Les clés d’accès font environ un tiers des connexions, selon l’indice 2026

L’indice des clés d’accès 2026 de la FIDO Alliance dit que, parmi les services grand public qui ont contribué, 36 % des connexions réussies utilisaient une clé d’accès. Un an plus tôt, le même genre d’indice plaçait cette part à 26 %. Le chiffre est réel, et il est plus étroit que « un tiers d’Internet ».

La FIDO a publié l’indice le 15 octobre 2026. C’est un sondage d’entreprises qui offrent déjà des clés d’accès, pas un recensement de tous les comptes.

Ce qui a été mesuré

La page de l’indice et le PDF décrivent la méthode dès les premières pages. Quinze services grand public, que la FIDO appelle des parties de confiance, ont soumis des chiffres confidentiels. Aucun nombre n’est lié à une entreprise nommée. Les résultats ont été compilés le 21 septembre 2026. Les pourcentages sont des moyennes non pondérées des organisations qui ont répondu à cette question. Toutes n’ont pas répondu à toutes les questions, donc chaque chiffre a son propre effectif.

Les 36 % sont la part moyenne des connexions réussies faites avec une clé d’accès, chez 12 organisations. La FIDO dit que cette part comprend une nouvelle connexion au cours d’une session et exclut la récupération de compte. Elle ne couvre que les services qui offrent une clé d’accès comme moyen de connexion. L’indice de l’an dernier comptait 9 organisations et rapportait 26 %. La FIDO dit que la comparaison est indicative : le groupe de cette année contre le groupe de l’an dernier, pas les mêmes entreprises mesurées deux fois.

L’inscription a moins bougé que l’usage. Chez les organisations qui ont déclaré les deux, la part des comptes qui ont une clé d’accès est passée de 34 % dans l’indice 2025 à 38 % dans celui-ci, tandis que la part des connexions est passée de 26 % à 36 %. L’écart entre « a une clé d’accès » et « a utilisé une clé d’accès » est passé d’environ 8 points à environ 2. La lecture de la FIDO est que les gens qui avaient déjà une clé d’accès l’ont utilisée plus souvent. Huit organisations sur dix dans cette comparaison voient encore une part de connexions inférieure à leur taux d’inscription, ce que la FIDO lit comme des gens qui ont une clé d’accès mais à qui on ne l’offre pas toujours, ou qui ne peuvent pas toujours l’utiliser, à l’écran de connexion.

Deux autres moyennes, chez les organisations qui les mesurent : les connexions par clé d’accès ont réussi 93 % du temps, contre 78 % pour l’authentification multifacteur traditionnelle, et une connexion par clé d’accès était près de trois fois plus rapide, ce qui économise 27 secondes en moyenne. Chaque participant qui mesure l’hameçonnage a dit que les attaques réussies avaient baissé depuis le déploiement des clés d’accès. Chaque participant qui a fourni des données de coût a dit que les coûts des mots de passe à usage unique par texto avaient baissé. Ce sont des déclarations des participants qui suivent la chose, pas un décompte d’attaques ni un montant en dollars que la FIDO accepterait d’attacher à un nom.

Ce que l’indice ne dit pas

Il ne dit pas que 36 % de vos comptes ont une clé d’accès. Il ne dit pas que les mots de passe ont disparu. Il ne dit pas qu’une clé d’accès ne peut pas être hameçonnée d’une autre façon. Il dit que les organisations qui mesurent l’hameçonnage ont déclaré moins d’attaques réussies après avoir activé les clés d’accès. Une anecdote d’une seule organisation dans la section « en pratique » du PDF est le chiffre de cette organisation. La FIDO dit que ces exemples utilisent des mesures différentes et ne peuvent ni être moyennés ni être rattachés aux 36 %.

L’indice ne dit pas non plus lequel des 15 services est lequel. Deviner à partir d’un logo sur la diapositive de quelqu’un d’autre n’est pas dans le document.

Quoi en faire

1. Si un service que vous utilisez déjà offre une clé d’accès, activez-la, puis utilisez-la vraiment. L’histoire de l’indice est que l’inscription a bougé lentement et que l’usage a rattrapé. Une clé d’accès qui existe mais qu’on n’offre jamais à la connexion ne change pas les 36 %. Quand le site vous laisse préférer la clé d’accès, faites-le.
2. Gardez une deuxième façon d’entrer qui n’est pas un code par texto. L’indice traite la baisse des coûts de textos comme un avantage pour l’entreprise. Pour vous, l’avantage est de ne pas dépendre d’un code que peut lire quelqu’un qui a convaincu votre fournisseur de déplacer le numéro. Notre guide pour verrouiller un compte Google ou Apple est la version concrète de cela pour les deux comptes qui déverrouillent les autres.
3. Une clé d’accès ne remplace pas le ménage après une fuite. Si une entreprise a déjà perdu votre mot de passe, ajouter une clé d’accès maintenant arrête le prochain hameçonnage de mot de passe. Cela n’efface pas l’ancien. Changez celui-là, et tout autre site où vous l’avez réutilisé.

Vous n’avez pas besoin d’une nouvelle application, et vous n’avez pas besoin d’acheter une clé matérielle pour que ce résultat vous concerne. Les clés d’accès de l’indice sont celles que les services grand public livrent déjà, en général celle qui est intégrée au téléphone ou à l’ordinateur.

Sources

• FIDO Alliance, « Passkey Index 2026 » (en anglais), 15 octobre 2026
• FIDO Alliance, « Passkey Index » (PDF) (en anglais), chiffres compilés le 21 septembre 2026