Pourquoi les mots de passe ne vous protègent plus (et élargissent votre surface d'attaque)

Les fuites d’identifiants et l’automatisation des attaques (credential stuffing) réduisent le mot de passe à une simple variable d’entrée. Or, les politiques de complexité et de rotation épuisent les utilisateurs, gonflent les coûts de support et ne stoppent pas le phishing. Dans le même temps, des comptes cloud exposés (M365/Google Workspace), des accès VPN/SaaS et des secrets techniques dispersés élargissent la surface d’attaque. D’où le basculement vers une authentification liée à l’appareil et vérifiée par l’origine (FIDO2/WebAuthn) : plus de secret réutilisable, plus de hash à casser, et nettement moins de portes ouvertes.

Le modèle passwordless en bref

Un appareil ou une clé de sécurité génère une paire de clés. La clé privée reste locale (TPM/Secure Enclave).
À chaque connexion, un geste local (biométrie/PIN) signe un défi pour le vrai domaine. Une page leurre échoue par conception.

Avantages : résistance native au phishing, expérience fluide, forte baisse des tickets de réinitialisation.

Parcours d'adoption : la méthode qui marche

Adopter le passwordless n’est pas qu’un projet technique lié à l’authentification forte : c’est un changement de paradigme qui vise à supprimer la valeur du mot de passe pour les attaquants. La transition demande des technologies adaptées, du temps d’adoption et un changement de mentalité : comprendre où et comment le passwordless s’intègre, puis conduire l’évolution technique et humaine.

- Préparer

Avant toute généralisation du sans mot de passe, moderniser l’IAM est prioritaire. La migration des identités vers le cloud (Microsoft Entra ID, Okta, Ping, …) permet d’exploiter des signaux de risque et d’anomalie (ID Protection) calculés par apprentissage automatique sur les comportements de connexion puis de les appliquer en Accès Conditionnel (politiques basées sur le risque) pour exiger une authentification forte ou bloquer l’accès. Ces fondations donnent de la visibilité sur les usages d’authentification et offrent une plateforme d’orchestration naturelle pour WebAuthn/FIDO2, passkeys et politiques d’accès conditionnel dans une approche Zero Trust.

En parallèle, cartographiez les applications legacy (LDAP simple bind, IMAP/POP), segmentez vos populations et classez les risques afin d’aligner les méthodes d’authentification sur les profils et les contraintes réelles.

• Segmenter par persona (pas de “one size fits all”)

• Administrateurs : FIDO2 + PIM/JIT + coffre-fort/PAM.
• Collaborateurs de bureau / sédentaires : passkeys + authentificateur mobile + SSO.
• Firstline/terrain: clé NFC/USB robuste + MDM mobile.
• Clients/consommateurs : clés d'accès synchronisées (Apple/Google/Microsoft).

• Lancer un projet pilote de courte durée (6-8 semaines)

•  1 à 2 groupes cibles, passwordless en option, mesure UX/adhésion/incidents.
• Ambassadeurs internes pour l’effet boule de neige.

- Industrialiser sans perturber

• Architecture hybride : passwordless pour humains ; vault/PAM pour les secrets techniques.
• Politiques d'accès conditionnel ; désactivation progressive des mots de passe lorsqu'ils sont éligibles.
• Parcours de secours obligatoires : Temporary Access Pass (TAP), 2e méthode active (deux clés pour les profils sensibles).

- Mesurer et communiquer le retour sur investissement

• -30 à -50 % de resets, connexions plus rapides, chute des tentatives de phishing réussies.
• Présentez ces paramètres au comité exécutif : sécurité = productivité + réduction des coûts.

Choisir les bonnes briques

Les technologies d’authentification sans mot de passe ne se contentent pas de supprimer la saisie d’un secret : elles transforment la manière dont l’identité est prouvée, validée et maintenue dans le temps. Le cœur commun s’appuie sur la cryptographie asymétrique et des facteurs locaux résistants au phishing.

• Windows Hello for Business

• Principe : paire de clés liée au TPM + geste local sur Windows.
• Idéal pour : les points finaux Windows gérés, les VIP, les administrateurs.
• A prévoir : une deuxième méthode + un TAP pour la récupération.

- Clés de sécurité FIDO2 (USB/NFC/Bluetooth)

• Principe : authentificateur matériel multi-OS, résistant à l'hameçonnage, compatible hors ligne.
• Idéal pour : administrateurs, SOC, stations partagées, OT/terrain.
• A prévoir : deux clés par utilisateur critique + inventaire/cycle de vie.

- Passkeys (Apple/Google/Microsoft)

• Principe : des identifiants FIDO2 synchronisés avec l'écosystème et des données biométriques locales.
• Idéal pour : B2C, BYOD, SaaS.
• A prévoir : Gouvernance BYOD, sauvegarde de la clé FIDO2 pour les comptes sensibles.

- Authentificateur mobile

• Principe : approbation push avec correspondance des numéros + données biométriques de l'appareil/PIN.
• idéal pour : la mobilité, le travail à distance.
• A prévoir : anti-MFA fatigue, procédure de remplacement de device.

- Coffre-fort/PAM

• Principe : centraliser et faire tourner automatiquement secrets et comptes techniques.
• Idéal pour : héritage, CI/CD, OT.
• A prévoir : la gouvernance, les intégrations, les audits.

Personas : problèmes concrets, réponses concises

La réussite d’une stratégie passwordless repose sur l’adéquation entre les besoins réels des utilisateurs et les capacités techniques de l’organisation. Chaque persona présente des contraintes spécifiques (sécurité, mobilité, continuité, ergonomie) qu’il faut adresser avec des méthodes différenciées et interopérables FIDO2/WebAuthn.

- Administrateur informatique

• Douleur : privilèges élevés, nombreuses sessions, risque systémique.
• Solution : FIDO2 + PIM/JIT + bastion + vault/PAM.
• Gain : zéro mot de passe administrateur, traçabilité totale.

- Analyste SOC

• Douleur : multi-logins, postes partagés, horaires décalés.
• Solution : clé/cartes FIDO2 + ZTNA intégré identité + MFA contextuelle.
• Gain : moins de frictions, aucune fuite d’identifiant réutilisable.

- Personnel soignant (maison de retraite/clinique)

• Douleur : postes partagés, urgence, traçabilité.
• Solution : badge NFC/biométrie + SSO clinique + session nomade.
• Gain: accès en quelques secondes, audit des actes, fin des comptes partagés. : accès en quelques secondes, actions vérifiées, pas de comptes partagés.

- Travailleur à distance

• Douleur : phishing, multi-appareils, Wi-Fi public.
• Solution : passkeys + biométrie locale + accès conditionnel (posture device).
• Gain : expérience fluide, forte réduction des incidents.

- Terrain/industrie, mauvaise connectivité

• Douleur : réseau instable/absent, EPI, contraintes physiques.
• Solution : clés USB/NFC FIDO2 compatibles hors ligne + bastion industriel + mode hors ligne sécurisé.
• Gain : continuité de l'accès, sécurité intacte.

Conduite du changement (ce qui fait vraiment la différence)

- Messages courts et répétés: "moins de phishing, moins de réinitialisations, une connexion plus rapide".
- FAQ sur la protection de la vie privée et la biométrieLes données biométriques restent sur l'appareil.
- Une politique simple et claire : deux méthodes par utilisateur, TAP court et à usage unique, UV obligatoire pour les accès sensibles.
- Des playbooks prêts à l'emploiperte/vol de facteur, panne d'IdP, incident à grande échelle.
•Mesures anti-fatigue MFA: number matching, limitation des essais, alertes SOC.

Passer au passwordless, c’est remplacer la serrure à code partagé par un badge chiffré personnel qui ne s’ouvre que sur la vraie porte, jamais sur une copie.