Les mots de passe et passkeys ne s’opposent pas : les premiers sont encore nécessaires pour de nombreux services, les seconds les remplacent peu à peu sur les comptes qui les acceptent. Une passkey, ou clé d’accès, permet de se connecter avec l’empreinte digitale, le visage ou le code de son téléphone, sans rien saisir. Ce guide explique ce que recommandent la CNIL et Cybermalveillance.gouv.fr, comment choisir un gestionnaire de mots de passe et comment créer ses premières clés d’accès, en quinze minutes environ.
Mots de passe et passkeys : ce qui change pour se connecter
Un mot de passe est un secret que l’on tape et que le site compare à ce qu’il a enregistré. S’il est faible, réutilisé ou saisi sur un faux site, il peut être volé. La clé d’accès fonctionne autrement, avec la cryptographie à clé publique : l’appareil génère pour chaque compte une paire de clés, dont la clé privée ne le quitte pas. Le site ne connaît jamais ce secret, il vérifie seulement une signature.
Apple décrit ces clés comme hautement résistantes à l’hameçonnage, puisqu’aucun secret partagé n’est transmis pendant la connexion. Google va dans le même sens sur la page de son aide Compte Google : une clé d’accès ne peut pas être partagée, copiée, notée ni communiquée par erreur. Elle se déverrouille avec l’empreinte, la reconnaissance faciale ou le code de l’appareil.
Tous les sites n’acceptent pas encore les passkeys. Il faut donc, pour longtemps, savoir fabriquer un bon mot de passe et le protéger avec une seconde étape.
Un bon mot de passe selon la CNIL : la longueur avant la complexité
La CNIL a publié en 2022 une recommandation qui décrit trois cas de figure. Pour un mot de passe utilisé seul, elle retient au minimum 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux. Les deux autres cas sont des alternatives : 14 caractères sans caractère spécial obligatoire, à condition que le service limite les tentatives de connexion, ou une phrase de passe d’au moins 7 mots, associée à un blocage après trois essais ratés et à un matériel détenu par l’utilisateur. Dans les trois cas, c’est la longueur qui fait le gros du travail.
Sur son outil de génération de mots de passe, la CNIL propose une méthode simple : choisir une phrase facile à mémoriser, avec des majuscules, des nombres et de la ponctuation, puis garder la première lettre de chaque mot ainsi que les chiffres et les signes. Elle conseille de viser au moins 12 caractères, avec un nombre, une majuscule et un signe de ponctuation ou un caractère spécial.
Voici les motifs à éviter, cités par la CNIL :
- Les nombres entre 1950 et 2049, très utilisés dans les mots de passe.
- Quatre chiffres consécutifs, comme 1234 ou 5678.
- Quatre lettres consécutives de l’alphabet, comme abc ou xyz.
- Les suites de touches du clavier, comme azerty ou qwerty.
- Les caractères identiques répétés, comme aaaa ou zzzz.
La recommandation abandonne par ailleurs le renouvellement périodique obligatoire pour les utilisateurs ordinaires : des changements forcés réduisent la sécurité réelle, et la CNIL le réserve aux comptes d’administration. Changer un mot de passe est en revanche indispensable dès qu’un compte semble compromis.
Un seul mot de passe à retenir : le gestionnaire
Impossible de retenir des dizaines de mots de passe de 12 caractères et plus, tous différents. Cybermalveillance.gouv.fr rappelle pourtant le principe : un mot de passe par service, pour qu’en cas de vol d’un seul, seul le service concerné soit vulnérable. La CNIL en tire la conclusion qui s’impose avec ses cinq arguments pour adopter un gestionnaire : l’outil stocke tous les mots de passe en les chiffrant, génère des mots de passe robustes, remplit automatiquement les identifiants et fonctionne sur le téléphone, la tablette et l’ordinateur.
Il suffit alors de retenir un mot de passe maître, d’au moins 12 caractères avec des chiffres et des caractères spéciaux. Mieux vaut le choisir avec la méthode de la phrase de passe, et ne l’utiliser nulle part ailleurs.
Plusieurs solutions existent, dont voici trois présentées sur leurs sites officiels :
- KeePassXC : un gestionnaire gratuit, recommandé par Cybermalveillance.gouv.fr et indiqué comme certifié par l’ANSSI. Il se télécharge sur le site officiel de KeePassXC, stocke les données sur l’ordinateur et convient à ceux qui veulent garder la main.
- Bitwarden : un gestionnaire open source dont le code est consultable et dont les audits de sécurité sont publiés. Une version gratuite existe. Le site de Bitwarden indique qu’il fonctionne sur Windows, Mac, Linux, Android, iPhone et iPad, avec connexion par clé d’accès.
- Proton Pass : une offre gratuite avec connexions et appareils illimités, un générateur de mots de passe et la prise en charge des passkeys, détaillées sur la page de Proton Pass, avec un chiffrement de bout en bout.
Les gestionnaires intégrés à Google et à Apple font aussi le travail. Le gestionnaire de mots de passe de Google enregistre les mots de passe et les clés d’accès de votre compte. Il les rend disponibles sur tous les appareils où vous êtes connecté avec le même compte.
Activer la double authentification, en priorité sur la messagerie
Un mot de passe, même excellent, peut fuiter. La double authentification ajoute une seconde preuve à la connexion : un code reçu par SMS, un code produit par une application dédiée ou une vérification biométrique. Cybermalveillance.gouv.fr dresse la liste des services qui la proposent, parmi lesquels Gmail, Facebook, Amazon et iCloud. La CNIL encourage elle aussi cette double authentification dès que c’est possible, en particulier pour les services à risque comme la messagerie ou le gestionnaire de mots de passe.
La messagerie mérite la première place dans la liste. Cybermalveillance.gouv.fr la qualifie de l’un des comptes les plus importants à protéger, parce que c’est elle qui sert à réinitialiser les mots de passe de tous les autres services. Quelqu’un qui contrôle votre boîte mail peut demander un nouveau mot de passe pour chacun de vos comptes.
Créer ses premières clés d’accès, pas à pas
Le plus simple est de commencer par les comptes principaux, ceux de Google et d’Apple, qui prennent en charge les passkeys depuis plusieurs années.
1. Compte Google : ouvrez la page myaccount.google.com/signinoptions/passkeys et choisissez « Créer une clé d’accès », puis déverrouillez l’appareil pour confirmer. Google indique que les clés d’accès se configurent sur les téléphones sous Android 9 ou plus et iOS 16 ou plus. Elles fonctionnent aussi sur les ordinateurs sous Windows 10, macOS Ventura ou ChromeOS 109 et plus, ou avec une clé de sécurité FIDO2. 2. Compte Apple : les clés d’accès sont enregistrées dans le Trousseau iCloud, chiffrées et invisibles pour Apple, et se retrouvent sur tous les appareils connectés au même compte Apple. L’iPhone demande que le Trousseau iCloud et l’authentification à deux facteurs soient activés, puis la connexion se fait avec Face ID, Touch ID ou le code de l’appareil. 3. Les autres sites : quand un service propose une clé d’accès à la connexion, il suffit d’accepter et de déverrouiller l’appareil. Le gestionnaire de mots de passe peut aussi les stocker.
Une fois la clé créée, la connexion sur le compte Google se résume à saisir l’identifiant puis à valider avec la biométrie. Pour se connecter à un ordinateur avec son téléphone, Google indique qu’un code QR s’affiche et qu’il suffit de le scanner.
Que faire si l’on perd son téléphone ou si un compte est piraté
Pour un compte Google, connectez-vous depuis un autre appareil et supprimez la clé d’accès de l’appareil perdu. Elle se trouve dans Sécurité et connexion, rubrique Clés d’accès et clés de sécurité. Côté Apple, si tous les appareils sont perdus, les clés d’accès se récupèrent grâce au service de récupération du Trousseau iCloud. Il exige le mot de passe iCloud, une vérification par SMS et le code de l’appareil.
En cas de soupçon de piratage d’un compte, Cybermalveillance.gouv.fr conseille de changer immédiatement le mot de passe concerné. Pour savoir si une adresse e-mail apparaît dans une fuite de données, le service gratuit Have I Been Pwned permet de la vérifier en ne demandant que l’adresse. Si elle figure dans une fuite, changez le mot de passe du service concerné et de tous ceux où vous l’aviez réutilisé.
Les attaques passent souvent par un message trompeur plutôt que par un code cassé. Notre guide des arnaques et du phishing détaille les signaux d’alerte, et notre guide des cookies et des bannières explique comment limiter le suivi sur les sites visités.
Les cinq réglages à faire dès aujourd’hui
- Changez le mot de passe de votre messagerie pour une phrase de passe d’au moins 12 caractères, utilisée nulle part ailleurs.
- Installez un gestionnaire de mots de passe et importez les comptes importants.
- Activez la double authentification sur la messagerie, la banque, les réseaux sociaux et les comptes Google et Apple.
- Créez une clé d’accès sur Google et Apple, puis sur chaque service qui la propose.
- Vérifiez si votre adresse figure dans une fuite de données.
Pour aller plus loin sur la sécurité du téléphone lui-même, notre dossier pour choisir, sécuriser et revendre son smartphone couvre le verrouillage, les sauvegardes et la revente.
FAQ
Qu’est-ce qu’une passkey exactement ?
Une passkey, ou clé d’accès, est un identifiant de connexion basé sur la cryptographie à clé publique. L’appareil génère une paire de clés pour chaque compte, la clé privée ne le quitte pas, et le site vérifie une signature. On la déverrouille avec l’empreinte, le visage ou le code de l’appareil.
Les passkeys remplacent-elles totalement les mots de passe ?
Pas encore. Beaucoup de sites n’acceptent pas les clés d’accès, et certains comptes les proposent en plus du mot de passe. Un mot de passe solide, couplé à la double authentification, reste donc nécessaire.
Quelle longueur faut-il pour un mot de passe solide ?
Pour un mot de passe utilisé seul, la CNIL retient au moins 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux. Elle admet aussi 14 caractères quand le service limite les tentatives, ou une phrase de passe d’au moins 7 mots dans un dispositif plus encadré.
Faut-il changer régulièrement ses mots de passe ?
Non pour un utilisateur ordinaire : la recommandation de la CNIL abandonne le renouvellement périodique, réservé aux comptes d’administration. Il faut en revanche changer un mot de passe dès qu’un doute apparaît sur un compte.
Un gestionnaire de mots de passe est-il sûr ?
Il chiffre les mots de passe qu’il stocke, ce qui évite de les retenir ou de les noter. Son efficacité repose sur un mot de passe maître robuste, d’au moins 12 caractères, utilisé uniquement pour lui.
Sources : CNIL (recommandation sur les mots de passe, générateur, cinq arguments pour un gestionnaire), Cybermalveillance.gouv.fr (bonnes pratiques sur les mots de passe), pages d’aide de Google et d’Apple sur les clés d’accès, sites de KeePassXC, Bitwarden, Proton Pass et Have I Been Pwned, consultés le 6 octobre 2026.