Un collaborateur quitte l'entreprise. Son ordinateur portable professionnel est restitué, son compte utilisateur désactivé et ses droits d'accès révoqués. Mais qu'advient-il des passkeys synchronisées via des appareils privés ou des comptes cloud personnels ? Et qui s'assure que les mots de passe encore utilisés, les accès partagés et les informations de récupération restent protégés ?

De telles questions montrent que l'authentification moderne va bien au-delà de la simple procédure de connexion. Si les passkeys réduisent certains risques de sécurité liés aux mots de passe classiques, elles imposent aux entreprises de nouvelles exigences en matière d'organisation et de contrôle des accès numériques.

Le défi ne consiste donc pas à choisir entre passkeys et gestionnaires de mots de passe, mais à intégrer judicieusement les deux dans une stratégie d'accès sécurisée.

Les passkeys changent la connexion, mais pas l'ensemble du concept de sécurité

Les mots de passe classiques accompagnent les entreprises depuis des décennies. Ils permettent d'accéder aux applications, aux services cloud et aux systèmes internes. Dans le même temps, les mots de passe volés, réutilisés ou stockés de manière non sécurisée font partie des risques de sécurité les plus connus.

Les passkeys proposent une approche moderne à cet égard. Au lieu d'un mot de passe classique, elles utilisent des paires de clés cryptographiques. La clé publique est enregistrée auprès du service concerné, tandis que la clé privée reste protégée sur l'authentificateur utilisé.

La connexion est validée, par exemple, au moyen d'une empreinte digitale, de la reconnaissance faciale ou du code PIN de l'appareil. Le secret proprement dit n'a pas besoin d'être transmis au service en ligne.

Un avantage majeur réside dans leur résistance au phishing. Les passkeys sont liées au service concerné et ne peuvent donc pas simplement être interceptées et réutilisées sur une fausse page de connexion.

Une connexion sécurisée ne signifie toutefois pas automatiquement que l'ensemble des accès au sein d'une entreprise est organisé de manière sûre.

Les passkeys répondent avant tout à la question de savoir comment un utilisateur s'authentifie auprès d'un service. Les informations qu'il peut ensuite consulter ou modifier restent déterminées par les autorisations correspondantes.

Quand la connexion sécurisée devient un défi organisationnel

Dans la vie privée, les passkeys peuvent s'avérer particulièrement pratiques. Selon le fournisseur, elles peuvent être synchronisées sur plusieurs appareils et permettent de se connecter sans saisir manuellement de mot de passe.

Dans un environnement professionnel, d'autres facteurs entrent cependant en jeu.

Les passkeys professionnelles peuvent être stockées sur des appareils appartenant à l'entreprise ou sur des appareils privés. Certaines sont liées de manière permanente à un authentificateur spécifique, d'autres sont synchronisées de façon chiffrée entre plusieurs appareils.

Une question décisive se pose alors : de quel niveau de contrôle l'entreprise dispose-t-elle sur les méthodes de connexion utilisées ?

Si des passkeys professionnelles sont gérées via des comptes privés, les changements d'appareil, les procédures de récupération ou le départ de collaborateurs, par exemple, peuvent devenir plus difficiles à contrôler.

Avec les passkeys synchronisées, il n'est en outre pas toujours possible, selon l'environnement, de savoir précisément sur quels appareils se trouvent des copies. Les entreprises devraient donc définir quels appareils et fournisseurs sont autorisés pour les accès professionnels.

Parallèlement, des procédures doivent permettre de révoquer les passkeys enregistrées auprès des services concernés. On évite ainsi qu'une méthode de connexion qui n'est plus autorisée continue d'être utilisée pour l'accès en question.

Perte d'appareil, changements de personnel et offboarding : qui garde la vue d'ensemble ?

Un smartphone perdu ou un ordinateur portable endommagé ne doit pas avoir pour conséquence que des collaborateurs soient durablement privés d'accès à des applications critiques pour l'entreprise.

De même, la récupération d'un compte ne doit pas devenir une faille de sécurité.

Si une entreprise utilise des passkeys robustes mais ne vérifie l'identité que de manière insuffisante lors de la récupération d'un compte, des attaquants peuvent tenter d'exploiter cette voie alternative.

C'est pourquoi des procédures de récupération sécurisées font tout autant partie de l'introduction des passkeys que l'enregistrement lui-même.

Un offboarding bien encadré est en outre particulièrement important.

Lorsqu'un collaborateur est supprimé du système central de gestion des identités, les accès qui y sont liés peuvent être bloqués. Cependant, toutes les applications, tous les comptes créés séparément ou tous les accès partagés ne sont pas nécessairement rattachés à ce système.

Les entreprises doivent donc également vérifier s'il faut révoquer des méthodes de connexion supplémentaires, mettre fin à des sessions actives, supprimer des autorisations ou modifier des mots de passe partagés.

Il en va de même lors de changements de rôle en interne. Toute personne qui assume de nouvelles tâches au sein de l'entreprise ne devrait recevoir que les droits d'accès nécessaires à celles-ci.

Les passkeys améliorent l'authentification. Une gestion structurée des autorisations et des accès n'en demeure pas moins indispensable.

Pourquoi une gestion professionnelle des mots de passe reste nécessaire

La diffusion croissante des passkeys ne signifie pas que les mots de passe classiques vont disparaître à court terme.

De nombreuses applications d'entreprise, d'anciens systèmes informatiques et des solutions logicielles spécialisées reposent toujours sur un nom d'utilisateur et un mot de passe. À cela s'ajoutent des comptes professionnels partagés, des accès techniques et des informations de récupération.

Les entreprises continueront donc pendant encore longtemps à gérer en parallèle différents types d'identifiants.

C'est précisément là qu'un gestionnaire de mots de passe professionnel pour entreprises garde toute sa pertinence.

Au lieu de stocker les mots de passe dans des fichiers Excel, des notes personnelles ou des profils de navigateur privés, une gestion centralisée des mots de passe permet de mettre à disposition les identifiants professionnels de manière protégée et structurée.

Les solutions modernes pour entreprises offrent par exemple une organisation par équipes et par services, des droits d'accès basés sur les rôles ainsi que le partage contrôlé des mots de passe nécessaires.

Cela réduit la dépendance vis-à-vis de collaborateurs individuels et facilite la gestion des accès partagés.

L'administration informatique en tire également profit : les autorisations d'accès peuvent être organisées de manière plus transparente et, en cas de changements de personnel, les partages peuvent être ajustés de façon ciblée.

La gestion des mots de passe n'est donc pas seulement une mesure de protection technique, mais aussi un élément important de processus d'entreprise efficaces.

Un principe s'applique toutefois : un gestionnaire de mots de passe ne remplace ni une solution complète de gestion des identités et des accès (IAM), ni la gestion des terminaux professionnels. Ces différents systèmes se complètent au sein d'une stratégie de sécurité globale.

Passkeys et gestionnaires de mots de passe : complémentaires plutôt que concurrents

Le débat autour de l'authentification sans mot de passe donne parfois l'impression que les gestionnaires de mots de passe deviendront superflus à l'avenir.

Dans la pratique des entreprises, cette vision est toutefois réductrice.

Les passkeys résolvent certains problèmes de la connexion classique par mot de passe. Les gestionnaires de mots de passe, quant à eux, aident les entreprises à organiser de manière sécurisée les mots de passe et les informations d'accès professionnelles encore nécessaires.

Les deux approches remplissent donc des fonctions différentes.

Alors que les passkeys sécurisent la procédure de connexion aux services compatibles, une gestion professionnelle des mots de passe offre une base structurée pour l'administration des accès existants.

Selon la solution, les gestionnaires de mots de passe modernes peuvent en outre prendre en charge le stockage et l'utilisation de passkeys. Cette fonctionnalité n'est toutefois pas proposée par tous les fournisseurs.

Pour les entreprises, l'essentiel n'est donc pas de supprimer le plus rapidement possible tous les mots de passe. Il est bien plus important de disposer d'une stratégie d'accès qui tienne compte à la fois des applications existantes et des nouvelles méthodes d'authentification.

Cinq mesures pour une gestion sécurisée des accès

Les entreprises n'ont pas besoin de basculer du jour au lendemain l'ensemble de leur infrastructure informatique existante vers les passkeys. Une approche progressive réduit les risques organisationnels et permet une introduction maîtrisée.

Les mesures suivantes constituent une base solide :

1. Recenser les accès existants : vérifiez quelles applications prennent déjà en charge les passkeys et où des mots de passe classiques restent nécessaires. Tenez également compte des comptes techniques et des accès partagés.
2. Définir des directives claires concernant les appareils : déterminez si les passkeys professionnelles peuvent être stockées sur des appareils privés, quels fournisseurs sont autorisés et dans quels cas des passkeys liées à un appareil sont requises.
3. Encadrer la récupération et l'offboarding : définissez des processus contraignants pour la perte d'appareils, la récupération de comptes, les changements de rôle et les départs de collaborateurs. Examinez également les méthodes de connexion alternatives.
4. Centraliser la gestion des mots de passe : assurez-vous que les mots de passe encore nécessaires sont stockés de manière protégée, partagés de façon contrôlée et gérés de manière fiable lors de changements de personnel.
5. Évaluer l'introduction étape par étape : commencez par des groupes d'utilisateurs adaptés et vérifiez régulièrement si les procédures de connexion, les autorisations et les directives de sécurité répondent aux exigences opérationnelles.

Il est tout aussi important de vérifier les options de repli existantes. Si une méthode de connexion nettement plus faible reste active en parallèle d'une passkey, le gain de sécurité supplémentaire peut s'en trouver limité.

Conclusion : l'avenir appartient à une gestion maîtrisée des accès

Les passkeys constituent une avancée importante pour la sécurité numérique. Elles simplifient la connexion, réduisent la dépendance aux mots de passe classiques et compliquent considérablement certaines formes de phishing.

Pour les entreprises, le véritable défi ne réside toutefois pas uniquement dans l'introduction de nouvelles technologies. L'essentiel est de pouvoir gérer les accès professionnels de manière maîtrisée, indépendamment des appareils, des collaborateurs ou des méthodes de connexion.

Une gestion professionnelle des mots de passe reste à cet égard un élément important de la sécurité informatique. Car tant qu'il existera des mots de passe classiques, des accès partagés et d'autres informations d'accès sensibles, les entreprises auront besoin de règles claires pour leur stockage, leur utilisation et leur partage.

Les passkeys et les gestionnaires de mots de passe ne devraient donc pas être considérés comme opposés. Associés à la gestion des identités, à la gestion des appareils et à des concepts d'autorisation cohérents, ils constituent des éléments essentiels d'une informatique d'entreprise sécurisée.

Avec PassSecurium, les entreprises peuvent gérer de manière centralisée et protégée les mots de passe et accès professionnels dont elles ont encore besoin. Les autorisations basées sur les rôles et les partages contrôlés favorisent une gestion structurée des mots de passe, y compris pendant l'introduction progressive de méthodes d'authentification modernes.