Clés d'accès (passkeys) en entreprise : le guide de déploiement

Une clinique de physiothérapie de Québec a activé l'authentification multifacteur il y a deux ans. En mars, une physiothérapeute entre pourtant son mot de passe et son code à six chiffres sur une fausse page de connexion. Le fraudeur relaie les deux en temps réel et lit sa boîte courriel pendant trois jours.

Avec une clé d'accès (en anglais, passkey), cette attaque échoue : la clé est liée au vrai site, et la fausse page n'a rien à intercepter.

La technologie est mûre, offerte par Microsoft et par Google, et souvent sans frais supplémentaires. Ce qui fait la différence, c'est le déploiement. Voici comment le faire dans une PME, sans bloquer personne.

Qu'est-ce qu'une clé d'accès, et pourquoi en entreprise ?

Une clé d'accès est un identifiant de connexion fondé sur les normes FIDO, que la FIDO Alliance décrit comme résistant à l'hameçonnage par conception.

Le Centre canadien pour la cybersécurité précise, dans sa publication ITSAP.30.033 d'avril 2026, qu'elle repose sur la spécification d'authentification Web et qu'aucun mot de passe n'est transmis au fournisseur de services. Le site ne conserve qu'une clé publique ; la clé privée reste sur l'appareil ou dans le gestionnaire de l'utilisateur, qui la déverrouille avec son empreinte, son visage ou un NIP.

Pour une PME, l'intérêt est concret : plus de mots de passe à voler, plus de codes à relayer, moins d'appels pour des comptes verrouillés. Notre article pour choisir son MFA compare toutes les méthodes ; ici, on passe au déploiement.

Synchronisée ou liée à un appareil : quoi choisir pour qui

Il existe deux types de clés d'accès : les clés synchronisées, conservées dans un gestionnaire de mots de passe ou un compte infonuagique, et les clés liées à un appareil, comme une clé de sécurité physique, qui ne le quittent jamais.

Le Centre avertit que si le compte infonuagique qui protège une clé synchronisée a une sécurité faible, la clé peut être plus facile à obtenir. Microsoft ajoute que les clés synchronisées ne prennent pas en charge l'attestation, qui vérifie le fabricant et le modèle de l'authentificateur.

Prévoyez deux clés de sécurité par administrateur : une au porte-clés, une sous clé au bureau.

Déployer les clés d'accès dans Microsoft 365

Dans Microsoft 365, les clés d'accès s'activent dans la stratégie Passkey (FIDO2) des méthodes d'authentification de Microsoft Entra ID, et Microsoft précise qu'aucune licence supplémentaire n'est requise, même avec l'édition gratuite.

Les étapes, selon la documentation de Microsoft Learn :

1. Connectez-vous au centre d'administration Microsoft Entra avec au moins le rôle d'administrateur de stratégie d'authentification, puis ouvrez Entra ID, Sécurité, Méthodes d'authentification, Stratégies, Passkey (FIDO2).
2. Activez les profils de clé d'accès (passkey profiles). Ce choix est irréversible ; jusqu'à trois profils sont pris en charge, y compris le profil par défaut.
3. Créez un profil pour les administrateurs (lié à l'appareil, attestation imposée) et un autre pour le reste de l'équipe (synchronisé et lié à l'appareil).
4. Ciblez d'abord un groupe pilote, et réglez « Autoriser la configuration en libre-service » à Oui.
5. Les utilisateurs inscrivent leur clé dans Mes informations de sécurité ; ils doivent avoir fait une authentification multifacteur dans les cinq minutes précédentes. Pour les nouveaux employés, le passe d'accès temporaire (Temporary Access Pass) sert à amorcer l'inscription.
6. Exigez ensuite la clé d'accès avec une stratégie d'accès conditionnel et la force d'authentification intégrée « MFA résistante à l'hameçonnage », en commençant par les administrateurs. L'accès conditionnel exige Entra ID P1, inclus dans Business Premium.

Déployer les clés d'accès dans Google Workspace

Dans Google Workspace, les clés d'accès peuvent déjà servir de deuxième étape de la validation en deux étapes ; l'administrateur peut en plus permettre aux utilisateurs de sauter complètement le mot de passe.

• Sauter le mot de passe. Dans la console d'administration : Sécurité, Authentification, Sans mot de passe (Passwordless). Ce réglage était désactivé par défaut lors de son lancement en 2023. Chaque utilisateur doit ensuite l'activer et ajouter une clé d'accès à son compte. Google précise que cela ne désactive pas le mot de passe existant.
• Exiger une méthode forte. Dans les réglages de la validation en deux étapes, l'option « Only security key » accepte maintenant les clés de sécurité et les clés d'accès. Appliquez-la d'abord aux administrateurs.
• Attention au réglage « clés matérielles seulement ». Si vous limitez les clés d'accès aux clés de sécurité physiques, Google avertit que les clés enregistrées sur téléphones ou ordinateurs cesseront de fonctionner. Vérifiez d'abord qui a inscrit une clé.

Le plan de déploiement pour une PME

Un déploiement réussi tient en sept étapes, dans cet ordre, sur quelques semaines plutôt qu'en un vendredi après-midi.

• Inventaire : qui a un cellulaire d'entreprise, qui utilise un poste partagé, quelles applications ne prennent pas encore en charge les clés d'accès.
• Administrateurs d'abord : deux clés de sécurité chacun, inscrites et testées.
• Groupe pilote de trois à cinq personnes, dont au moins une peu à l'aise avec la technologie.
• Guide d'une page et dix minutes d'explication en réunion d'équipe.
• Processus de récupération écrit : vérification d'identité par rappel au numéro du dossier et approbation du gestionnaire, puis passe d'accès temporaire ou clé de secours.
• Retrait des méthodes faibles : texto et appel vocal, une fois tout le monde inscrit.
• Obligation pour les ressources sensibles, puis pour tous.

Le processus de récupération est le maillon le plus attaqué : un fraudeur qui imite la voix d'un employé au téléphone peut obtenir une nouvelle clé. Notre article sur la fraude par voix clonée explique comment s'en protéger.

Les pièges à éviter

Le piège principal est de déployer les clés d'accès en laissant toutes les anciennes méthodes en place : un attaquant choisira simplement la plus faible.

Le Centre canadien pour la cybersécurité le dit clairement : la disponibilité continue de méthodes d'authentification de rechange présente un risque résiduel. Il recommande aussi de garder les appareils à jour et de continuer à utiliser l'authentification multifacteur là où les clés d'accès ne sont pas encore offertes.

Autres pièges courants :

• des clés synchronisées dans des comptes Apple ou Google personnels mal protégés ;
• des invités externes : Microsoft indique que l'inscription de clés d'accès n'est pas prise en charge pour les utilisateurs invités ;
• un changement de nom d'utilisateur (UPN) dans Entra ID, qui oblige à supprimer et à réinscrire la clé ;
• aucune clé de secours pour les administrateurs.

Les clés d'accès protègent vos connexions, pas votre domaine : un fraudeur peut toujours envoyer des courriels en votre nom. Vérifiez cette protection avec notre vérificateur DMARC, SPF et DKIM, et consultez notre comparatif des méthodes MFA pour choisir les méthodes de secours.

Notre audit Microsoft 365 et Google Workspace vérifie vos méthodes d'authentification et votre accès conditionnel avant le déploiement. Vous préférez en parler en personne avec votre équipe ? Demandez une rencontre sur place.