Passkeys : pratiques mais piégeux
Original : Passkeys are a trap. Do not use them
Pourquoi c'est important
La standardisation des passkeys redéfinit qui contrôle l'accès à l'identité numérique.
Un article du Substack « Non-Functional » alerte les internautes non-techniques : les passkeys, promus par la FIDO Alliance, pourraient retirer aux utilisateurs le contrôle de leurs propres identifiants de connexion.
Les passkeys séduisent par leur promesse : plus de mots de passe oubliés, une sécurité renforcée. Mais l'auteur de « Non-Functional » soulève un angle mort rarement mentionné dans les communications officielles. Contrairement aux mots de passe — qu'on note où on veut — ou aux applications d'authentification — largement interchangeables —, les passkeys intègrent un mécanisme qui permet aux sites web de réduire progressivement le contrôle de l'utilisateur sur ses propres clés d'accès.
Derrière la technologie se trouve la FIDO Alliance, consortium mêlant Big Tech, banques, agences de renseignement et gouvernements. L'auteur note qu'aucun groupe de défense des consommateurs n'en est membre — contrairement au W3C, qui intègre des universités et des représentants de l'intérêt public. Chaque membre de la FIDO Alliance poursuit ses propres objectifs : les géants du numérique cherchent à consolider leur emprise sur l'identité en ligne, les banques à limiter leur responsabilité, les agences à faciliter la traçabilité.
La justification officielle — l'insécurité des mots de passe — est réelle, comme l'illustre l'affaire SolarWinds avec son mot de passe « solarwinds123 ». Mais l'auteur rappelle que des solutions déjà éprouvées, comme l'authentification à deux facteurs, répondent à ce problème sans sacrifier l'autonomie de l'utilisateur.