L’authentification sans mot de passe (passwordless) est une méthode de connexion où l’utilisateur ne saisit plus de mot de passe, mais s’identifie via une empreinte digitale, la reconnaissance faciale, un token matériel ou une clé cryptographique stockée en toute sécurité sur l’appareil. Pour les entrepreneurs et les gestionnaires de sites web, cela signifie moins de risques de fuites de mots de passe et de phishing, une expérience utilisateur plus fluide et moins de demandes d’assistance liées aux mots de passe oubliés. Cet article explique son fonctionnement et comment l’implémenter étape par étape.
Qu’est-ce que l’authentification sans mot de passe
Dans l’authentification traditionnelle, l’utilisateur prouve son identité en partageant un secret (le mot de passe) avec le serveur. Ce secret peut être volé, deviné ou hameçonné. Avec l’authentification sans mot de passe, cela fonctionne différemment : l’appareil de l’utilisateur génère une paire de clés. La clé publique est stockée sur le serveur, tandis que la clé privée ne quitte jamais l’appareil. Se connecter signifie que l’appareil prouve qu’il possède la clé privée correspondante, sans jamais l’envoyer.
Résultat : il n’y a plus de mot de passe pouvant être volé lors d’une fuite de données, et les pages de phishing n’ont plus rien à dérober. Pour les utilisateurs, cela semble en outre plus rapide que de taper un mot de passe et éventuellement un deuxième facteur.
WebAuthn et FIDO2 comme base technique
La norme technique derrière la connexion sans mot de passe sur le web est WebAuthn (Web Authentication API), développée au sein du W3C et faisant partie de la spécification FIDO2 plus large. FIDO2 se compose de deux éléments : WebAuthn gère la communication entre le navigateur et le serveur, tandis que CTAP (Client-to-Authenticator Protocol) gère la communication avec les authentificateurs externes tels que les clés USB. Tous les grands navigateurs prennent en charge WebAuthn, ce qui rend l’implémentation sur ordinateur et mobile parfaitement possible.
| Méthode | Sécurité | Facilité d’utilisation |
|---|---|---|
| Mot de passe | Faible | Moyenne |
| WebAuthn + biométrie | Élevée | Élevée |
| Token matériel | Élevée | Moyenne |
| Code SMS | Moyenne | Faible |
Implémentation étape par étape
Une implémentation fonctionnelle se construit dans un ordre précis. Les étapes ci-dessous s’appliquent quel que soit le langage de programmation dans lequel votre application web est écrite.
Préparer la base de données et la bibliothèque
Étendez votre table utilisateurs avec des champs pour l’ID d’identifiant (credential ID), la clé publique et des métadonnées telles que le type d’authentificateur. Choisissez une bibliothèque WebAuthn éprouvée pour votre langage (par exemple pour Node.js, Python ou Java) plutôt que d’écrire vous-même la cryptographie.
Construire le point de terminaison d’enregistrement
Créez un point de terminaison qui génère une challenge unique lors de l’enregistrement. Conservez-la temporairement côté serveur pour éviter les attaques par rejeu, et associez l’identifiant résultant au compte utilisateur.
Intégration côté client
Utilisez navigator.credentials.create() pour l’enregistrement et navigator.credentials.get() pour la connexion elle-même. Le navigateur gère la communication avec la biométrie ou le token matériel.
Tester et déployer
Testez sur plusieurs appareils et navigateurs, mettez en place une gestion claire des erreurs, et proposez une solution de repli pour les utilisateurs qui ne disposent pas (encore) d’un appareil pris en charge.
Sécurité, solution de repli et hébergement
WebAuthn fonctionne exclusivement via une connexion HTTPS sécurisée ; sans certificat SSL valide, le navigateur refuse l’API. Assurez-vous donc que votre environnement d’hébergement gère automatiquement le SSL, afin de ne pas devoir le gérer manuellement. Tenez également compte des utilisateurs disposant d’appareils plus anciens qui ne prennent pas en charge la biométrie ou les tokens matériels : proposez une alternative claire, par exemple un lien magique envoyé par e-mail.
Comme l’e-mail est souvent la méthode de repli pour la récupération de compte, un hébergement e-mail professionnel fiable avec un bon score de sécurité est important. Si vous gérez l’application via Plesk, vous retrouverez les paramètres SSL et les certificats de manière claire dans le panneau Plesk de votre environnement d’hébergement web. Si vous doutez que votre hébergeur actuel prenne bien cela en charge, découvrez les possibilités de passer à Tandata.
Questions fréquentes
L’authentification sans mot de passe est-elle identique à l’authentification à deux facteurs ?
Non. L’authentification à deux facteurs ajoute une étape supplémentaire en plus d’un mot de passe. L’authentification sans mot de passe remplace entièrement le mot de passe par une clé cryptographique ou la biométrie.
WebAuthn fonctionne-t-il sur tous les navigateurs et appareils ?
La plupart des navigateurs et systèmes d’exploitation modernes prennent en charge WebAuthn, mais les appareils plus anciens peuvent présenter des limitations. Proposez donc toujours une méthode de repli.
Un certificat SSL est-il obligatoire pour la connexion sans mot de passe ?
Oui, WebAuthn fonctionne uniquement via HTTPS. Sans certificat valide, le navigateur ne peut pas utiliser l’API d’authentification.
Que se passe-t-il si un utilisateur perd son appareil ?
Prévoyez une procédure de récupération, par exemple via une adresse e-mail vérifiée ou un second appareil enregistré, afin que l’utilisateur puisse retrouver l’accès.
Conclusion
L’authentification sans mot de passe rend la connexion plus sûre et plus agréable en remplaçant les mots de passe par des clés cryptographiques et la biométrie via la norme WebAuthn. Commencez par une base de données et une bibliothèque bien préparées, construisez soigneusement les étapes d’enregistrement et d’authentification, testez largement et prévoyez une solution de repli. Un environnement d’hébergement fiable avec SSL par défaut facilite considérablement l’implémentation.