Le 7 mai 2026, jour du World Passkey Day, la FIDO Alliance a annoncé un cap inédit : 5 milliards de passkeys sont désormais actifs dans le monde. Ce chiffre acte un basculement de l’authentification en ligne, amorcé depuis 2022 avec l’arrivée du standard FIDO2/WebAuthn chez les grands éditeurs. Mais derrière cette statistique globale se cache un décrochage français. Seuls 64 % des internautes français ont activé une passkey sur au moins un compte, contre 69 % en moyenne mondiale et 77 % au Royaume-Uni. Entre verrou réglementaire bancaire, prudence de la CNIL et inertie des habitudes, le passage au sans-mot-de-passe avance à deux vitesses en Europe.
Le cap symbolique des 5 milliards de passkeys actifs
L’annonce de la FIDO Alliance, publiée le 7 mai 2026 à l’occasion du World Passkey Day, marque un tournant. En quatre ans, la passkey est passée d’un gadget de développeur à un outil d’authentification que la moitié de la planète a déjà essayé. Le communiqué, intitulé Five Billion Passkeys: A Milestone, Not a Finish Line, insiste sur le mot “milestone” plutôt que sur une victoire définitive. L’organisation rappelle que la technologie repose sur une paire de clés cryptographiques générée localement, où la clé privée ne quitte jamais l’appareil de l’utilisateur.
Ce chiffre de 5 milliards inclut les comptes personnels chez Google, Amazon, Microsoft, Apple et Meta, mais aussi un nombre croissant de déploiements en entreprise. La progression s’est accélérée après l’adoption généralisée du standard par les navigateurs et les systèmes d’exploitation mobiles entre 2023 et 2025. Pour la cryptographie appliquée, cette bascule confirme un principe déjà connu des chercheurs en sécurité : remplacer un secret partagé et statique par une signature à clé publique change fondamentalement la surface d’attaque disponible pour un pirate.
Le rapport State of Passkeys 2026 de la FIDO Alliance, chiffre par chiffre
Le même jour, la FIDO Alliance a publié son étude annuelle, The State of Passkeys 2026: Global Consumer and Workforce Report. Le document dresse un état des lieux détaillé côté grand public et côté entreprise. Côté consommateurs, 90 % des personnes interrogées connaissent désormais le principe des passkeys, 75 % en ont activé au moins une sur un compte, et 49 % déclarent les utiliser régulièrement dès qu’elles sont proposées.
Côté entreprises, 68 % des organisations sondées déploient, pilotent ou ont déjà lancé les passkeys pour l’authentification de leurs salariés. Parmi elles, 82 % citent le zéro mot de passe comme objectif final, et 28 % affirment l’avoir déjà atteint pour une partie de leur parc. Ces chiffres s’appuient sur une base posée en octobre 2025 par le Passkey Index de la FIDO Alliance : parmi les organisations contributrices, 93 % des comptes étaient techniquement éligibles aux passkeys, 36 % en avaient effectivement une d’enregistrée, et 26 % des connexions totales passaient déjà par ce mécanisme. Autre donnée retenue par le rapport : 48 % des cent sites web les plus visités au monde acceptent désormais une passkey en connexion, un taux plus que doublé depuis 2022.
Comment fonctionne un passkey : la fin du secret partagé
Un mot de passe classique repose sur un secret partagé : l’utilisateur et le serveur connaissent (ou stockent sous forme hachée) la même chaîne de caractères. Une passkey change de logique. Elle s’appuie sur la cryptographie asymétrique, la même famille mathématique que celle utilisée pour signer des transactions ou chiffrer des communications.
La paire de clés publique/privée
Lors de l’enregistrement, l’appareil génère une paire de clés liée au site précis. La clé publique part vers le serveur, la clé privée reste enfermée dans une puce sécurisée ou un gestionnaire d’identifiants. À chaque connexion, le service envoie un défi aléatoire, que l’appareil signe avec la clé privée à l’aide d’algorithmes de signature comme ECDSA ou EdDSA. Le serveur vérifie la signature avec la clé publique déjà connue. Aucun secret ne transite jamais sur le réseau, ce qui rend le hameçonnage classique inopérant : une fausse page ne peut pas obtenir de signature valide pour le vrai domaine.
Le rôle du gestionnaire d’identifiants et du cloud
La plupart des passkeys grand public sont dites synchronisées : elles sont chiffrées puis répliquées via le trousseau iCloud, le gestionnaire de mots de passe Google, ou un coffre tiers comme Bitwarden. Cette synchronisation facilite la récupération en cas de perte d’appareil, mais elle introduit une dépendance à l’écosystème du fournisseur, un point que plusieurs analystes soulèvent régulièrement comme le principal point de friction du modèle.
La France coincée à 64 %, loin derrière ses voisins européens
C’est la donnée la plus frappante pour un lectorat français. L’enquête conduite par Sapio Research pour le compte de la FIDO Alliance en avril 2026, auprès de près de 11 000 adultes répartis dans dix pays (France, États-Unis, Royaume-Uni, Allemagne, Australie, Singapour, Japon, Corée du Sud, Chine et Inde), place la France en retrait net. Seulement 64 % des répondants français ont activé une passkey sur au moins un compte, contre une moyenne mondiale de 69 %, 70 % en Allemagne, 77 % au Royaume-Uni et jusqu’à 88 % en Chine comme en Inde.
Ce classement ne surprend pas totalement les observateurs du marché français de la cybersécurité. Le pays cumule plusieurs freins culturels et structurels : une confiance historiquement forte dans la carte à puce et les codes SMS, une base installée de gestionnaires de mots de passe d’entreprise difficile à migrer, et une prudence réglementaire propre au secteur bancaire, détaillée plus bas. La marge de progression reste toutefois large, puisque 2028 est régulièrement cité par les analystes du secteur comme l’horizon où les passkeys pourraient remplacer le mot de passe pour la majorité des services grand public en Europe.
Le verrou bancaire français : DSP2, article 97 §2 et applications propriétaires
Le secteur qui aurait le plus à gagner en sécurité, la banque, reste paradoxalement celui qui adopte le plus lentement les passkeys en France. La raison tient à un texte réglementaire précis : l’article 97 §2 de la directive européenne DSP2 sur l’authentification forte des paiements. Ce texte impose un mécanisme de “dynamic linking”, c’est-à-dire un lien cryptographique entre l’authentification et le montant précis de l’opération validée.
Le standard FIDO2 générique, pensé d’abord pour la connexion à un compte plutôt que pour la validation d’un virement, ne couvre pas nativement cette exigence. Les banques françaises ont donc construit leurs propres applications d’authentification forte, intégrant ce lien dynamique directement dans leur parcours de validation. Résultat concret pour l’utilisateur : la carte bancaire, le code à usage unique généré par l’appli bancaire maison, ou la notification push restent la norme pour les paiements, tandis que la passkey reste cantonnée à la simple connexion au compte en ligne. Plusieurs cabinets spécialisés dans l’authentification bancaire, dont Wultra, notent que l’adoption plus large des passkeys dans ce secteur reste conditionnée à des développements techniques additionnels permettant de satisfaire l’article 97 §2 sans recourir à une application propriétaire.
La CNIL siffle la fin des codes SMS avec sa délibération n° 2025-019
Le régulateur français des données personnelles a pris position bien avant l’agitation médiatique de 2026 autour des passkeys. Le 20 mars 2025, la CNIL a adopté sa délibération n° 2025-019, une recommandation dédiée à l’authentification multifacteur. Le texte a suivi une consultation publique ouverte du 28 mars au 31 mai 2024, ce qui montre que le régulateur travaillait le sujet depuis plus de deux ans avant sa publication finale.
Cette recommandation impose l’authentification multifacteur pour trois catégories précises : les traitements de données sensibles au sens de l’article 9 du RGPD, comme les données de santé, les traitements ou opérations présentant un risque pour les personnes concernées, et tout accès distant au système d’information via VPN ou canal externe équivalent. Point notable pour notre sujet : la CNIL y qualifie explicitement l’OTP par SMS de facteur à faible robustesse, une mise en garde qui pousse mécaniquement les organisations vers des solutions comme les applications TOTP ou les passkeys FIDO2. Le régulateur a par ailleurs annoncé un durcissement des contrôles à partir de 2026, l’absence de MFA sur un accès sensible pouvant désormais justifier l’ouverture d’une procédure de sanction.
NIST SP 800-63-4 : les passkeys synchronisées validées au niveau AAL2
Aux États-Unis, le NIST a publié la version finale de son référentiel SP 800-63-4 le 31 juillet 2025. Ce document encadre les niveaux d’assurance d’authentification (Authenticator Assurance Level, ou AAL) utilisés par les administrations et de nombreuses entreprises pour calibrer leurs exigences de sécurité. La grande nouveauté de cette révision concerne précisément les clés d’authentification synchronisées, la catégorie qui couvre la majorité des passkeys grand public.
Le texte autorise désormais ces clés synchronisées à atteindre le niveau AAL2, à deux conditions techniques précises : la clé exportée vers un service de synchronisation doit rester chiffrée avec une force cryptographique d’au moins 112 bits, conformément au référentiel SP 800-131A, et ce chiffrement doit reposer sur un secret contrôlé par l’utilisateur plutôt que sur une clé détenue uniquement par le fournisseur cloud. Cette clarification lève une ambiguïté qui freinait certaines administrations et grandes entreprises américaines dans l’adoption des passkeys synchronisées pour des usages professionnels, faute de cadre normatif clair.
Le rapport Verizon DBIR 2026 : le vol d’identifiants recule, sans disparaître
Le Data Breach Investigations Report 2026 de Verizon apporte un éclairage utile pour juger si la bascule vers les passkeys produit déjà un effet mesurable sur les compromissions. Pour la première fois en dix-neuf ans d’existence du rapport, le vol d’identifiants n’occupe plus la première place des vecteurs d’accès initial. L’exploitation de vulnérabilités logicielles passe devant, avec 31 % des intrusions recensées, tandis que l’abus d’identifiants comme point d’entrée initial tombe à 13 %.
Ce recul ne signifie pas une disparition du problème. Les identifiants compromis apparaissent encore dans 28 % de l’ensemble des violations de données étudiées par Verizon, et ils représentent 52 % des données volées au sein du schéma spécifique des attaques basiques d’applications web. Si l’on compte l’abus d’identifiants à n’importe quel stade de la chaîne d’intrusion, et pas uniquement comme porte d’entrée initiale, il redevient même le facteur numéro un, présent dans 39 % des cas. Le mot de passe recule donc comme porte d’entrée, mais reste un outil recherché par les attaquants une fois à l’intérieur du système, notamment pour élever leurs privilèges ou se déplacer latéralement.
Passkeys vs mots de passe vs 2FA vs gestionnaires : le comparatif
Pour resituer la passkey face aux méthodes concurrentes déjà largement déployées, voici un comparatif construit à partir des données citées plus haut et des standards de référence du secteur (FIDO Alliance, NIST, CNIL).
| Méthode | Résistance au hameçonnage | Niveau NIST AAL | Position CNIL (2025-019) | Dépendance à un secret transmis |
|---|---|---|---|---|
| Mot de passe seul | Aucune | AAL1 | Insuffisant seul pour accès sensible | Oui, secret partagé statique |
| Mot de passe + OTP SMS | Faible | AAL2 (déconseillé) | Facteur à faible robustesse | Oui, code transmis par réseau mobile |
| Mot de passe + appli TOTP | Moyenne | AAL2 | Accepté pour accès à risque | Oui, mais code généré localement |
| Gestionnaire de mots de passe | Moyenne (réduit la réutilisation) | Dépend du 2e facteur associé | Recommandé en complément d’un MFA | Oui, secret toujours transmis au site |
| Passkey / FIDO2-WebAuthn | Élevée, liée au domaine | AAL2 (AAL3 avec clé matérielle) | Référence recommandée | Non, seule une signature est transmise |
Ce tableau illustre pourquoi les régulateurs, français comme américains, orientent désormais leurs recommandations vers la passkey plutôt que vers l’empilement de facteurs classiques. La clé matérielle FIDO2, utilisée en entreprise pour les comptes à privilèges, atteint même le niveau AAL3, le plus élevé du référentiel NIST.
L’adoption des passkeys, pays par pays
Le détail par pays de l’enquête Sapio Research pour la FIDO Alliance (avril 2026) permet de situer précisément la France dans le paysage international.
| Pays | Taux d’activation d’une passkey | Écart avec la moyenne mondiale |
|---|---|---|
| Chine | 88 % | +19 points |
| Inde | 88 % | +19 points |
| Royaume-Uni | 77 % | +8 points |
| Allemagne | 70 % | +1 point |
| Moyenne mondiale (10 pays) | 69 % | référence |
| France | 64 % | -5 points |
L’écart entre la France et le Royaume-Uni, deux marchés européens comparables en maturité numérique, atteint 13 points. Il s’explique en partie par une pénétration plus tardive des passkeys chez les banques et administrations françaises, alors que le secteur public britannique a intégré le standard plus tôt dans ses portails d’identité numérique.
Google, Microsoft, Apple, Amazon et Meta accélèrent chacun à leur rythme
Le socle des 5 milliards de passkeys repose largement sur les plateformes qui ont poussé la technologie par défaut auprès de leurs utilisateurs. Google propose la passkey comme méthode de connexion recommandée sur les comptes Google depuis plusieurs années, avec des rappels réguliers pour désactiver le mot de passe. Microsoft avance des chiffres de réussite de connexion nettement supérieurs pour les passkeys par rapport aux mots de passe classiques sur ses comptes personnels, un argument que l’entreprise met en avant pour justifier l’investissement dans le déploiement. Apple a intégré la synchronisation via le trousseau iCloud directement dans iOS et macOS, rendant la création d’une passkey aussi simple qu’un déverrouillage Face ID.
Amazon et Meta suivent une trajectoire comparable sur leurs services grand public. Au niveau sectoriel, les analyses reprises par la presse spécialisée, citant des données FIDO, Dashlane et Microsoft Entra, situent la fintech en tête de l’adoption effective côté utilisateurs actifs, devant le e-commerce, le B2B SaaS puis les services de streaming, un ordre cohérent avec le niveau de risque financier et réglementaire propre à chaque secteur. Cette hiérarchie confirme une tendance de fond : les secteurs les plus exposés aux fraudes par identifiants volés sont aussi ceux qui poussent le plus fort vers l’authentification par clé publique.
Ce que dit la FIDO Alliance
Dans son rapport State of Passkeys 2026 et les communications qui l’accompagnent, la FIDO Alliance, l’organisme qui pilote le standard FIDO2/WebAuthn aux côtés du W3C, insiste sur l’ampleur atteinte par la technologie tout en refusant de crier victoire trop vite.
“Passkeys have reached global scale with 5 billion passkeys now in active use”, résume la FIDO Alliance dans la présentation de son rapport State of Passkeys 2026. L’organisation précise, dans son annonce du 7 mai 2026 : “On World Passkey Day 2026, we are announcing that an estimated 5 billion passkeys are now in active use worldwide.”
Le document conclut sur un ton mesuré : “The 2026 data paints a picture of a technology that has achieved genuine scale”, tout en ajoutant que “passkeys are now part of the authentication landscape for the majority of consumers and a growing majority of enterprises”, selon la version PDF intégrale du rapport. Enfin, l’alliance justifie la publication de cette étude annuelle en expliquant : “We published the State of Passkeys 2026 report today to assess that progress and what we need to do to grow adoption to an even broader scale”, une phrase tirée de son billet de blog du 7 mai 2026.
Un peu d’histoire : du mot de passe partagé à la cryptographie asymétrique
Le mot de passe informatique remonte au système CTSS du MIT, au tout début des années 1960. Depuis, la recette n’a presque pas changé : un secret mémorisé, transmis puis comparé côté serveur. Les tentatives de renforcement se sont accumulées au fil des décennies, des questions de sécurité aux codes envoyés par SMS, sans jamais s’attaquer au défaut structurel du modèle : le secret continue de circuler et peut donc être intercepté, deviné ou hameçonné.
La FIDO Alliance, fondée en 2013, a d’abord porté la clé de sécurité matérielle U2F en 2014, adoptée notamment par Google et GitHub pour protéger les comptes à haut risque. L’étape suivante est venue en 2018, avec la publication du standard WebAuthn par le W3C en coopération avec la FIDO Alliance, posant les bases techniques de ce qui deviendra la passkey moderne. La généralisation grand public, elle, ne date que de 2022 et 2023, quand Apple, Google et Microsoft ont chacun intégré le support natif de la synchronisation dans leurs systèmes d’exploitation respectifs.
Les limites qui freinent encore l’adoption
Malgré des chiffres flatteurs, plusieurs obstacles concrets ralentissent encore la bascule complète. Le premier concerne la dépendance à un écosystème unique. Une passkey créée dans le trousseau Apple ne se transfère pas toujours facilement vers un environnement Windows ou Android, ce qui complique les changements d’appareil ou de fournisseur.
Le deuxième obstacle touche la récupération de compte. Que se passe-t-il en cas de perte simultanée du téléphone et de l’accès au coffre cloud associé ? La plupart des services proposent encore un mécanisme de secours reposant sur un email ou un numéro de téléphone, ce qui réintroduit indirectement une faille classique dans un système pourtant conçu pour l’éliminer. Le troisième frein reste culturel : une partie des utilisateurs, notamment en France selon l’enquête Sapio Research, associe encore la sécurité numérique à la mémorisation d’un secret plutôt qu’à un mécanisme invisible reposant sur leur appareil.
Impact sur le marché : gestionnaires de mots de passe, assurance cyber et PME
La montée des passkeys ne condamne pas les gestionnaires de mots de passe, elle transforme leur rôle. Des acteurs comme Bitwarden ou Dashlane ont ajouté le stockage et la synchronisation de passkeys à leur offre, se positionnant comme des coffres neutres capables de fonctionner sur plusieurs systèmes d’exploitation, à l’inverse des trousseaux propriétaires d’Apple ou de Google. Ce repositionnement ouvre un nouveau terrain de concurrence entre gestionnaires indépendants et solutions intégrées aux grands écosystèmes.
Pour les assureurs cyber, la baisse mesurée par Verizon du vol d’identifiants comme vecteur d’entrée initial commence à peser dans le calcul des primes proposées aux entreprises qui peuvent démontrer un déploiement large de MFA résistant au hameçonnage. Les PME françaises, souvent moins armées en ressources informatiques que les grands groupes, restent toutefois le maillon le plus lent de la chaîne : la migration vers les passkeys suppose de revoir des applications métier parfois anciennes, un chantier que beaucoup repoussent faute de budget dédié.
Cinq prédictions pour 2027-2028
- La pression de la CNIL et le durcissement des contrôles annoncé pour 2026 devraient pousser un nombre croissant d’organisations françaises traitant des données sensibles à basculer vers un MFA résistant au hameçonnage d’ici fin 2027.
- Le retard français sur l’adoption grand public devrait se réduire progressivement, sans toutefois rattraper le Royaume-Uni ou l’Allemagne avant 2028, sauf accélération réglementaire ou commerciale forte.
- Les banques françaises devraient rester prudentes sur les passkeys pour les paiements tant qu’une solution technique conforme à l’article 97 §2 de la DSP2 ne sera pas standardisée au niveau européen.
- Les attaquants devraient réorienter davantage leurs efforts vers les mécanismes de récupération de compte et le vol de session, plutôt que vers le hameçonnage direct d’identifiants.
- Les gestionnaires de mots de passe indépendants devraient continuer à gagner du terrain face aux trousseaux propriétaires, en misant sur l’interopérabilité entre systèmes d’exploitation comme argument commercial central.
Questions fréquentes sur les passkeys en 2026
Une passkey remplace-t-elle complètement le mot de passe ?
Sur les services qui l’ont pleinement déployée, oui : la connexion se fait uniquement via signature cryptographique, sans saisie de mot de passe. Dans la pratique, la plupart des sites conservent encore un mot de passe de secours pour la phase de transition.
Les passkeys sont-elles vulnérables au phishing ?
Nettement moins que les mots de passe. La signature générée par l’appareil est liée cryptographiquement au domaine exact du site, ce qui empêche une fausse page de récupérer une signature valide, même si l’utilisateur clique sur un lien frauduleux.
Que se passe-t-il si je perds mon téléphone ?
Les passkeys synchronisées se restaurent généralement via le trousseau cloud associé (iCloud, Google, ou un gestionnaire tiers) sur un nouvel appareil connecté au même compte. En cas de perte simultanée de l’appareil et de l’accès au compte cloud, il faut passer par les procédures de récupération classiques du service concerné.
Pourquoi les banques françaises n’utilisent-elles pas encore les passkeys pour les paiements ?
L’article 97 §2 de la directive européenne DSP2 exige un lien cryptographique direct entre l’authentification et le montant précis de chaque opération, une contrainte que le standard FIDO2 générique ne couvre pas nativement. Les banques françaises préfèrent donc leurs applications propriétaires pour les paiements, en réservant les passkeys à la simple connexion au compte.
Que recommande la CNIL sur l’authentification multifacteur ?
Sa délibération n° 2025-019 du 20 mars 2025 impose le MFA pour les données sensibles au sens de l’article 9 du RGPD, pour les traitements à risque, et pour tout accès distant via VPN. Le texte qualifie explicitement l’OTP par SMS de facteur à faible robustesse et annonce un durcissement des contrôles à partir de 2026.
Le vol d’identifiants a-t-il vraiment reculé grâce aux passkeys ?
Le rapport Verizon DBIR 2026 montre un recul du vol d’identifiants comme point d’entrée initial, à 13 % contre 31 % pour l’exploitation de vulnérabilités. Les identifiants restent toutefois présents dans 28 % des violations de données et redeviennent le facteur numéro un dès qu’on considère l’ensemble de la chaîne d’intrusion, avec 39 % des cas.
Une passkey peut-elle être copiée ou volée à distance ?
La clé privée reste, par conception, enfermée dans une puce sécurisée ou un coffre chiffré, et n’est jamais transmise sur le réseau lors d’une connexion. Un vol à distance nécessiterait de compromettre directement l’appareil ou le compte cloud de synchronisation, un scénario nettement plus coûteux pour un attaquant qu’une simple campagne de hameçonnage de mots de passe.
Le niveau AAL2 du NIST change-t-il quelque chose pour les entreprises françaises ?
Le référentiel NIST SP 800-63-4 s’applique directement aux administrations et sous-traitants américains, mais il sert aussi de référence technique à de nombreuses entreprises européennes lorsqu’elles évaluent leurs propres politiques d’authentification, en complément des recommandations de la CNIL et de l’ANSSI.
