L'avenir sans mot de passe : Une FAQ complète sur les clés USB

Qu'est-ce qu'une clé de sécurité et comment fonctionne-t-elle ?

Les Passkeys sont une forme d'authentification qui vous permet de créer et de vous connecter rapidement à des comptes, sans avoir à utiliser un mot de passe moins sûr. Cette méthode de connexion sécurisée en une seule étape remplace les méthodes d'authentification traditionnelles, ainsi que le processus d'authentification à deux facteurs (2FA). Mieux encore, avec les passkeys, vous ne créerez plus jamais de mot de passe faible, car vous n'aurez plus jamais besoin de créer un mot de passe.

Les passkeys remplacent-ils les clés matérielles, comme les Yubikeys ?

Un Yubikey moderne peut être utilisé comme une forme de passe-partout. Plus précisément, il s'agit de ce que l'on appelle une clé de sécurité ou une "clé de passage liée à l'appareil", c'est-à-dire que la clé elle-même vit sur le petit appareil et n'est jamais synchronisée ni sauvegardée. Cela peut les rendre plus difficiles à utiliser qu'un passe synchrone, mais ils peuvent être utiles dans certains scénarios.

Les passkeys sont-ils la même chose que l'absence de mot de passe ?

Oui. Les passkeys ne nécessitant pas de mot de passe, ils sont considérés comme une méthode d'authentification sans mot de passe. Notez que les clés USB sont en général plus sûres que les autres moyens d'authentification sans mot de passe, qui peuvent plus facilement être piratés.

Quelle est la meilleure façon d'utiliser les passkeys ?

L'utilisation d'un passe est beaucoup plus simple que vous ne le pensez. Lorsque vous vous inscrivez pour un nouveau compte, au lieu de créer un nom d'utilisateur et un mot de passe traditionnels (et l'inscription supplémentaire en deux étapes), vous créez une clé unique. Cette clé peut être associée aux données biométriques de votre appareil (comme un scanner d'empreintes digitales) ou à un code PIN si la clé nécessite une vérification de la part de l'utilisateur. Ainsi, lorsque vous vous connecterez à votre compte, il vous suffira de vous authentifier au moyen de la biométrie ou d'un code PIN pour accéder à votre compte. Les données biométriques ne sont utilisées que localement sur votre appareil et ne sont jamais envoyées au site web.

Quelle est la procédure à suivre pour créer un passe ? Comment ce processus changera-t-il lorsque je me rendrai sur un site ou une application à l'avenir ?

Lorsqu'un site web ou une application qui utilisait auparavant un nom d'utilisateur/mot de passe traditionnel prend en charge les passkeys, il suffit souvent de cliquer sur un bouton pour créer son premier passkey. La procédure est aussi simple que de déverrouiller votre appareil. En arrière-plan, lorsque vous créez un passkey, il génère une paire de clés cryptographiques. La première est la clé publique, qui est stockée sur le site web pour lequel vous créez le compte. La seconde est la clé privée, qui est stockée sur votre appareil ou dans votre coffre-fort Bitwarden. Cette paire de clés est protégée sur votre appareil par votre empreinte biométrique ou votre balayage du visage.

Quelles sont les informations requises lors de la création d'un passe ?

Lorsque vous créez un mot de passe pour un site, vous devez d'abord vous connecter avec votre nom d'utilisateur et votre mot de passe existants. Le serveur envoie alors une demande à votre navigateur pour qu'il fournisse des informations spécifiques sur le cryptage. Vous devrez alors approuver la demande en utilisant, par exemple, des données biométriques (scanner d'empreintes digitales ou déverrouillage du visage) ou le code PIN de votre appareil. Une fois la vérification réussie, votre appareil génère la paire de clés et envoie la clé publique au site. Ce sont là toutes les informations que vous devrez fournir lors de la création d'un passe.

Où sont stockés mes codes d'accès ?

La clé publique est stockée sur le site web et la clé privée est stockée sur votre appareil ou dans votre fournisseur de clés, par exemple votre coffre-fort Bitwarden.

From a security perspective, how do passwords and passkeys compare?

Passkeys are more secure than the traditional username/password authentication method for a number of reasons. First and foremost, you won't be able to use easy-to-crack passwords, such as “password.” Also, 2FA is built into the passkey and the only way someone could access your account would be to have both the private key and your biometric login or device pin code.

Do I need 2FA with my passkey?

No, because 2FA is built into the passkey that is provided to the website during the login process. Each website may choose to include an additional step for logging in, though most do not.

Can my passkey be hacked?

Nothing is 100% foolproof. However, hacking a passkey would require considerable effort to not only gain access to the device where the private key is stored but to also break into your device, e.g. recreating your biometric login (fingerprint or face) or device pin code. Because of this, passkeys are far more secure than traditional methods.

What happens if I lose my phone? How do I recover my passkey with nothing like a password to identify myself?

Passkeys are often able to sync across your devices, however not all platforms support this yet. Bitwarden will allow you to store your passkeys in your vault that is backed up and syncs between all your devices. Should you somehow lose your passkeys, most sites should have recovery options, so you can create a new passkey for your account. This will, of course, be on a site-by-site basis. 

What happens if my device is stolen? Can a thief gain access to passkeys in that way?

The only way a thief could successfully use your passkeys on your device is if they can also unlock your device, effectively gaining full access to your data. However, each use of a passkey often requires user verification such as biometrics or re-entry of your device pin, so stealing your device while unlocked would not be enough.

Google recently announced passkey support. Is this the same thing that Bitwarden is announcing?

Partly. Google announced that it has added support for passkey authentication for Workspaces accounts, meaning users can sign into their Google Workspace with a passkey instead of their usual password. Similarly, Bitwarden users will be able to access their Bitwarden accounts with a passkey instead of their master password. 

Bitwarden also announced that users will be able to save, store, and manage registered passkeys associated with the websites and applications they use right within their vaults. So, Google now makes it possible to use passkeys for accounts and Bitwarden is capable of storing passkeys in vaults.

Do I use the same passkey regardless of the browser I’m on or will each site require a different passkey depending on the browser or device?

The passkeys stored in Bitwarden are synced passkeys, meaning that any browser where you are logged into the Bitwarden extension or where you have the Bitwarden mobile app installed, you can access your accounts using the same passkeys without needing to create new ones. If you don’t store your passkeys in Bitwarden it will depend on how well the browser integrates with your device OS (where the passkeys are stored).

The growing list of sites that support passkeys at the moment include Best Buy, Cloudflare, eBay, Google, Kayak, PayPal, and GitHub. A community-sourced Passkey Index is available on

Users can use a passkey to access their accounts without a master password for the web app using supported browsers. Passkeys can also be created and stored in Bitwarden vaults for accessing sites supporting passkeys.

Can passkeys be used across platforms? If not, are there any issues with having different passkeys depending on the platform you’re using?

There are two types of passkeys, device-bound passkeys and synced passkeys. Device-bound passkeys are limited to the device where they were created. Synced passkeys can be stored inside a passkey provider like Bitwarden, and used wherever they are logged in.

Will I be locked into using passkeys if I adopt it?

That will depend on the site or the account. Some sites may only choose to offer passkey authentication, while others may offer traditional username/password authentication, username/password/2FA authentication.

Can passkeys be shared with other trusted individuals?

That depends on the platform. Some platforms, including Bitwarden, make it possible to share passkeys with trusted individuals. 

Is there support, such as a live chat representative to speak with if I’m having trouble with my passkey?

That will depend on the site. If a site supports passkey authentication and they offer support, they will be able to answer your questions regarding passkey authentication for that particular site.

If I no longer want to use my passkey, can I remove it?

Yes. This will be done in the same way you would remove a password on your device.