Pourquoi les passkeys sont plus sûres que les codes SMS pour t'authentifier

Cette explication détaille pourquoi les passkeys (clés de passe) sont plus sûres que les codes SMS pour l'authentification. Le problème principal des codes SMS est qu'ils sont des secrets partagés : l'utilisateur peut les transmettre par erreur à un attaquant. Avec une passkey, la sécurité repose sur la cryptographie asymétrique. Ton appareil génère une paire de clés : une clé publique (partagée avec le site) et une clé privée (qui reste strictement sur ton appareil). Pour se connecter, le site envoie un défi que ton appareil signe avec la clé privée. Ce qui rend le système inviolable face au phishing, c'est que cette signature est liée au domaine exact. Si tu es sur un faux site, ton navigateur détecte que le domaine ne correspond pas et refuse de transmettre la signature, protégeant ainsi ta clé privée.

Exemple : Tu essaies de te connecter à Facebook sur un site frauduleux qui imite parfaitement le design. Le site te demande ta passkey. Ton navigateur vérifie l'URL et constate qu'il ne s'agit pas de facebook.com. Il bloque alors l'accès à la clé privée stockée sur ton téléphone. L'attaquant ne reçoit aucune donnée utile et ne peut pas contrefaire ta signature, car il n'a pas la clé privée.