Passkeys en entreprise : passer à l’authentification sans mot de passe avec Microsoft 365 et Google Workspace

La réponse courte : une passkey (ou « clé d’accès ») remplace le mot de passe par une paire de clés cryptographiques, dont la partie privée ne quitte jamais l’appareil ou le coffre de l’utilisateur. Le salarié déverrouille avec son empreinte, son visage ou son code PIN, et la connexion ne fonctionne que sur le vrai site. C’est aujourd’hui la méthode la plus simple pour mettre fin au vol de mots de passe par hameçonnage. En entreprise, le sujet devient urgent pour les clients Microsoft 365 : Microsoft retire les SMS et appels vocaux intégrés à Entra ID à partir du 1er février 2027, et pousse les passkeys par défaut depuis le 1er septembre 2026.

Chez ALLSAFE SOLUTIONS, nous déployons l’authentification forte pour des PME à Casablanca et partout au Maroc, sur Microsoft 365, Google Workspace et les accès VPN. Ce guide explique le fonctionnement, les deux familles de passkeys, ce que proposent Microsoft et Google, et la méthode que nous suivons pour passer au sans mot de passe sans bloquer personne. Les capacités citées proviennent de la documentation de Microsoft, de Google, de la FIDO Alliance et de la CISA.

Comment fonctionne une passkey

Une passkey repose sur les standards FIDO2 et WebAuthn. À l’inscription, l’appareil crée une paire de clés unique pour ce service : la clé publique est envoyée au service, la clé privée reste protégée sur l’appareil. À chaque connexion, le service envoie un défi que seule la clé privée peut signer, après vérification locale de l’utilisateur (biométrie ou PIN).

Trois conséquences pratiques :

• Rien à retenir ni à saisir : plus de mot de passe réutilisé, noté sur un post-it ou partagé par message.
• Rien à voler côté serveur : le service ne stocke qu’une clé publique, inutile à un attaquant.
• Résistance à l’hameçonnage : la FIDO Alliance explique que la passkey est liée au nom du site vérificateur. Une fausse page Microsoft hébergée sur un autre domaine ne peut pas l’utiliser, même si l’utilisateur se laisse tromper.

C’est cette dernière propriété qui fait la différence avec les autres facteurs. Un code SMS, un code à six chiffres ou une notification push peuvent être relayés en temps réel par un kit d’hameçonnage. La CISA, l’agence américaine de cybersécurité, présente FIDO/WebAuthn comme la seule authentification résistante à l’hameçonnage largement disponible, et recommande la correspondance de nombres (« number matching ») seulement comme étape intermédiaire. Nous détaillons ces attaques dans les arnaques de phishing qui visent les PME et dans notre article sur la fraude au virement par compromission de messagerie.

Passkey synchronisée ou liée à l’appareil

La FIDO Alliance distingue deux familles. Le choix entre les deux est la première décision d’un projet en entreprise.

Critère	Passkey synchronisée	Passkey liée à l’appareil
Où vit la clé privée	Dans un coffre cloud chiffré (trousseau iCloud, Gestionnaire de mots de passe de Google…)	Sur un seul appareil : clé FIDO2, Microsoft Authenticator, puce du poste
Perte de l’appareil	La passkey reste disponible sur les autres appareils du même compte	Il faut une seconde méthode ou un accès temporaire
Contrôle de l’entreprise	Dépend du compte cloud de l’utilisateur	Fort : l’appareil peut être identifié (attestation)
Niveau d’assurance selon FIDO	Adapté à la plupart des usages	Le plus élevé, pour les comptes sensibles
Usage type	Salariés, applications courantes	Administrateurs, direction, finance, postes partagés

Point important côté Microsoft : les passkeys synchronisées ne prennent pas en charge l’attestation. Si l’administrateur active l’attestation sur un profil de passkeys Entra ID, seules les passkeys liées à l’appareil sont acceptées. C’est le bon réglage pour les comptes d’administration, moins pour l’ensemble des salariés.

Ce que propose Microsoft 365 (Entra ID)

Microsoft Entra ID accepte aujourd’hui trois types de passkeys : synchronisées, liées à l’appareil dans Microsoft Authenticator, et liées à l’appareil sur des clés de sécurité FIDO2. Dans Authenticator, la clé est créée dans la Secure Enclave sur iPhone, et dans le Secure Element ou l’environnement d’exécution de confiance sur Android. L’administrateur les configure par « profils de passkeys », qui précisent les types autorisés et l’attestation.

Sur les postes Windows gérés et joints à Entra ID, Microsoft recommande toujours Windows Hello for Business, qui est lui aussi une méthode résistante à l’hameçonnage. Les passkeys dans Authenticator servent notamment à l’initialiser sans mot de passe. Pour l’arrivée d’un salarié ou la perte d’un appareil, le Temporary Access Pass est un code temporaire qui permet d’enregistrer la première méthode ; Microsoft précise qu’il n’est pas résistant à l’hameçonnage et recommande l’usage unique.

Enfin, l’accès conditionnel propose une « force d’authentification » prédéfinie, MFA résistante à l’hameçonnage, qui n’accepte que Windows Hello for Business, les passkeys FIDO2 et l’authentification par certificat. C’est elle qu’on impose d’abord aux rôles d’administration, comme le recommande Microsoft. Ces réglages complètent ceux de notre article sécuriser Microsoft 365 en dix réglages, et la gestion des postes se fait avec Microsoft Intune.

La fin des SMS dans Microsoft Entra : le calendrier

Microsoft a publié un calendrier de retrait de l’authentification par SMS et appel vocal fournie nativement dans Entra ID :

Date	Ce qui change, selon Microsoft
1er septembre 2026	Les passkeys deviennent l’expérience par défaut : elles sont activées automatiquement pour les utilisateurs qui ont le SMS ou l’appel, avec une campagne d’inscription gérée par Microsoft
30 octobre 2026	Les clients qui veulent garder le SMS ou l’appel peuvent choisir un fournisseur de téléphonie tiers via le Microsoft Security Store
1er février 2027	Retrait du SMS et de l’appel fournis par Microsoft pour tous les utilisateurs, sauf administrateurs généraux et utilisateurs externes
1er juillet 2027	Retrait pour les administrateurs généraux et les utilisateurs externes

Après ces dates, un utilisateur dont la seule méthode est le SMS ou l’appel devra enregistrer une passkey à sa connexion, sans possibilité de refus selon Microsoft. Pour une PME, attendre février 2027, c’est découvrir le changement un lundi matin, avec un accueil qui ne peut plus ouvrir sa messagerie. Mieux vaut migrer dès maintenant, à son rythme. Microsoft met à disposition un script d’analyse pour repérer les utilisateurs concernés.

Ce que propose Google Workspace

Chez Google, l’administrateur active l’option « Ignorer les mots de passe » dans la console d’administration, rubrique Sécurité puis Authentification. Elle s’applique à toute l’organisation ou à une unité organisationnelle. L’option est désactivée par défaut et ne supprime pas le mot de passe existant : l’utilisateur ajoute ensuite une passkey et peut se connecter sans la saisir.

Deux réglages utiles :

• Restreindre aux clés de sécurité matérielles : Google prévient qu’alors, les passkeys stockées sur les téléphones et ordinateurs ne fonctionnent plus. À vérifier d’abord dans le rapport des utilisateurs.
• Suivi : l’outil d’investigation de sécurité indique combien d’utilisateurs ont inscrit une passkey et combien l’utilisent pour se connecter.

Pour choisir entre les deux suites, voir Microsoft 365 ou Google Workspace et notre page partenaire Google Workspace.

Quelle méthode pour quel profil

Profil	Méthode principale	Méthode de secours
Salarié sur poste Windows géré	Windows Hello for Business	Passkey dans Microsoft Authenticator
Salarié mobile ou en télétravail	Passkey dans Authenticator ou sur le téléphone	Seconde passkey ou Temporary Access Pass
Administrateurs informatiques	Clé de sécurité FIDO2 avec attestation	Seconde clé conservée en lieu sûr
Direction et finance	Clé FIDO2 ou passkey liée à l’appareil	Seconde clé ou Authenticator
Poste partagé (accueil, atelier, entrepôt)	Clé FIDO2 personnelle	Temporary Access Pass à usage unique

Les comptes d’administration méritent un traitement à part : nous l’expliquons dans gestion des comptes administrateurs, PAM et LAPS.

Notre plan de déploiement en six étapes

1. Inventaire : quelles méthodes chaque utilisateur a-t-il enregistrées ? Qui n’a que le SMS ? Quelles applications dépendent encore d’un mot de passe seul (anciennes messageries, VPN, logiciels métier) ?
2. Politique : activer les passkeys dans Entra ID ou Google Workspace, définir les profils (synchronisées pour tous, liées à l’appareil avec attestation pour les administrateurs), activer le Temporary Access Pass à usage unique.
3. Pilote : un petit groupe de volontaires, dont un administrateur, le temps de valider la procédure, avec une procédure d’inscription illustrée.
4. Généralisation : campagne d’inscription par service, deux méthodes par personne, accompagnement sur place pour l’accueil et les équipes moins à l’aise.
5. Durcissement : accès conditionnel avec la force « MFA résistante à l’hameçonnage » en mode rapport seul, puis en application, d’abord sur les administrateurs, ensuite sur les applications sensibles.
6. Exploitation : procédure de perte d’appareil, arrivée et départ des salariés, revue régulière des méthodes enregistrées.

Ce plan prolonge notre guide de déploiement du MFA et s’inscrit dans une démarche Zero Trust pour PME.

Les erreurs à éviter

• Imposer la MFA résistante à l’hameçonnage aux administrateurs avant qu’ils aient inscrit une passkey : Microsoft avertit que cela peut verrouiller l’accès au tenant.
• Une seule méthode par personne : la perte d’un téléphone devient alors un ticket urgent.
• Un Temporary Access Pass réutilisable et valable longtemps : il élargit la fenêtre d’attaque.
• Oublier le mot de passe resté actif : tant qu’il existe et qu’une application l’accepte seul, il reste une porte d’entrée. Notre politique de mots de passe reste nécessaire pendant la transition.
• Négliger la sensibilisation : les salariés doivent comprendre pourquoi on ne leur demande plus de code, et qu’aucun service ne leur demandera de « valider » une connexion qu’ils n’ont pas lancée. Voir notre programme de sensibilisation au phishing.

Et pour le VPN et les autres applications ?

Les passkeys couvrent les applications qui s’authentifient via Microsoft Entra ID ou Google. Pour le VPN du pare-feu et les accès qui n’y sont pas raccordés, une solution comme WatchGuard AuthPoint, qui prend en charge les passkeys, complète le dispositif. L’objectif reste le même : une seule identité, des méthodes résistantes à l’hameçonnage partout où c’est possible, et une liste claire des exceptions.

Comment nous accompagnons le passage aux passkeys

Nous commençons par un audit des méthodes d’authentification et des applications, puis nous configurons les politiques, menons le pilote et accompagnons chaque service jusqu’à la généralisation. Les comptes et les connexions à risque sont ensuite supervisés 24/7, et un incident critique est pris en charge en moins de 15 minutes. Découvrez notre offre de cybersécurité des entreprises au Maroc, notre accompagnement Microsoft 365 et Azure et notre page partenaire Microsoft. Puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.