Passkeys ou mots de passe en 2026 : ce que les attaques Pass-ta-key changent pour vous

Depuis deux ans, le message est simple : les passkeys sont l’avenir, les mots de passe le passé. Puis, en août 2026, des chercheurs en sécurité ont montré qu’un logiciel malveillant pouvait détourner des passkeys synchronisées via le gestionnaire de mots de passe Google. Alors, les passkeys sont-elles encore sûres ? Oui, en grande partie. Mais l’histoire est plus nuancée que « passkeys bien, mots de passe mal », et elle change la façon dont vous devriez penser à l’endroit où vivent vos identifiants.

Passkeys vs mots de passe : rappel en 60 secondes

Un mot de passe est un secret partagé. Vous le connaissez, le site en stocke une empreinte, et quiconque vous pousse à le saisir sur une fausse page — ou le récupère dans une base de données piratée — peut l’utiliser.

Une passkey est une paire de clés cryptographiques. Le site conserve la moitié publique ; la moitié privée ne quitte jamais votre appareil (ou votre coffre synchronisé). À la connexion, votre appareil signe un défi lié au domaine du vrai site. C’est pourquoi les passkeys sont :

• Résistantes au phishing — un domaine imitateur reçoit une signature qu’il ne peut pas exploiter.
• Uniques par site — rien à réutiliser, donc une fuite ne se propage pas.
• Impossibles à deviner — pas de « Ete2026! » à forcer.

Sur le papier, cela surpasse les mots de passe sur tous les plans. Le piège se cache dans le mot « appareil » : une passkey n’est sûre que dans la mesure où le logiciel et le matériel qui détiennent la clé privée le sont.

Ce que les attaques Pass-ta-key ont réellement montré

Le 4 août 2026, l’Unit 42 de Palo Alto Networks a publié une recherche — relayée par BleepingComputer, The Hacker News, Malwarebytes et 9to5Google — décrivant trois attaques, surnommées « Pass-ta-key », contre les passkeys synchronisées via le gestionnaire de mots de passe Google dans Chrome. Toutes trois supposent qu’un malware tourne déjà sur un PC Windows connecté. À partir de là, le malware pouvait :

1. Obtenir silencieusement une assertion de connexion valide pour un compte protégé par passkey, sans que l’utilisateur touche Windows Hello.
2. Installer une clé de vérification contrôlée par l’attaquant, de sorte que les futures demandes « confirmez votre identité » soient validées par lui.
3. Extraire le Security Domain Secret de 32 octets qui déchiffre les clés privées des passkeys synchronisées — en pratique, exporter toutes les passkeys du compte.

Rien de tout cela ne casse la cryptographie des passkeys. Ce qui est cassé, c’est l’hypothèse que le logiciel environnant — système d’exploitation, navigateur et couche de synchronisation cloud — gardera toujours la clé privée hors de portée.

Les passkeys restent-elles donc plus sûres que les mots de passe ?

Oui. Face aux deux attaques qui compromettent le plus de comptes chaque année — le phishing et le credential stuffing issu des fuites — les passkeys restent nettement meilleures. Un attaquant Pass-ta-key a d’abord besoin d’un malware sur votre machine ; un attaquant de mots de passe n’a besoin que d’un e-mail convaincant.

Mais cette recherche rappelle une vieille règle : une fois un appareil compromis, plus rien dessus n’est totalement sûr. C’est vrai des mots de passe, des cookies de session, des applications d’authentification et des passkeys. La vraie comparaison n’est pas « passkeys vs mots de passe », mais « appareil sain avec un coffre bien conçu » vs « appareil infecté avec n’importe quoi ».

Pourquoi la conception du coffre compte

Deux des trois attaques Pass-ta-key visent le mécanisme de synchronisation : un secret qui, une fois extrait, ouvre tout. C’est un argument pour garder vos identifiants dans un coffre zéro connaissance, chiffré de bout en bout, où :

• Les données sont chiffrées sur votre appareil, avec une clé dérivée de quelque chose que vous seul connaissez, avant toute synchronisation.
• Le fournisseur ne peut pas déchiffrer votre coffre : une compromission côté serveur ne livre que du texte chiffré.
• Le déverrouillage exige à chaque fois votre code PIN maître ou la biométrie, avec verrouillage automatique pour qu’une machine laissée sans surveillance ne reste pas ouverte.

DroidPass est conçu exactement ainsi : un coffre AES-256 zéro connaissance qui stocke vos mots de passe, cartes bancaires, identifiants Wi-Fi, notes sécurisées, contacts et passkeys côte à côte, avec déverrouillage Face ID / Touch ID / empreinte et verrouillage automatique sur iPhone, iPad, Android et Mac.

Cinq gestes concrets pour cette semaine

1. Gardez vos appareils sains. Chaque variante de Pass-ta-key commence par un malware. Installez rapidement les mises à jour, évitez les logiciels piratés et utilisez un antivirus réputé sous Windows.
2. Continuez d’utiliser les passkeys là où elles sont proposées. Elles éliminent le phishing et la réutilisation de mots de passe — c’est là que la plupart des gens se font réellement pirater.
3. Gardez la 2FA sur chaque compte qui utilise encore un mot de passe. Un authentificateur intégré qui vit dans le même coffre que l’identifiant rend cela indolore — voir notre guide de l’authentificateur DroidPass.
4. Stockez vos identifiants dans un coffre dédié zéro connaissance plutôt que dans le gestionnaire intégré du navigateur, pour qu’un seul secret de synchronisation ne soit pas un passe-partout vers toute votre vie.
5. Verrouillez le coffre, pas seulement l’écran. Réglez un délai de verrouillage court et exigez la biométrie ou votre code PIN maître pour le rouvrir.

En résumé

Les passkeys ne sont pas cassées et vous ne devriez pas cesser de les utiliser. Ce qu’août 2026 a prouvé, c’est que l’endroit où vivent vos passkeys et mots de passe compte autant que ce qu’ils sont. Associez des passkeys résistantes au phishing à un appareil sans malware et à un coffre chiffré que vous contrôlez, et vous serez mieux protégé que l’immense majorité des internautes. Si vous hésitez encore sur l’intérêt d’un coffre, commencez par pourquoi vous avez besoin d’un gestionnaire de mots de passe en 2026.