Les nouveaux comptes Microsoft « n’auront jamais besoin d’enregistrer de mot de passe »
Passe Khey !

Dix ans après avoir annoncé vouloir se débarrasser des mots de passe et permettre à ses utilisateurs de se connecter de façon sécurisée à leurs comptes à l'aide de leur visage, de leurs empreintes digitales ou de leur code PIN, Microsoft exigera que ses nouveaux utilisateurs s'authentifient avec une « clef d'accès ».
Le 05 mai à 08h38
4 min
Sécurité
Sécurité
Pour sa douzième édition, le premier jeudi du mois de mai, la « Journée mondiale du mot de passe » a été renommée « Journée mondiale de la clé d'accès » (« World Passkey Day ») par l'alliance FIDO (pour « Fast IDentity Online », en anglais). Cette dernière vise à développer et promouvoir des normes d'authentification qui « contribuent à réduire la dépendance excessive du monde aux mots de passe ».
- Clés d’accès (passkeys) : leur importance et leur fonctionnement
- Clés d’accès (passkeys) : après la théorie, place à la pratique !
Microsoft, en phase avec l’annonce de l’alliance FIDO, en a profité pour annoncer la poursuite de sa « transition vers un monde sans mots de passe en introduisant plusieurs changements significatifs », à commencer par le fait que les nouveaux comptes Microsoft seront désormais « sans mot de passe par défaut » (« passwordless by default », en VO).
Les nouveaux utilisateurs disposeront de plusieurs options d'authentification plus sûres (telles que la biométrie, les codes PIN ou les clés de sécurité pour se connecter à leur compte), « et ils n'auront jamais besoin d'enregistrer un mot de passe ». Les utilisateurs existants peuvent de leur côté se rendre dans les paramètres de leur compte pour supprimer leur mot de passe, précise Microsoft.
99 % se connectent à leur compte Microsoft à l'aide de Windows Hello
L’entreprise souligne qu'« aujourd'hui, plus de 99 % des personnes qui se connectent à leurs appareils Windows avec leur compte Microsoft le font à l'aide de Windows Hello », le service qu'elle avait lancé en 2015 pour se débarrasser des mots de passe et permettre à ses utilisateurs de se connecter de façon sécurisée à leurs comptes à l'aide de leur visage, de leurs empreintes digitales ou de leur code PIN.
Microsoft souligne que « parce qu'ils ne saisissent pas de caractères complexes ou de codes à usage unique, les utilisateurs qui se connectent à l'aide d'une passkey réussissent trois fois mieux à accéder à leur compte que les utilisateurs de mots de passe (environ 98 % contre 32 %) » :
« L'année dernière, nous avons introduit la prise en charge des passkeys pour les comptes Microsoft dans nos applications et services grand public tels que Xbox et Copilot, et nous enregistrons aujourd'hui près d'un million de passkeys par jour. »
35 % des sondés ont au moins un compte compromis à cause de leur mot de passe
L'Alliance FIDO publie de son côté un sondage avançant que l'an passé, « plus de 35 % des personnes avaient au moins un de leurs comptes compromis en raison de vulnérabilités de mot de passe » :
« De plus, 47 % des consommateurs abandonneront leurs achats s'ils ont oublié leur mot de passe pour ce compte particulier. Ceci est important pour l'adoption des clés d'accès, car 54 % des personnes familiarisées avec les clés d'accès les considèrent comme plus pratiques que les mots de passe, et 53 % pensent qu'elles offrent une plus grande sécurité. »
Elle relève également que 74 % des consommateurs connaissent les clés d'accès, et 69 % y ont recours « sur au moins un de leurs comptes ». Parmi ceux-ci, 38 % déclarent les autoriser autant que possible. Et plus de la moitié des consommateurs estiment que les clés d'accès sont à la fois plus sécurisées (53 %) et plus pratiques (54 %) que les mots de passe.
Le sondage en ligne SurveyMonkey a été réalisé du 13 au 14 avril 2025 auprès d'un échantillon mondial de 1 389 adultes âgés de 18 ans et plus aux États-Unis, au Royaume-Uni, en Chine, en Corée du Sud et au Japon.
Reste cela dit à savoir si l'expression « Journée mondiale de la clé d'accès » fera florès en France.
Les nouveaux comptes Microsoft « n’auront jamais besoin d’enregistrer de mot de passe »
-
99 % se connectent à leur compte Microsoft à l'aide de Windows Hello
-
35 % des sondés ont au moins un compte compromis à cause de leur mot de passe
Commentaires (39)
Abonnez-vous pour prendre part au débat
Déjà abonné ? Se connecter
Cet article est en accès libre, mais il est le fruit du travail d'une rédaction qui ne travaille que pour ses lecteurs, sur un média sans pub et sans tracker. Soutenez le journalisme tech de qualité en vous abonnant.
Accédez en illimité aux articles
Profitez d’un média expert et unique
Intégrez la communauté et prenez part aux débats
Partagez des articles premium à vos contacts
Abonnez-vousLe 05/05/2025 à 08h59
Le premier exemple qui me vient est Paypal : on ne peut associer qu'une seule clé. C'est idiot et fait perdre l'intérêt de la clé de backup.
Ce week end j'ai découvert aussi l'implémentation moisie d'Amazon (partie ecommerce). Comme j'en ai eu marre des OTP par SMS activés du jour au lendemain, j'ai voulu voir les options disponibles. Déjà, c'était planqué comme s'ils n'en voulaient pas. J'ai pu associer mes deux clés, mais ils ne s'en servent que pour le premier facteur d''authentification ! L'OTP reste requis. J'ai pu associer celui généré par Keepass, le SMS me saoulait, je n'ai pas mon tel greffé à la main.
Et c'est pas dispo sur le compte KDP alors qu'il est pourtant lui aussi sensible avec les informations bancaires pour le paiement des royalties et les infos fiscales (il ne propose que l'OTP par SMS...).
En dehors de ça, les autres que j'ai expérimenté le gèrent bien : GitHub, Discord, Mastodon, etc. Je regrette que Bluesky ne supporte toujours rien d'autre que le MFA par mail.
Les Yubikey apportent vraiment un sacré confort d'usage sinon. L'appli Yubikey Authenticator est pratique aussi pour gérer de l'OTP, elle remplace petit à petit Google Authenticator chez moi.
Le 05/05/2025 à 17h14
Modifié le 05/05/2025 à 09h25
Chaque humain sera définitivement la proie aux vendeurs de tout chemin qui auront réussi à connaître son email, plus de compte fake pour éviter les spams, etc etc etc ...
Il n'y aura plus que le surf sur les sites de prune qui se fera par mot de passe !
(Et le jour où ils imposeront une clé d'authentification biométrique, je te dis pas l'explosion du nombre de scandales dont le nom se termine en XXXstein
Le 05/05/2025 à 09h23
Le 05/05/2025 à 09h06
Windows Hello permet d'utiliser un simple code PIN de 6 chiffres pour déverrouiller sa session Windows, au lieu de taper un truc alphanumérique+caractères spéciaux de 12 caractères, alors forcément ça à du succès, mais ça ne veut pas pour autant dire que ces 99% d'utilisateurs ont activé le passkeys.
D'ailleurs je me demande ce que c'est les 1% restants.
Les gens qui ont contourné les dark patterns pour utiliser des comptes locaux à la place de comptes Microsoft ?
Les entreprises comme la mienne qui bloquent l'accès à Windows Hello pour une raison quelconque ?
Le 05/05/2025 à 09h09
Il suffit que le gars soit parti pisser en laissant son dongle USB dans le PC pour que son collègue de travail qui l'aura vu taper son PIN envoie un mail à toute l'entreprise (ou pire, hein ...).
Le 05/05/2025 à 09h26
Sachant qu'un PIN peut aussi être alphanumérique (je crois que c'est imposé par GPO dans mon entreprise), mais pas sur que ce soit configuré correctement partout...
Le plus drôle c'est qu'il y a un bug qui peut empêcher le changement du code PIN ^^
Le 05/05/2025 à 10h20
Par définition, un code PIN c'est numérique! Alpha-numérique, c'est un mot de passe:
Au contraire des mots de passe, le code PIN est restreint aux seuls caractères numériques, car le clavier sur lequel il est composé se limite généralement aux touches numériques (terminal de paiement électronique, clavier téléphonique…).
L'imposer sur un truc avec un clavier complet c'est juste de la connerie en barre, cf mon autre message. J'assimile cela à "pour tuer son chien, dire qu'il a la rage" pour ma part.
Modifié le 05/05/2025 à 11h08
Edit : lien vers article en parlant
Le 05/05/2025 à 09h40
Si si. Ca se fait !
Le 05/05/2025 à 10h02
Le 05/05/2025 à 10h04
Modifié le 05/05/2025 à 10h12
Le 05/05/2025 à 10h09
Le 05/05/2025 à 10h32
Ça inclut certes le code PIN basique, mais ça englobe aussi les capteurs biométriques comme le lecteur d'empreinte digitales et les caméras compatibles Hello (il y a des capteurs en plus, c'est pas les webcam 360p à 2€).
Mais comme je parlais de statistique bidon, j'ai surtout insisté sur le code PIN, parce qu'il fait gonfler le taux d'adoption de Windows Hello, tout en affaiblissant la sécurité.
Le 09/05/2025 à 10h57
Modifié le 05/05/2025 à 09h46
Pour tomber sur ce nb de possibilités avec un alphabet complet min/maj de 26*2, les 10 chiffres et les 15 caractères spéciaux qu'on accède facilement sur tout clavier international et sur N positions, on a 77^N possibilités.
On a donc des combinaisons identiques pour N=6*ln10/ln76, cad que l'on est proche d'un passwd classique de 3 caractères et que dès 4 on est déjà largement meilleur que ces pin.
Pour les banques qui imposent aussi des PIN mais à 8 chiffres, dès 5 caractères parmi 77 on est largement meilleur (et quand on en était aux mots de passe, elles en imposaient en général 8!).
Tout cela pourquoi: 90% des gens font un motif géométrique sur un clavier numérique et mettent le même partout car cela rends impossible toute stratégie de création de mots de passes individualisés nécéssitant un jeu de caractères complet, basés par exemple sur une partie centrale fixe de 4 à 6 caractères incluant des spéciaux/chiffres, un préfixe sur le champ d'application (comptes sociaux, mail, e-commerce, compte perso/PC) et un suffixe basé sur le nom du service/machine (1ere et/ou dernière lettre, toutes les syllabes...).
C'est vraiment une approche de contrainte sur les mots de passe absolument stupide car elle limite par conception l'entropie, ruine ses stratégies de création de mdp... et au final on impose des méthodes d'authentification limitées contrebalancées par des doubles auth et autres clef qui ne permettent pas de se loguer avec juste le contenu de sa tête.
Le 05/05/2025 à 11h25
D'autre part le but est d'utiliser d'autres moyens que le PIN qui est normalement un "dernier recours".
Mais peu de gens vont appliquer cela ... pour eux le pin à 4 chiffres c'est top ça évite de se rappeler le MDP...
Le 05/05/2025 à 09h22
Pourquoi faire simple quand on peut abuser de sa position dominante…
Le 05/05/2025 à 16h04
Le 05/05/2025 à 09h50
Le 05/05/2025 à 10h04
Le 05/05/2025 à 11h21
Le 05/05/2025 à 10h30
Vous pensiez pouvoir utiliser un compte à plusieurs ? Ou laisser vos identifiants à un collègue pendant vos congés ? Que nenni ! Pour des raisons de sécurité, Microsoft a besoin de différencier chaque individu de la planète qui utilise Windows.
Le 05/05/2025 à 11h39
Le 05/05/2025 à 11h51
Le 05/05/2025 à 12h03
Le 05/05/2025 à 14h04
Que l'IT de l'entreprise veuille différencier les deux, je le comprends. Que le marchand qui a vendu l'OS veuille le savoir, je ne vois pas son intérêt.
Sauf... sauf si l'entreprise a décidé de déléguer sa sécurité informatique à Microsoft. Et là, pour plagier un commentateur célèbre, je dirais:
Modifié le 05/05/2025 à 18h58
L'histoire de la multinationale US n'a rien à voir là dedans.
Surtout que les données sont déjà chez la multinationale US : les données du poste de travail (OneDrive / Sharepoint), les données d'identification du poste de travail (poste dans le domaine Entra ID), et les données du compte utilisateur (profile géré par l'Entra ID - potentiellement fédéré par un système maître).
En fait, je ne vois pas trop ce qu'il y a de nouveau pour la gestion de postes en entreprise. C'est dans le domaine familial que c'est devenu relou de lier Windows à un compte Microsoft. En entreprise, le compte Microsoft, c'est celui lié à la souscription de l'Entra ID derrière (là où avant c'était un AD on premise, il s'est "juste" cloudifié depuis même si ça existe toujours avec ADDS). Sauf si l'entreprise a envie d'utiliser des comptes perso...
On en revient à la même citation.
Après, il reste le choix de ne pas utiliser l'écosystème Microsoft.
Modifié le 05/05/2025 à 19h44
Et si non, pourquoi ?
Le 05/05/2025 à 20h11
Et je n'ai pas exprimé de position quant à cette feature précise, donc j'espère que tu ne m'attribues pas une posture erronée.
Modifié le 06/05/2025 à 11h38
1. tu trouvais acceptable que Ms gère de-facto l'audit-trail des entreprises qui utilisent un service de Microsoft, au prétexte que lorsqu'on un service de Microsoft alors on n'a rien à cacher à Microsoft.
2. qu'il était acceptable que Microsoft impose la méthode d'authentification à ses services, y compris lorsque cette méthode permet de différencier physiquement deux individus.
Pour finir sur une remarque du genre "Microsoft tu l'aimes comme il est ou tu le quittes".
Perso je pense que Ms a déjà suffisamment pris le contrôle sur les systèmes informatiques et qu'il devrait rendre ce contrôle aux clients. Si un client (moi) ne veut pas utiliser de passkey, ne veut pas utiliser de biométrie ou ne veut pas que Ms trace ses activités, je devrais pouvoir opt-out.
Quand j'accepte qu'une entreprise trace mes activités sur son système informatique (on a tous signé un papier dans ce sens), ca ne veut pas dire que j'accepte que Microsoft puisse le faire également.
Le 06/05/2025 à 20h18
J'ai l'habitude de faire abstraction des outils quand je parle de concepts. Depuis le début je ne parlais que des concepts sécurité, pas de l'implem Microsoft voulue.
Cependant, pour l'aspect "tu l'aimes ou tu quittes", c'est la vérité du SaaS. Il faut arrêter de voir l'écosystème Windows / Microsoft comme un OS installé sur des PC. Toute l'offre est en SaaS et Windows n'est qu'un client pour Office 365, Azure AD/Entra ID, et j'en passe.
De ce fait, le client se retrouve pieds et poings liés par les lubies de l'éditeur.
Lorsqu'on travaille avec du SaaS, ce n'est plus de la technique, mais de la gestion du risque et du juridique. Ce qui fait foi, c'est le contrat avec l'éditeur qui va contenir les responsabilités de chaque parties, les engagements mutuels, etc. Microsoft va jurer la main sur le coeur ne pas renifler les données d'audit dans le tenant Entra ID du client, mais ça c'est une ligne sur un contrat. La technique : le client ne la maîtrisera pas et il ne pourra jamais rien démontrer.
Sinon, voici un élément de réponse :
J'utilise un pattern sur Android. Depuis quelques versions, c'est devenu chiant et les points n'accrochent plus très bien, m'obligeant à reprendre à plusieurs fois. Je soupçonne une volonté de rendre ce moyen de déblocage inconfortable pour forcer l'empreinte digitale (que j'ai du skip une bonne dizaine de fois).
Sur le Windows du PC de jeux, je refuse une à deux fois par semaine le "Windows Hello" qui pop à l'ouverture de session, préférant mon code PIN. Même chose pour le client Microsoft qui m'a été donné en guise de PC chez le client.
Mes Yubikey sont des modèles 5 USB-C et USB classique NFC seul.
Je ne sais pas si c'était de moi dont tu parlais quand tu évoquais le "célèbre commentateur", mais je pense que mes positions sur la gestion des données personnelles par les entreprises de la Tech (et ma haine - je n'ai pas peur du mot -, de celles-ci) n'est pas un secret ici.
Avec ces choix, penses-tu que je suis favorable à l'usage des données biométriques par ces entreprises ?
Je trouve ça regrettable qu'il soit impossible d'avoir une discussion sans se voir prêter une quelconque allégeance à quelque chose. C'est même cocasse, car je me rappelle avoir été considéré comme un idiot parano une fois ici quand j'avais évoqué mon manque de confiance dans cette méthode d'accès à un terminal.
Le 07/05/2025 à 12h28
Je commentais la news et, par extension, la tendance de Ms à réduire la liberté de choix de ses clients. Perso, je n'ai rien contre la biométrie tant que c'est moi qui décide quand et où l'utiliser.
Je n'aurais aucun problème à devoir déverrouiller MA base keypass LOCALE avec mon empreinte digitale pour accéder à une passkey générée aléatoirement.
Mais j'ai un problème à devoir générer des passkey avec mon empreinte digitale et devoir en déverrouiller l'accès avec un code pin.
Le 05/05/2025 à 11h03
Modifié le 05/05/2025 à 19h08
La biométrie ne sert pas de mot-de-passe: elle sert à accéder au mot-de-passe.
(qui n'est pas un mot-de-passe mais plutôt un challenge de chiffrement avec clé publique/privée)
#AnalogieFoireuse
Le 05/05/2025 à 11h05
Le 05/05/2025 à 11h16
Le 06/05/2025 à 16h03
Perso j'ai un compte Microsoft qui ne sert à rien sauf à associer mon hardware à ma licence Windows.
Puis des comptes utilisateurs locaux pour moi et ma femme.