Clés d’accès sur Android : supprimer le mot de passe sans perdre la possibilité de récupérer son compte
Les clés d’accès, ou passkeys, remplacent le mot de passe par une preuve cryptographique stockée sur un appareil ou dans un gestionnaire sécurisé. Pour se connecter, l’utilisateur déverrouille son téléphone avec son empreinte, son visage ou son code. Le secret n’est pas saisi sur le site et ne peut donc pas être remis à une fausse page de connexion de la même manière qu’un mot de passe.
Cette résistance à l’hameçonnage est un progrès important. Elle ne dispense toutefois pas de préparer la perte du téléphone, le changement d’appareil et la révocation d’une clé créée par erreur sur un ordinateur partagé.
Comprendre ce qui est créé
Une clé d’accès repose sur une paire de clés. Le service conserve la partie publique ; la partie privée reste protégée par l’appareil ou le gestionnaire de clés. Lors de la connexion, le service envoie un défi signé localement.
L’empreinte ou le visage ne sont pas transmis au site. Google indique que les données biométriques restent sur l’appareil. Elles servent à autoriser l’usage de la clé privée.
Le code de verrouillage devient donc un élément essentiel. Une personne capable de déverrouiller le téléphone peut utiliser les clés d’accès présentes. Un code long, unique et non partagé est indispensable.
Créer une clé uniquement sur un appareil personnel
Google recommande de ne créer une clé d’accès que sur un appareil que l’on possède et utilise. Une clé enregistrée sur un ordinateur familial ou professionnel partagé peut rester disponible après la déconnexion du compte.
Pour un compte Google, ouvrir les options de connexion du compte, choisir Clés d’accès puis créer une clé après authentification. Vérifier le nom de l’appareil affiché et supprimer toute entrée inconnue.
Mettre à jour Android et le navigateur avant le test. Google indique une compatibilité à partir d’Android 9, avec des versions minimales également requises pour les navigateurs et ordinateurs.
Se connecter sur un ordinateur avec son téléphone
Une clé présente sur le téléphone peut servir à se connecter sur un ordinateur compatible. Le site affiche un QR code, l’utilisateur le scanne puis confirme sur son téléphone. Bluetooth doit être activé afin de vérifier la proximité des appareils.
Toujours examiner le domaine avant de scanner. La clé d’accès limite l’hameçonnage, mais l’utilisateur doit savoir quelle opération il autorise. Ne pas valider une demande reçue sans avoir initié la connexion.
Sur un ordinateur public, utiliser une session privée, ne pas créer de clé locale et se déconnecter complètement à la fin.
Conserver plusieurs chemins de récupération
Ajouter une clé d’accès ne supprime pas automatiquement les autres facteurs de connexion ou de récupération du compte Google. Cette coexistence est utile pendant la transition.
Vérifier le numéro et l’adresse de récupération, conserver les codes de secours de l’identification en deux étapes et disposer si possible d’un second appareil de confiance. Une clé matérielle FIDO2 peut constituer une solution indépendante pour les comptes importants.
Ne stocker aucun code de secours uniquement sur le téléphone qui porte déjà la clé d’accès. Une perte physique supprimerait tous les chemins au même moment.
Changer de téléphone sans improviser
Avant une migration, vérifier où les clés sont synchronisées et si le nouveau téléphone utilise le même gestionnaire. Tester la connexion sur le nouvel appareil avant d’effacer l’ancien.
Une fois le transfert confirmé, consulter la liste des clés du compte et supprimer celles qui appartiennent à un appareil vendu, perdu ou réinitialisé. Renommer clairement les clés aide à distinguer un ancien téléphone d’un appareil actuel.
Si une clé semble suspecte, Google peut la désactiver et avertir le titulaire. Il faut traiter cette alerte rapidement, vérifier les sessions et sécuriser le compte.
Le cas des comptes professionnels
Dans Google Workspace, l’administrateur peut limiter la connexion sans mot de passe. Une clé d’accès peut alors servir de second facteur, de moyen de récupération ou pour certaines actions sensibles sans remplacer complètement le mot de passe.
Ne pas contourner la politique de l’entreprise. Demander quelles clés sont autorisées, sur quels appareils et comment déclarer une perte. Un téléphone personnel utilisé pour une clé professionnelle crée aussi une dépendance à documenter.
Le téléphone perdu
Si un appareil contenant une clé est perdu, utiliser un autre moyen de connexion, retirer l’appareil du compte et supprimer la clé associée. Activer en parallèle Find Hub pour sécuriser ou effacer le téléphone.
Changer le mot de passe peut être prudent en cas de compromission, mais la révocation de la clé et des sessions doit être explicitement vérifiée. Une action unique ne couvre pas toujours tous les moyens d’accès.
Prévenir l’administrateur lorsque le compte appartient à une organisation.
Éviter la fausse simplicité
Une connexion par empreinte paraît plus simple qu’un mot de passe, mais elle repose sur plusieurs couches : verrouillage du téléphone, synchronisation du gestionnaire, compte de récupération et appareils autorisés.
Faire un inventaire trimestriel des clés d’accès. Supprimer les appareils inconnus, tester un chemin de secours et mettre à jour les coordonnées de récupération.
Pour une famille, ne pas partager le même profil de téléphone pour accéder à des comptes distincts. Chaque personne doit posséder ses propres clés et son propre verrou.
Une transition progressive
Commencer avec un compte non critique, créer la clé sur un téléphone personnel, tester la connexion sur un ordinateur puis vérifier la récupération. Passer ensuite aux comptes plus importants.
Les clés d’accès réduisent fortement le risque de saisir un secret sur un faux site. Leur sécurité dépend néanmoins de la maîtrise des appareils qui les portent. Le bon système associe une connexion simple au quotidien et une procédure explicite pour le jour où le téléphone n’est plus disponible.
Sources officielles : Google — se connecter avec une clé d’accès et Google Pixel — passer aux clés d’accès.
#Android #Passkeys #Securite #CompteGoogle
En savoir plus sur UniversSmartphone
Subscribe to get the latest posts sent to your email.
