Vos employés jonglent avec une vingtaine de mots de passe, en réutilisent la moitié et finissent par les noter sur un papillon collé à l’écran. C’est exactement le genre de faille qu’un pirate cherche. Les clés d’accès, qu’on appelle aussi passkeys, changent la donne : on se connecte avec son visage, son empreinte ou le NIP de l’appareil, sans jamais taper de mot de passe.

Microsoft, Google et Apple poussent tous cette technologie depuis 2024, et elle est rendue assez mature pour être déployée dans une PME. Voici ce que c’est, comment ça marche concrètement, et comment l’activer sans casser vos habitudes de travail à Trois-Rivières comme ailleurs en Mauricie.

1. C’est quoi une clé d’accès, au juste

Une clé d’accès, c’est une paire de clés numériques générée par votre appareil au moment où vous l’enregistrez sur un service. Une partie reste sur le serveur du service, l’autre ne quitte jamais votre téléphone ou votre ordinateur. Quand vous voulez vous connecter, l’appareil vous demande votre empreinte, votre visage ou le NIP de l’appareil, puis il prouve au service que c’est bien vous. Pas de mot de passe à retenir, pas de mot de passe à voler.

La grosse différence avec un mot de passe classique : il n’y a aucun secret partagé qui circule. Un pirate qui intercepte la connexion ne récupère rien d’utilisable, et une fausse page de connexion ne sert à rien, parce que la clé d’accès est rattachée au vrai site. C’est ce qui rend l’hameçonnage à peu près inopérant.

• Vous vous connectez avec quelque chose que vous avez (l’appareil) et quelque chose que vous êtes (biométrie).
• La clé fonctionne seulement sur le site légitime pour lequel elle a été créée.
• Rien à mémoriser, rien à réutiliser d’un service à l’autre.

2. Pourquoi vos mots de passe ne tiennent plus la route

Le mot de passe a soixante ans et il montre son âge. Le Centre canadien pour la cybersécurité rappelle que la réutilisation des mots de passe reste une des causes les plus fréquentes de compromission de comptes au pays. Un seul mot de passe volé sur un site piraté, et le pirate l’essaie partout ailleurs. C’est rapide, c’est automatisé, et ça marche plus souvent qu’on pense.

L’hameçonnage est l’autre gros problème. Un employé reçoit un faux courriel Microsoft, clique, entre ses identifiants sur une page qui ressemble à la vraie, et c’est joué. Même l’authentification à deux facteurs par code texto peut être contournée par un attaquant patient. La clé d’accès coupe court à tout ça : il n’y a tout simplement plus de code ni de mot de passe à intercepter.

• Les mots de passe faibles ou réutilisés restent la porte d’entrée numéro un.
• Les codes par texto peuvent être détournés, contrairement à une clé d’accès.
• Moins de réinitialisations de mots de passe, c’est aussi moins d’appels au soutien technique.

3. Comment ça fonctionne, en clair

Disons qu’une employée veut activer une clé d’accès sur son compte Microsoft 365. Elle va dans les paramètres de sécurité, choisit d’ajouter une clé d’accès, et son téléphone lui demande de confirmer avec son empreinte. C’est fait. La prochaine fois qu’elle se connecte, le site lui propose la clé, elle approuve avec son doigt ou son visage, et elle est entrée.

La clé peut vivre à plusieurs endroits selon votre choix : dans le téléphone, dans le trousseau iCloud, dans le gestionnaire de mots de passe Google, ou sur une clé de sécurité physique de type FIDO2. Si elle est synchronisée dans le nuage, elle suit l’employée sur ses appareils. Si vous voulez du plus costaud pour les comptes administrateurs, la clé physique reste l’option la plus solide.

Ce dont vous avez besoin pour commencer

• Des appareils récents : Windows 11, macOS, iPhone ou Android à jour.
• Un navigateur moderne (Edge, Chrome, Safari) qui gère la norme FIDO2.
• Une biométrie activée sur l’appareil, ou au minimum un NIP d’appareil.

4. Activer les clés d’accès sur Microsoft 365 et Windows 11

Pour une PME, le point de départ logique, c’est Microsoft 365, parce que c’est là que vivent les courriels et les fichiers. Un administrateur active d’abord la méthode dans le centre d’administration Entra (les politiques d’authentification), puis chaque employé enregistre sa clé d’accès depuis la page de sécurité de son compte. Microsoft documente la marche à suivre étape par étape, et le déploiement peut se faire graduellement, équipe par équipe.

Un conseil de terrain : ne supprimez pas les mots de passe le premier jour. Laissez les deux méthodes coexister quelques semaines, le temps que tout le monde enregistre au moins deux clés (par exemple le téléphone et une clé physique de secours). Comme ça, personne ne se retrouve barré dehors parce qu’il a échappé son téléphone dans le fleuve.

• Activez la méthode dans Entra, puis testez avec un petit groupe pilote.
• Demandez à chaque personne d’enregistrer deux clés d’accès, jamais une seule.
• Gardez les mots de passe actifs durant la transition, puis resserrez ensuite.

5. Ce que ça change pour une PME en Mauricie

Au-delà de la sécurité, le gain le plus visible est dans le quotidien. Vos employés perdent moins de temps à réinitialiser des mots de passe oubliés, et votre personne responsable de l’informatique reçoit moins d’appels de déblocage. Pour une entreprise de Trois-Rivières qui n’a pas une grosse équipe TI, c’est du temps récupéré chaque semaine.

Le déploiement vaut la peine d’être planifié avec quelqu’un qui connaît votre parc. Mélange d’appareils anciens et récents, employés en télétravail, comptes partagés : chaque réalité demande un ajustement. Notre équipe de services informatiques gérés évalue votre environnement, configure les politiques d’authentification et accompagne vos gens, sans interrompre le travail. Si vous voulez en jaser, écrivez-nous par la page contact et on regarde ça ensemble.

• Moins de réinitialisations de mots de passe, donc moins d’interruptions.
• Une protection sérieuse contre l’hameçonnage, la menace la plus courante.
• Une transition par étapes qui respecte le rythme de votre équipe.

Foire aux questions

Les clés d’accès sont-elles vraiment plus sûres qu’un mot de passe avec MFA?

Oui, parce qu’il n’y a aucun secret à voler ni aucun code à intercepter. La clé est liée au vrai site, donc une fausse page de connexion ne donne rien au pirate. C’est un cran au-dessus du mot de passe accompagné d’un code par texto.

Que se passe-t-il si je perds mon téléphone?

C’est pour ça qu’on enregistre toujours au moins deux clés d’accès, par exemple le téléphone et une clé physique ou un deuxième appareil. Vous vous connectez avec l’autre, puis vous révoquez la clé du téléphone perdu depuis votre compte. Une bonne planification évite tout blocage.

Est-ce que ça fonctionne avec Microsoft 365 et Google Workspace?

Oui. Microsoft 365, Google et Apple gèrent tous les clés d’accès basées sur la norme FIDO2. La plupart des services en ligne courants les acceptent aussi, et la liste s’allonge chaque mois.

Passez aux clés d’accès avec un partenaire de Trois-Rivières

Abandonner les mots de passe ne se fait pas du jour au lendemain, mais c’est l’un des changements de sécurité les plus payants pour une PME québécoise. OKTO Solutions planifie le déploiement des clés d’accès dans votre Microsoft 365, forme vos équipes et garde un filet de sécurité pendant la transition. Découvrez nos services informatiques gérés ou joignez-nous par la page contact pour bâtir un plan adapté à votre entreprise en Mauricie.