Passwordless : pourquoi Microsoft accélère la fin du mot de passe ?
Le mot de passe n’est plus le problème. Il est devenu le risque.
Pendant plus de vingt ans, le mot de passe a constitué le socle de la sécurité numérique. À lui seul, il incarnait la confiance dans le monde digital.
Cette époque touche progressivement à sa fin.
Aujourd’hui, la majorité des cyberattaques ne visent plus les infrastructures ou les applications. Elles ciblent avant tout les utilisateurs. Les techniques de phishing, le vol d’identifiants, les attaques de type Adversary-in-the-Middle, le contournement du MFA ou encore l’ingénierie sociale permettent aux attaquants d’accéder aux systèmes en se faisant passer pour des utilisateurs légitimes.
Comme le souligne Nadim Abdo, Corporate Vice President Identity and Network Access Engineering chez Microsoft : « À mesure que les attaques ciblant les identités gagnent en sophistication à l’ère de l’intelligence artificielle, les organisations doivent adopter des méthodes d’authentification plus robustes afin de protéger leurs utilisateurs contre le phishing, le vol d’identifiants et les techniques d’ingénierie sociale. » (1)
Face à cette réalité, une conviction s’impose progressivement au sein de l’industrie : il ne suffit plus de renforcer les mots de passe. Il devient nécessaire de s’en affranchir.
L'identité est devenue le nouveau périmètre de sécurité
La sécurité des entreprises a longtemps reposé sur la protection des réseaux, des postes de travail ou des applications.
Avec la généralisation du cloud, du télétravail et des identités hybrides, les frontières traditionnelles ont progressivement disparu.
L’identité est devenue le nouveau périmètre de sécurité.
Cette évolution explique pourquoi les cybercriminels investissent massivement dans des techniques visant à compromettre les mécanismes d’authentification plutôt qu’à exploiter des vulnérabilités logicielles.
Même lorsqu’une authentification multifacteur est mise en œuvre, certaines méthodes historiques comme les SMS ou les appels téléphoniques restent vulnérables à des scénarios désormais bien documentés : interception, SIM swapping, détournement de sessions ou manipulations psychologiques des utilisateurs.
Dans ce contexte, la notion de phishing-resistant authentication devient un enjeu stratégique.
Passkeys : une nouvelle génération d'authentification
Les passkeys (ou clés d’accès) reposent sur un modèle radicalement différent du mot de passe traditionnel.
Au lieu de partager un secret entre l’utilisateur et le service, elles s’appuient sur un mécanisme de cryptographie à clé publique. La clé privée reste protégée sur l’appareil de l’utilisateur tandis qu’une clé publique est enregistrée auprès du fournisseur de services.
L’expérience utilisateur s’appuie alors sur des mécanismes déjà familiers :
- reconnaissance faciale ;
- empreinte digitale ;
- code PIN local ;
- clé de sécurité physique.
Cette approche permet de supprimer l’élément le plus facilement exploitable par un attaquant : le secret transmissible.
Comme le rappellent les experts de Microsoft :
« Une véritable avancée ne consiste pas uniquement à proposer des moyens de connexion plus robustes. Elle implique également d’éliminer les mécanismes d’authentification vulnérables au phishing et de renforcer les scénarios fréquemment exploités par les attaquants, notamment les processus de récupération de comptes. (1) » – Vasu Jakkal, Corporate Vice President Microsoft Security, et Nadim Abdo, Corporate Vice President Identity and Network Access Engineering.
Les clés d’accès ne sont donc pas seulement une amélioration du MFA existant. Elles représentent une évolution de paradigme visant à supprimer durablement les principaux vecteurs d’usurpation d’identité.
Pourquoi Microsoft accélère aujourd'hui sa stratégie passwordless ?
Les annonces récentes autour de Microsoft Entra marquent un tournant important.
Microsoft a annoncé que les clés d’accès deviendront progressivement la méthode d’authentification privilégiée dans Entra ID (1) et que les mécanismes SMS et Voice ne seront plus fournis nativement par Microsoft à partir de 2027 (2).
Au-delà d’une simple évolution technologique, cette décision traduit un message fort : les méthodes d’authentification héritées ne sont plus adaptées au niveau de menace actuel.
Nadim Abdo l’exprime sans ambiguïté : « Nous recommandons fortement aux organisations de migrer leurs utilisateurs vers les passkeys ou vers toute autre méthode d’authentification résistante au phishing dans les meilleurs délais. » (1)
Pour accompagner cette transition, Microsoft met également en place (1) (2):
- des campagnes d’enrôlement automatisées vers les passkeys ;
- une expérience simplifiée de création des passkeys ;
- la possibilité d’utiliser une passkey comme premier facteur MFA ;
- la reconnaissance de Windows Hello for Business comme facteur MFA autonome ;
- l’extension du modèle passwordless aux scénarios B2B.
Le passwordless devient ainsi peu à peu le standard attendu, et non plus une vision de long terme.
Une transformation qui dépasse la technologie
Réduire la transition passwordless à un simple projet d’authentification serait pourtant une erreur.
Son adoption implique de repenser plusieurs dimensions fondamentales :
- la gouvernance des identités ;
- les processus de récupération de comptes ;
- les scénarios de continuité opérationnelle ;
- les mécanismes d’authentification de secours ;
- la conduite du changement auprès des collaborateurs.
Autrement dit, cette transformation ne relève pas uniquement de la technologie, elle suppose également une évolution organisationnelle.
Les entreprises doivent identifier les populations concernées, adapter leurs parcours d’authentification, moderniser leurs applications et anticiper les situations nécessitant des mécanismes alternatifs.
Comme pour toute transformation liée à l’identité, la réussite du projet repose autant sur la gouvernance que sur la technologie.
Vers la disparition du mot de passe ?
Le mot de passe ne disparaîtra pas du jour au lendemain.
Certaines applications historiques continueront encore plusieurs années à dépendre de mécanismes de connexion traditionnels.
Pour autant, la trajectoire du marché apparaît désormais très claire. Après avoir généralisé le MFA, les grands fournisseurs d’identité orientent à présent leurs investissements vers des méthodes résistantes au phishing et fondées sur la cryptographie moderne.
L’objectif a changé : plutôt que de renforcer sans cesse la protection des mots de passe, il s’agit désormais de s’en passer.
Notre conviction
Chez Magellan, nous considérons que la généralisation du passwordless constitue l’une des évolutions les plus structurantes de la cybersécurité moderne.
Au-delà de la réduction du risque cyber, elle offre l’opportunité de simplifier l’expérience utilisateur, de renforcer la confiance numérique et de moderniser durablement les stratégies de gouvernance des identités.
Les entreprises qui engageront dès aujourd’hui cette transformation disposeront d’un avantage significatif face à des menaces toujours plus automatisées, sophistiquées et pilotées par l’intelligence artificielle.
La sécurité du futur ne consistera pas à mieux protéger les mots de passe. Elle consistera à ne plus en dépendre.