération, support, journalisation).

Former et accompagner les équipes

Expliquer le geste utilisateur (biométrie, appareil de confiance).
Anticiper le changement d'habitude sur mobile et poste de travail.

Mesurer et ajuster

Suivre le taux de succès de connexion, les incidents et le volume support.
Ajuster les politiques selon les retours terrain.

Cas d'usage en entreprise

Les passkeys sécurisent l'accès aux applications métier (CRM, RH, outils internes) et le télétravail, où l'authentification doit rester simple sans affaiblir le niveau de protection.

PME et ETI

Adoption progressive sans refonte complète : pilote sur un service, extension ensuite aux autres applications.

Références marché

Des acteurs majeurs (Google, Microsoft, Apple) ont intégré les passkeys à grande échelle, ce qui accélère la compatibilité côté utilisateurs.

Pour aller plus loin sur le blog

Pour replacer les passkeys dans le contexte des menaces actuelles, lisez Cyberattaques 2026 : l'identité comme cible et Vulnérabilité Redis Cloud.

Sources

Les passkeys ne suppriment pas tous les risques, mais elles réduisent une part importante des attaques liées aux mots de passe. En 2026, l'avantage compétitif va aux organisations qui les pilotent avec méthode, pas celles qui attendent la contrainte réglementaire.

Les passkeys en entreprise en 2026