Passkey Index 2026 : un tiers des connexions sans mot de passe, et une grille pour s’y mettre

Le 15 octobre 2026, à l’ouverture de sa conférence Authenticate, la FIDO Alliance a publié la deuxième édition de son Passkey Index et revu son estimation mondiale : environ 7 milliards de passkeys sont désormais en usage, contre 5 milliards annoncés en mai. Derrière le chiffre spectaculaire, l’intérêt du rapport est ailleurs : quinze grands services grand public, banques, messageries, opérateurs télécoms et plateformes de paiement compris, ont partagé leurs données de connexion réelles. Pour une équipe produit, c’est la première fois que l’on peut comparer ce que les passkeys promettent et ce qu’elles livrent à grande échelle.

Ce que disent les chiffres

• Plus d’une connexion réussie sur trois passe par une passkey : 36 % en moyenne sur les participants, contre 26 % dans l’édition 2025.
• Les passkeys aboutissent plus souvent : 93 % de tentatives réussies, contre 78 % pour les mots de passe et l’authentification multifacteur classique, code SMS compris. Elles sont près de trois fois plus rapides et font gagner 27 secondes par connexion en moyenne.
• L’éligibilité est presque totale : 90 % des comptes actifs peuvent créer une passkey, et 42 % des comptes éligibles en possèdent une, soit environ 38 % de l’ensemble des comptes.
• L’écart entre inscription et usage se referme : 38 % de comptes équipés pour 36 % de connexions, contre 34 % et 26 % l’an dernier.
• Le bénéfice sécurité se mesure enfin : les huit participants qui suivent l’hameçonnage constatent une baisse des attaques réussies depuis le déploiement, et les quatre qui ont partagé leurs coûts voient leur facture de codes SMS diminuer.
• La suite est écrite : neuf participants sur treize prévoient de proposer des comptes sans aucun mot de passe dans les douze mois.

La FIDO Alliance précise elle-même les limites : les moyennes ne sont pas pondérées, un petit service pèse autant qu’une plateforme mondiale, et le panel est passé de neuf à quinze participants, ce qui rend la comparaison avec 2025 indicative plutôt que stricte. Les ordres de grandeur, eux, convergent.

Le vrai frein n’est plus technique

Le rapport pointe une cause précise au décalage entre comptes équipés et connexions effectives : deux participants reconnaissent que leur parcours propose encore le mot de passe ou un code avant la passkey, y compris aux utilisateurs qui en possèdent une. Autrement dit, la technologie est en place, les navigateurs et les systèmes la gèrent, mais l’écran de connexion continue de pousser l’ancienne méthode. Or le gain de sécurité d’une passkey disparaît tant qu’un mot de passe hameçonnable reste accepté sur le même compte. C’est un sujet de conception de parcours, donc une décision produit, pas un chantier d’infrastructure.

La grille FIDO : quatre niveaux pour s’auto-évaluer

Pour aider les équipes à franchir ce cap, la FIDO Alliance publie sur Passkey Central une grille d’évaluation en quatre paliers cumulatifs. Il s’agit d’un outil d’auto-diagnostic, pas d’une certification.

• Bronze, le socle fonctionnel : plusieurs passkeys autorisées par compte pour éviter le blocage, un écran de gestion visible, des solutions de repli explicites et un vocabulaire cohérent.
• Argent, la cible recommandée au lancement : remplissage automatique dans le champ de connexion, invitation à créer une passkey au bon moment, gestion des erreurs et accessibilité.
• Or : conversion automatique d’un mot de passe enregistré en passkey après une connexion réussie, avec notification, intégration de l’API Signal pour retirer les passkeys devenues invalides, et récupération de compte proportionnée au risque.
• Platine : retrait des facteurs hameçonnables, mots de passe et codes SMS, et alignement entre les différents domaines d’une même marque.

La grille liste aussi les erreurs fréquentes : la fenêtre bloquante qui force la création d’une passkey, la limite d’une seule passkey par compte, ou la conversion silencieuse sans prévenir l’utilisateur.

Qui est concerné

Tout service qui authentifie des personnes : portail client, espace adhérent, application métier interne, outil SaaS. Les décideurs y trouvent un argument chiffré sur les coûts de SMS et la fraude ; les équipes produit, une feuille de route lisible ; les équipes sécurité, une preuve terrain de la résistance à l’hameçonnage. Les entreprises qui déploient des passkeys pour leurs collaborateurs disposent désormais d’une section dédiée sur Passkey Central, avec un guide de déploiement et des retours d’expérience documentés.

Par où commencer

1. Mesurez trois indicateurs : part de comptes éligibles, part de comptes équipés, part de connexions réussies par passkey. Sans ces chiffres, aucune décision n’est défendable.
2. Positionnez-vous sur la grille. Les deux manques que la grille elle-même signale comme les plus courants sont la limite d’une seule passkey par compte et l’absence d’écran de gestion.
3. Faites de la passkey le chemin par défaut pour ceux qui en ont une, avec le remplissage automatique du navigateur. C’est là que se joue l’écart entre 38 % et 36 %.
4. Préparez le compte sans mot de passe pour les populations prêtes, en commençant par les comptes à haut risque, et définissez la récupération avant de retirer le repli.
5. Budgétez la réduction des SMS : c’est souvent la ligne qui finance le projet.

Nous accompagnons les équipes produit et techniques dans ce diagnostic et dans la conception du parcours, du socle bronze au compte sans mot de passe. Parlons de votre parcours de connexion.