es clés d'accès (Passkeys) sont des identifiants WebAuthn/FIDO2 qui remplacent les mots de passe et les codes à usage unique par un système de cryptographie à clé publique lié à l'appareil, empêchant ainsi toute saisie ou transmission d'informations sensibles. En 2026, elles remplaceront les codes OTP par SMS pour la connexion aux comptes, tandis que les SMS resteront une solution de repli et un canal de revérification lorsque la couverture des clés d'accès, la récupération de compte ou la connexion multi-appareils présentent encore des lacunes.
Qu'est-ce qu'un mot de passe exactement ?
Une clé d'accès est un identifiant défini par la norme d'authentification Web (WebAuthn) du W3C et les spécifications FIDO2 de l'Alliance FIDO. Lors de l'inscription d'un utilisateur, l'appareil génère une paire de clés publique/privée : la clé privée reste toujours dans l'authentificateur (téléphone, ordinateur portable ou clé matérielle) et est déverrouillée par une authentification biométrique locale ou un code PIN ; la clé publique est stockée par le site web. L'authentification repose sur un système de défi-réponse cryptographique, ce qui empêche le vol, l'hameçonnage ou la réutilisation de la clé secrète partagée.
Il existe deux types de clés d'accès. Les clés synchronisées sont accessibles sur tous les appareils de l'utilisateur via un trousseau d'accès partagé, ce qui résout le problème de perte et de récupération qui limitait l'utilisation des clés matérielles. Les clés d'accès liées à un appareil restent sur un seul authentificateur et conviennent aux cas d'utilisation nécessitant une sécurité maximale. Les deux types de clés sont résistants au phishing car l'identifiant est cryptographiquement limité au site précis pour lequel il a été créé ; il ne sera pas diffusé sur un domaine similaire.
Pourquoi le secteur a abandonné les SMS OTP
Les mots de passe à usage unique par SMS présentent une faille structurelle : le secret est un code court qu’un humain peut être amené à révéler par ruse, et le système de transmission n’a jamais été conçu pour résister au phishing. Plusieurs facteurs ont convergé pour inciter les flux à haute sécurité à l’abandonner.
- La norme NIST SP 800-63-4, finalisée en juillet 2025, classe les codes d'accès SMS à usage unique comme un authentificateur restreint qui ne répond pas, à lui seul, aux exigences de l'authentification AAL2 résistante au phishing.
- L'alliance FIDO considère les clés d'accès comme résistantes au phishing par conception, car l'identifiant ne peut être communiqué à une origine frauduleuse.
- Les fraudes par échange de carte SIM et interception de codes OTP permettent aux attaquants de recevoir des codes sans aucun accès à l'appareil de la victime — une menace que les mots de passe éliminent structurellement.
- Le « SMS pumping » (trafic artificiellement gonflé) a transformé chaque envoi d'OTP en une surface d'attaque facturable, ajoutant une incitation directe en termes de coûts à réduire le volume d'OTP.
Clés d'accès vs SMS OTP, côte à côte
| Dimension | Code OTP par SMS | Clé d'accès (WebAuthn/FIDO2) |
|---|---|---|
| Modèle secret | Code partagé, saisi par l'homme | Clé privée, jamais transmise |
| Résistance au phishing | Low — le code peut être manipulé socialement | Niveau élevé — titre lié à l'origine |
| Exposition au changement de carte SIM | Vulnérable | Non applicable — aucune dépendance au numéro de téléphone |
| friction de l'utilisateur | Attendez, lisez et saisissez un code | Un geste biométrique/code PIN |
| Atteindre | Universel — tout téléphone portable doté d'un signal | Nécessite un appareil enregistré et compatible |
| Meilleur rôle | Repli, récupération et revérification | Connexion au compte principal |
Le compromis réside dans la portée face à la résistance. Un code d'accès est plus robuste, mais exige que l'utilisateur ait enregistré un appareil compatible et l'ait à portée de main ; les SMS sont accessibles depuis n'importe quel téléphone disposant d'un réseau, mais présentent les faiblesses mentionnées précédemment. C'est précisément cette différence qui explique pourquoi les deux systèmes coexistent plutôt que l'un ne remplace l'autre.
À quoi servent encore les SMS dans un monde à code secret ?
Supprimer l'authentification par SMS (OTP) de la connexion principale ne supprime pas les SMS du système. Leur rôle évolue : d'identifiant principal, ils deviennent un outil de gestion du cycle de vie des identifiants et prennent en charge les situations où les clés d'accès sont inopérantes.
- Récupération de compte — lorsqu'un utilisateur perd tous les appareils contenant sa clé d'accès, un numéro de téléphone vérifié est une méthode de récupération courante et bien comprise pour accéder à son compte.
- Initialisation multi-appareils — la confirmation d'un numéro de téléphone permet d'établir un nouvel appareil avant qu'une clé d'accès ne soit enregistrée sur celui-ci.
- Solution de repli pour les utilisateurs non inscrits — les utilisateurs qui n'ont pas encore créé de clé d'accès ou qui utilisent un appareil emprunté ont toujours besoin d'un moyen de connexion fonctionnel.
- Renforcement et revérification — un deuxième signal d'alerte pour une action risquée, qui se superpose à la clé d'accès plutôt que de la remplacer.
- Notifications et alertes transactionnelles — mises à jour de livraison, alertes de fraude et confirmations qui n'ont jamais constitué une authentification.
La pile OTP et vérification de BroadNet exécute d'abord l'authentification réseau silencieuse avec un repli SMS automatique, de sorte que là où vous avez encore besoin d'un facteur de numéro de téléphone — récupération, amorçage ou mise à niveau — vous obtenez une vérification réseau résistante au phishing là où les opérateurs la prennent en charge et une portée SMS garantie partout ailleurs, à partir d'une seule intégration.
Comment séquencer la migration
Commencez par classer les flux selon leur niveau de sécurité requis. Déplacez l'authentification principale des comptes sensibles vers des clés d'accès, conservez l'authentification par numéro de téléphone pour la récupération et les utilisateurs non inscrits, et considérez les SMS comme un moyen d'authentification moins sécurisé, conformément aux normes actuelles, plutôt que comme le point d'entrée principal. Si vous êtes encore en train de concevoir la couche d'authentification par numéro de téléphone, notre réponse à la question qu'est-ce qu'un OTP présente les différentes options, la vérification par numéro explique l'alternative réseau aux codes, et la solution de vérification clé en main MyOTP de BroadNet gère la distribution de secours afin que vous puissiez vous concentrer sur le déploiement des clés d'accès.
Foire aux questions
Les clés d'accès remplacent-elles complètement les mots de passe à usage unique par SMS ?
Pas entièrement. Les clés d'accès remplacent les mots de passe à usage unique par SMS pour la connexion principale, mais les SMS conservent un rôle pour la récupération de compte, l'initialisation multi-appareils, la vérification renforcée et pour contacter les utilisateurs n'ayant pas enregistré de clé d'accès. En 2026, le modèle réaliste sera l'authentification par clé d'accès en premier lieu, le numéro de téléphone étant conservé comme méthode de secours moins sécurisée plutôt que comme identifiant principal.
Les mots de passe sont-ils résistants au phishing ?
Oui. Une clé d'accès est liée cryptographiquement à l'origine précise pour laquelle elle a été créée ; elle ne divulguera donc pas sa signature à un domaine frauduleux ou similaire, ce qui neutralise le mécanisme permettant le phishing et les attaques de type « homme du milieu ». L'Alliance FIDO et le W3C WebAuthn conçoivent les clés d'accès pour qu'elles soient résistantes au phishing dès leur conception, contrairement aux mots de passe à usage unique par SMS.
Que devient le code OTP par SMS pour la récupération de compte ?
Il est généralement conservé. Lorsqu'un utilisateur perd tous ses appareils contenant ses identifiants, un numéro de téléphone pré-vérifié constitue une méthode de récupération courante. Le principal changement réside dans son champ d'application : les SMS servent désormais à rétablir l'accès après des vérifications supplémentaires, et non plus comme moyen de connexion quotidien. Ainsi, leur exposition au phishing et au pumping est limitée à un flux restreint et surveillé.
Le NIST autorise-t-il toujours l'authentification par SMS ?
L'utilisation des SMS est autorisée, mais soumise à restrictions. La norme NIST SP 800-63-4 (finalisée en juillet 2025) considère les codes d'accès à usage unique par SMS comme un moyen d'authentification restreint qui, à lui seul, ne répond pas aux exigences de niveau de sécurité AAL2 en matière de résistance au phishing. Ils peuvent néanmoins servir de méthode d'authentification de moindre sécurité ou de solution de repli, rôle qu'ils conservent précisément en complément des clés d'accès.
Références
- FIDO Alliance — Présentation de Passkeys : fidoalliance.org
- W3C — Authentification Web (WebAuthn) Niveau 3 : w3.org
- NIST — SP 800-63-4 Lignes directrices sur l'identité numérique (version finale, juillet 2025) : csrc.nist.gov
- IETF — RFC 6238, TOTP : Algorithme de mot de passe à usage unique basé sur le temps : datatracker.ietf.org