Passkey

Se connecter avec une paire de clés

Un passkey est un moyen d’authentification cryptographique associé à un compte auprès d’un service précis. Le service conserve la clé publique ; l’authentificateur gère le matériel de clé privée. Lors de la connexion, il produit une réponse signée à une demande du serveur. Le serveur la vérifie avec la clé publique enregistrée. Sur le Web, l’application utilise WebAuthn.

Prévoir les changements d’appareil

Une plateforme fictive de projets enregistre un passkey pour le compte P-24. Selon l’appareil et les exigences, l’autorisation peut passer par un code PIN de l’appareil ou la biométrie. La plateforme n’accepte la connexion qu’après vérification de la réponse signée côté serveur. L’autorisation visible sur l’appareil ne constitue pas à elle seule une session acceptée par le portail.

Certains authentificateurs permettent sauvegarde ou synchronisation par un fournisseur ; d’autres moyens d’accès restent liés à l’appareil. L’équipe doit donc préciser comment ajouter un accès, retirer un moyen d’authentification perdu et récupérer le compte. La synchronisation vers n’importe quel nouvel appareil ne doit pas être supposée. Le parcours de récupération exige aussi des preuves adaptées de la titularité du compte.

Après la connexion, la plateforme vérifie encore quels projets le compte peut consulter ou modifier. Un passkey ne remplace pas ces autorisations métier.

Sources

• MDN — Passkeys