if ( !emtpy($headline_subheadline ) ) : ?>
Les clés d’accès Microsoft pour l’authentification cloud stimuleront l’adoption de la technologie sans mot de passe, mais la plupart des entreprises continueront à adopter une approche d’authentification hybride.
endif; ?>
Aujourd’hui marque le début de la fin d’une ère pour l’authentification Microsoft en entreprise.
Depuis le 1er septembre, les clés d’accès constituent désormais la méthode d’authentification par défaut pour Entra ID, le service de gestion des identités et des accès (IAM) basé sur le cloud de Microsoft. D’ici le 1er février 2027, l’authentification vocale et SMS fournie par Microsoft appartiendra au passé.
Cette décision est considérée comme visant à pousser les entreprises vers une authentification sans mot de passe – une solution avec laquelle les responsables de la sécurité sont largement d’accord mais ont souvent du mal à la déployer pleinement.
Microsoft mettant tout son poids en faveur des clés d’accès dans l’entreprise pourrait marquer un tournant décisif pour la technologie sans mot de passe, mais les applications existantes et les cas d’utilisation spécialisés restent un point de friction.
En conséquence, les professionnels de la sécurité et les experts indépendants envisagent l’avenir immédiat des entreprises comme un monde d’authentification hybride dans lequel les mots de passe (et leurs risques inhérents) sont toujours d’actualité.
Comment les mots de passe résistent au phishing
Le principal avantage des mots de passe par rapport aux mots de passe est qu’ils éliminent complètement les secrets partagés. Au lieu de taper une chaîne devinable, les utilisateurs s’authentifient via des paires de clés cryptographiques déverrouillées localement par la biométrie de leur appareil ou un code PIN.
Les clés d’accès résistent au phishing classique, car un faux site Web ne peut pas tromper le navigateur ou le système d’exploitation en lui faisant utiliser une clé d’accès pour le mauvais domaine en raison des contrôles cryptographiques intégrés.
De nombreux services grand public et entreprises proposent désormais des clés d’accès comme option de connexion et la technologie est soutenue par des agences gouvernementales d’assurance technique telles que le National Cyber Security Centre (NCSC) du Royaume-Uni.
La réalité sur le terrain
Du point de vue d’un RSSI d’entreprise, les clés d’accès offrent une sécurité améliorée et une meilleure expérience utilisateur, mais elles introduisent des défis en matière de gouvernance et de cycle de vie des appareils, ainsi que des préoccupations concernant le verrouillage de l’écosystème.
« Les efforts du NCSC reflètent la réalité selon laquelle les mots de passe traditionnels, même avec une authentification multifacteur, restent vulnérables au phishing et au credential stuffing modernes, alimentés par l’IA », déclare Jason Soroko, chercheur principal à l’autorité de certification mondiale Sectigo.
Alex Laurie, directeur technique de GTM chez Ping Identity, fournisseur de gestion des identités et des accès d’entreprise, note que les mots de passe restent l’un des maillons les plus faibles de la sécurité d’entreprise, « en grande partie parce qu’ils peuvent être volés ou réutilisés ».
« Les clés d’accès réduisent considérablement l’efficacité des attaques de phishing en liant l’authentification à l’application ou au site Web légitime, et la décision de Microsoft de faire des clés d’accès la valeur par défaut reflète la maturité croissante de l’authentification sans mot de passe dans l’ensemble du secteur », explique Laurie.
Cela dit, même si les clés d’accès sont idéales pour les cas d’utilisation par les consommateurs où la relation avec l’utilisateur n’est pas connue à l’avance, elles ne sont pas idéales pour l’authentification des employés, souligne Soroko de Sectigo.
« L’adoption généralisée des mots de passe entre entreprises et employés se heurte toujours à de sérieux obstacles, liés principalement aux complexités opérationnelles de la récupération des comptes, aux problèmes de conformité liés à la liaison des informations d’identification de l’entreprise aux écosystèmes de consommateurs personnels (comme un identifiant Apple BYOD ou un compte Google) et à la simple incompatibilité des infrastructures existantes », note-t-il.
« Chaque fois qu’une gestion étroitement contrôlée de la relation sera nécessaire, une meilleure technologie sans mot de passe existera », déclare Soroko.
Dray Agha, responsable principal des opérations de sécurité chez Huntress, fournisseur de détection et de réponse gérées, décrit que Microsoft fait des clés d’accès par défaut dans Entra ID un « point de bascule » pour l’adoption par les entreprises, tout en notant plusieurs inconvénients potentiels.
« Le problème pour les RSSI est une perte de contrôle. S’appuyer sur Apple, Google ou Microsoft pour synchroniser et récupérer ces clés allège le fardeau de la sécurité, mais lie étroitement la sécurité de l’entreprise aux écosystèmes des consommateurs », explique Agha. « Si un employé n’a plus accès à son compte personnel, la récupération de son identité d’entreprise devient encore plus un casse-tête pour le service informatique. »
Fragmentation des écosystèmes
La fragmentation de l’écosystème entre les plates-formes prenant en charge les mots de passe est un autre obstacle.
« Générer un mot de passe sur un iPhone et essayer de l’utiliser sur une machine Windows d’entreprise partagée n’est pas encore transparent », explique Agha. « Tant que les clés d’accès ne circuleront pas sans effort entre les plates-formes concurrentes, l’expérience utilisateur semblera fragmentée. »
L’un des plus grands défis auxquels les équipes de sécurité sont confrontées n’est pas la manière dont les utilisateurs se connectent lorsque tout fonctionne comme prévu, mais la manière dont les employés de l’entreprise peuvent retrouver l’accès lorsqu’ils perdent un appareil ou changent de rôle.
« Les RSSI doivent s’assurer que les processus de récupération sont résistants au phishing et n’introduisent pas par inadvertance une sécurité plus faible que les mots de passe eux-mêmes », explique Laurie de Ping Identity. « Une reprise sécurisée est essentielle au maintien de la sécurité et de la continuité des activités. »
Les clés d’accès offrent la promesse d’une sécurité améliorée, mais seulement si la technologie est appliquée de manière robuste et cohérente.
« Le discours sur la famille d’attaques Pass-the-Passkey de Black Hat USA 2026 est un rappel utile que les clés d’accès atténuent des classes entières d’attaques, mais que des implémentations défectueuses peuvent toujours créer des chemins de relais, de relecture, d’usurpation d’identité ou d’usurpation d’identité », déclare Michael Grafnetter, analyste principal de la sécurité chez SpecterOps.
Le modèle hybride donnera aux mots de passe un sursis d’exécution
Le déploiement de clés d’accès pour accéder aux applications cloud offre aux entreprises une victoire simple en matière de sécurité, mais la migration complète des clés d’accès est actuellement un « mythe pour les entreprises traditionnelles et les petites entreprises », affirme Agha.
« Les clés d’accès s’appuient sur les normes Web modernes », ajoute-t-il. « Ils ne fonctionneront pas bien avec des applications internes personnalisées, une infrastructure sur site plus ancienne ou des flux de travail industriels de niche. »
Dans un avenir prévisible, l’hybride est la seule stratégie réaliste, selon Agha.
« Les RSSI devraient déployer de manière agressive des clés d’accès pour les applications cloud modernes afin d’obtenir une amélioration immédiate de la sécurité, tout en gardant actifs les MFA traditionnels résistants au phishing ou les jetons matériels physiques en tant que pont pour les systèmes existants », conseille-t-il.
D’autres experts soutiennent également le modèle hybride.
Même pour les applications grand public, une meilleure stratégie de déploiement consiste à planifier l’introduction des clés d’accès progressivement plutôt que d’un seul coup.
« Un déploiement progressif, en commençant par des groupes pilotes ou des applications sélectionnées, permet aux organisations d’identifier et de résoudre les problèmes à plus petite échelle avant d’étendre l’adoption des clés d’accès à l’ensemble de l’entreprise », conseille Greene. « À mesure que les systèmes existants seront progressivement supprimés, les clés d’accès pourront être introduites plus largement dans l’environnement. »
Peu d’organisations peuvent migrer chaque application vers des clés d’accès et éliminer l’utilisation des mots de passe du jour au lendemain.
« Les applications existantes, les systèmes d’entreprise spécialisés et les logiciels tiers pourraient continuer à s’appuyer sur des méthodes d’authentification traditionnelles pendant un certain temps », note Laurie de Ping Identity. « Plutôt que de viser une migration immédiate et complète, les organisations devraient adopter une stratégie par étapes qui introduise des clés d’accès là où elles offrent le plus grand avantage en matière de sécurité, tout en maintenant une prise en charge sécurisée des environnements existants. »
