Passer de la 2FA par SMS à une passkey sur tout compte

Pourquoi passer de la 2FA par SMS à une passkey maintenant ?

Les codes SMS peuvent être interceptés à l'intérieur des réseaux téléphoniques, alors qu'une passkey est conçue pour résister à l'hameçonnage, et les grands fournisseurs abandonnent désormais le SMS : Microsoft supprime ses propres codes SMS et par appel vocal pour la plupart des comptes professionnels et scolaires à partir du 1er février 2027 ^[1][8].

Le risque n'est pas théorique. L'entreprise de sécurité mobile Enea a indiqué le 11 novembre 2026 qu'un acteur nouvellement identifié qu'elle appelle SilentAir a utilisé des requêtes malveillantes de mise à jour de localisation sur les réseaux mobiles pour intercepter des SMS et des appels, que des éléments de réseau liés à SilentAir ont été trouvés dans au moins six pays d'Asie, et que certaines cibles ont reçu des codes 2FA immédiatement après l'interception ^[11]. Toute l'histoire se trouve dans le guide Pouyam Is SMS 2FA Safe? What the SilentAir Attacks Show.

Les recommandations officielles vont dans le même sens. L'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a dit aux personnes très ciblées en décembre 2024 : « N'utilisez pas le SMS comme second facteur », et a placé les clés de sécurité FIDO et les passkeys au-dessus des applications d'authentification ^[9]. L'organisme américain de normalisation NIST classe les codes SMS et par appel vocal comme un authentificateur « restreint » pour lequel les services doivent proposer une alternative ^[10].

Une passkey fonctionne autrement. C'est une paire de clés cryptographiques stockée sur votre téléphone, votre ordinateur ou votre clé de sécurité, déverrouillée par votre visage, votre empreinte ou le code PIN de l'écran, et la FIDO Alliance la décrit comme résistante à l'hameçonnage ^[8]. Il n'y a aucun code à lire à voix haute ou à transférer, et Google affirme que les passkeys sont « plus sûres contre l'hameçonnage » que les mots de passe ^[2]. Pour comparer toutes les méthodes côte à côte, voir Two-Factor Authentication Explained: Which 2FA Method Is Safest?

Comment passer n'importe quel compte de la 2FA par SMS à une passkey ?

L'ordre sûr est le même pour chaque compte : vérifiez la prise en charge des passkeys, créez une passkey, ajoutez un deuxième moyen de connexion, enregistrez les codes de secours, puis retirez le numéro de téléphone comme deuxième étape et testez ^[2][3][12]. Sauter l'étape de secours est la cause la plus fréquente de blocage hors du compte.

1. Vérifiez la prise en charge. Ouvrez les paramètres de sécurité ou de connexion du compte et cherchez « Passkeys ». L'annuaire communautaire passkeys.directory, géré par 1Password, recense les sites qui proposent des passkeys pour la connexion ou comme second facteur ^[12].
2. Créez la passkey sur l'appareil que vous utilisez le plus, en confirmant avec votre visage, votre empreinte ou le verrouillage de l'écran ^[2][4].
3. Ajoutez une méthode de secours. Créez une deuxième passkey sur un autre appareil ou une clé de sécurité matérielle, ou configurez une application d'authentification. Les passkeys peuvent être synchronisées en toute sécurité entre vos appareils ou rester liées à un seul appareil ^[8].
4. Enregistrez les codes de récupération si le service en propose, et conservez-les hors ligne. Google, par exemple, propose des codes de secours imprimables à utiliser si vous perdez votre téléphone ^[3].
5. Retirez le SMS comme deuxième étape. La CISA conseille de désactiver le SMS une fois une méthode plus forte enregistrée, car une voie de repli faible annule le gain ^[9].
6. Testez : déconnectez-vous puis reconnectez-vous avec la passkey avant de fermer la page des paramètres.

Certains services gardent votre numéro de téléphone pour la récupération du compte même après la désactivation des codes de connexion par SMS ^[9]. Ce n'est pas une raison de reporter le changement, mais c'en est une pour protéger votre ligne mobile avec un code PIN d'opérateur ou un verrou de portabilité quand c'est possible. Pour comprendre le fonctionnement des passkeys, voir What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer.

Comment passer mon compte Google à une passkey ?

Créez une passkey dans les paramètres de sécurité de votre compte Google, puis ouvrez la 2-Step Verification et retirez vous-même le numéro de téléphone, car l'ajout d'une passkey ne modifie ni ne supprime aucune méthode de connexion ou de récupération existante ^[2]. Google indique que, sur les comptes avec 2-Step Verification, la connexion avec une passkey saute la deuxième étape, puisque la passkey confirme que vous contrôlez l'appareil ^[2].

1. Allez dans votre compte Google, touchez Security & sign-in et, sous How you sign in to Google, ouvrez Passkeys and security keys pour créer une passkey ^[2].
2. Confirmez avec votre empreinte, la reconnaissance faciale ou le verrouillage de l'écran. Google prend en charge les passkeys sous Windows 10, macOS Ventura et ChromeOS 109 ou version ultérieure, Android 9 et iOS 16 ou version ultérieure, et sur les clés de sécurité matérielles FIDO2 ^[2].
3. Créez une deuxième passkey sur un autre appareil ou ajoutez une clé de sécurité pour ne pas dépendre d'un seul téléphone.
4. Ouvrez la 2-Step Verification sous Security. Téléchargez ou imprimez vos codes de secours ; Google les décrit comme des codes à 8 chiffres à utiliser si vous perdez votre téléphone ^[3].
5. Retirez le numéro de téléphone enregistré comme méthode de 2-Step Verification, ou remplacez-le par l'invite Google ou une application d'authentification.

Deux détails comptent. D'abord, Google peut mettre jusqu'à sept jours à faire confiance à un nouveau numéro ajouté pour la 2-Step Verification ; une passkey ou une clé de sécurité de confiance peut accélérer les choses ^[3]. Google rappelle aussi de ne créer des passkeys que sur des appareils qui vous appartiennent, car quiconque peut déverrouiller l'appareil peut se connecter ^[2]. Ensuite, sur un compte Google Workspace professionnel ou scolaire, c'est votre administrateur qui décide si vous pouvez vous connecter avec une passkey seule ; vous pouvez tout de même créer des passkeys comme second facteur et option de récupération ^[2].

Comment ajouter une passkey à un compte Microsoft ?

Connectez-vous à Advanced Security Options sur account.live.com/proofs/manage, choisissez Add a new way to sign in or verify, puis Face, Fingerprint, PIN ou Security Key ^[4]. Cette page concerne les comptes Microsoft personnels ^[4].

1. Ouvrez account.live.com/proofs/manage sur l'appareil où vous voulez la passkey et connectez-vous ^[4].
2. Choisissez Add a new way to sign in or verify ^[4].
3. Choisissez Face, Fingerprint, PIN ou Security Key et suivez les instructions ^[4].
4. Choisissez Continue ou Create pour enregistrer la passkey à l'emplacement proposé, ou Save another way pour choisir un téléphone ou une clé de sécurité ^[4].
5. Configurez une application d'authentification, sur laquelle reposent les étapes sans mot de passe de Microsoft, avant de retirer quoi que ce soit ^[5].

Microsoft permet aux comptes personnels d'aller plus loin et de supprimer le mot de passe. Sous Additional security options, choisissez Turn on à côté de Passwordless account, puis approuvez la demande dans votre application d'authentification ^[5]. Microsoft précise que vous devez avoir accès à deux méthodes de récupération quand la vérification en deux étapes est activée ^[5].

Pour arrêter les codes SMS, passez en revue, dans la même section de sécurité, la liste des moyens de prouver votre identité et retirez le numéro de téléphone comme méthode de connexion une fois la passkey et l'application fonctionnelles. Microsoft conseille, si vous changez de téléphone, de retirer les méthodes liées à l'ancien appareil ^[5].

Microsoft met-il fin aux codes SMS pour les comptes professionnels ?

Oui, pour les codes que Microsoft envoie lui-même : à partir du 1er février 2027, l'authentification par SMS et par appel vocal fournie par Microsoft est supprimée dans Microsoft Entra ID, le service de connexion de Microsoft pour les organisations, pour tous les utilisateurs sauf les Global Administrators et les utilisateurs externes ^[1]. Ces deux groupes suivront le 1er juillet 2027 ^[1].

Le changement a déjà commencé. À partir du 1er septembre 2026, les passkeys sont devenues l'expérience d'authentification par défaut dans Entra ID et ont été activées automatiquement pour les utilisateurs disposant du SMS ou de l'appel vocal, qui sont invités à enregistrer une passkey lors de la connexion ^[1]. La page de Microsoft indique que le SMS et l'appel vocal « ne sont plus présentés comme des méthodes d'authentification sécurisées » ^[1].

Ce que cela signifie pour vous :

• Si votre compte professionnel vous invite à configurer une passkey, acceptez : le plan de Microsoft incite les utilisateurs à enregistrer une passkey lorsqu'ils se connectent et terminent la MFA ^[1]. N'agissez que sur une invite qui apparaît dans la page de connexion Microsoft habituelle.
• Selon les réglages de votre organisation, une passkey peut être stockée dans Microsoft Authenticator, sur une clé de sécurité FIDO2, dans Windows ou dans un gestionnaire d'identifiants synchronisé ^[1].
• Les utilisateurs invités internes suivent la date du 1er février 2027, pas la plus tardive ^[1].
• Les questions sur les méthodes autorisées relèvent de votre service informatique, qui gère la politique.

N'approuvez jamais une demande de connexion ou de passkey que vous n'avez pas lancée vous-même, et ne configurez jamais une passkey depuis un lien reçu par un e-mail ou un message inattendu.

Puis-je utiliser une passkey pour mon compte Apple ?

Pas comme second facteur : les comptes Apple utilisent un code de vérification à six chiffres pour l'authentification à deux facteurs, et l'amélioration résistante à l'hameçonnage proposée par Apple, ce sont des clés de sécurité FIDO physiques, pas des passkeys ^[7]. La page d'Apple sur cette fonction ne mentionne pas les passkeys ^[7].

Les conditions d'Apple pour Security Keys for Apple Account sont claires ^[7] :

• Au moins deux clés de sécurité FIDO Certified ; vous pouvez en ajouter jusqu'à six ^[7].
• iOS 16.3, iPadOS 16.3 ou macOS Ventura 13.2 ou version ultérieure sur chaque appareil connecté à votre compte Apple ^[7].
• L'authentification à deux facteurs doit déjà être activée ^[7].
• Les comptes enfants et les Managed Apple Accounts ne sont pas pris en charge ^[7].

Sur l'iPhone, ouvrez Settings, touchez votre nom, puis Sign-in & Security, Two-Factor Authentication et Security Keys, et suivez les étapes ^[7]. Apple prévient que les appareils inactifs (ceux qui n'ont pas servi depuis plus de 90 jours) seront déconnectés pendant la configuration et que vous pourriez perdre définitivement l'accès à votre compte si vous perdez tous vos appareils de confiance et toutes vos clés de sécurité ^[7]. Si vous retirez toutes les clés, le compte revient aux codes à six chiffres ^[7].

Apple décrit les clés de sécurité comme conçues pour les personnes qui veulent une protection supplémentaire contre les attaques ciblées telles que l'hameçonnage ou les arnaques d'ingénierie sociale ^[7].

Comment configurer une passkey WhatsApp ?

Dans WhatsApp, ouvrez Settings, touchez Account, puis Passkeys, Create passkey et Continue, et confirmez avec le verrouillage de votre écran ^[6]. WhatsApp indique que, contrairement aux mots de passe ou aux codes de vérification par SMS, les passkeys sont sécurisées par cryptographie et ne sont accessibles qu'avec votre appareil physique et vos données biométriques ou le verrouillage de l'écran ^[6].

1. Sur Android, il faut Android 9 ou version ultérieure, un verrouillage d'écran et un compte de gestionnaire de mots de passe lié au téléphone, comme Google Password Manager ou Samsung Password Manager ^[6].
2. Ouvrez WhatsApp, touchez le menu, puis Settings ^[6].
3. Touchez Account, Passkeys, Create passkey, puis Continue ^[6].
4. Confirmez avec votre empreinte, votre visage ou le verrouillage de l'écran lorsque c'est demandé ^[6].

WhatsApp précise qu'après la création d'une passkey, si vous réinstallez l'application, il peut vous être demandé de l'utiliser lors de l'inscription ^[6]. Pour changer de passkey, supprimez-la et créez-en une nouvelle dans le même menu ^[6].

La page de WhatsApp ne dit pas qu'une passkey remplace le code SMS à l'inscription ; considérez-la donc comme une couche supplémentaire. Gardez aussi le code PIN de la vérification en deux étapes, afin que quelqu'un qui détourne votre numéro ait encore besoin d'une information que vous seul connaissez.

Quels comptes acceptent les passkeys à la place du SMS ?

Google, Microsoft et WhatsApp proposent les passkeys comme une option plus solide que les codes SMS, les comptes Apple utilisent plutôt des clés de sécurité, et beaucoup de services plus petits ne proposent encore que le SMS ou une application d'authentification ^[2][4][6][7]. Le tableau ci-dessous résume où se trouve le réglage pour chacun au 15 novembre 2026.

La prise en charge change souvent ; vérifiez la page de sécurité de chaque service avant de commencer. L'annuaire passkeys.directory recense les services qui acceptent les passkeys pour la connexion ou comme second facteur ^[12].

Commencez par les comptes qui donnent accès à tout le reste : votre e-mail principal, le compte cloud de votre téléphone (Google ou Apple), votre gestionnaire de mots de passe, vos comptes bancaires et professionnels. Si votre e-mail tombe, un attaquant peut réinitialiser la plupart de vos autres mots de passe.

Que faire si un compte ne prend pas en charge les passkeys ?

Utilisez une application d'authentification à la place du SMS et désactivez le SMS comme méthode de repli une fois l'application fonctionnelle ^[9]. La CISA place les applications d'authentification en dessous des clés FIDO et des passkeys, parce que leurs codes peuvent encore être hameçonnés, mais indique qu'elles valent mieux que le SMS, qui n'est pas chiffré et peut être lu s'il est intercepté sur le réseau d'un opérateur ^[9]. L'interception par la signalisation des télécoms, la méthode qu'Enea décrit pour SilentAir ^[11], vise les messages envoyés sur le réseau téléphonique, ce que ne sont pas les codes générés dans une application.

• Choisissez une application d'authentification capable de sauvegarder les codes ou de les transférer vers un nouveau téléphone, pour qu'une perte de téléphone ne vous bloque pas.
• Conservez les codes de récupération du service sur papier.
• Ne lisez jamais un code à quelqu'un qui vous appelle ou vous écrit, même s'il prétend être le support du service.
• Revérifiez dans quelques mois : la prise en charge des passkeys se répand vite, et l'abandon du SMS par Microsoft pour les comptes professionnels montre la direction ^[1].

Si une banque ou un service public ne propose que le SMS, vous ne pouvez pas le changer vous-même, mais vous pouvez réduire le risque : protégez votre ligne mobile avec un code PIN d'opérateur, gardez secret le code de votre messagerie vocale et soyez attentif à une perte soudaine de signal, qui peut signaler un échange de carte SIM (SIM swap). Il s'agit de conseils de sécurité généraux ; les pages d'aide de chaque service font foi pour leurs réglages.