Passkeys Google : checklist sécurité pour TPE

# Passkeys Google : checklist sécurité pour TPE

Les passkeys peuvent réduire fortement les risques liés aux mots de passe faibles ou réutilisés. Mais pour une TPE, elles ne règlent pas seules la sécurité des comptes Google, surtout si un poste est déjà compromis ou mal administré. La bonne décision n’est pas de les activer partout sans méthode, mais de les intégrer dans une procédure claire, contrôlée et récupérable.

Les passkeys Google suffisent-elles à sécuriser une TPE ?

Non, les passkeys renforcent l’authentification, mais elles ne remplacent ni la gestion des terminaux, ni les règles d’accès, ni les procédures de récupération. Une passkey protège mieux qu’un mot de passe isolé, mais elle reste liée à un appareil, un navigateur, un compte ou un gestionnaire. Si l’environnement est mal sécurisé, le gain peut être partiellement annulé.

Pour un dirigeant de TPE, le point essentiel est de ne pas confondre technologie d’authentification et stratégie de sécurité. Une passkey permet à un utilisateur de se connecter sans saisir un mot de passe classique, souvent avec la biométrie ou le déverrouillage local de l’appareil. Cela limite le phishing traditionnel, car l’utilisateur ne tape pas un secret réutilisable sur une fausse page.

Mais une TPE travaille rarement dans un environnement parfaitement maîtrisé. Un salarié peut utiliser plusieurs navigateurs, un ordinateur personnel, un téléphone non supervisé, ou un gestionnaire de mots de passe synchronisé avec d’autres services. Dans une entreprise corse, la contrainte est encore plus concrète : lorsqu’un terminal critique tombe en panne, se perd ou doit être remplacé rapidement, l’accès aux comptes ne doit pas dépendre d’un seul appareil indisponible.

La première décision consiste donc à définir où les passkeys sont autorisées. Postes professionnels uniquement ? Téléphones personnels acceptés ? Navigateurs synchronisés autorisés ? Comptes administrateurs traités différemment des comptes utilisateurs ? Sans cette clarification, vous améliorez une porte d’entrée tout en laissant floue la manière dont les clés sont créées, stockées, supprimées et récupérées.

Quel est le principal risque avec les passkeys synchronisées ?

Le principal risque est de croire qu’une passkey synchronisée est automatiquement maîtrisée par l’entreprise. Si elle est répliquée dans un écosystème personnel ou sur un appareil non contrôlé, vous pouvez perdre de la visibilité sur les accès réels. La synchronisation doit donc être encadrée avant le déploiement.

Les passkeys peuvent être stockées localement sur un appareil ou synchronisées via un compte cloud ou un gestionnaire compatible. Cette synchronisation est pratique : elle évite de bloquer un collaborateur qui change de téléphone ou de poste. Mais elle introduit une question de gouvernance : qui contrôle réellement l’environnement dans lequel la passkey circule ?

Dans une TPE, le sujet se pose souvent au moment du départ d’un salarié, d’un changement de prestataire ou d’un remplacement d’ordinateur. Si une passkey a été créée depuis un terminal personnel, la révocation doit être pensée à l’avance. Il ne suffit pas de demander à l’utilisateur de supprimer un accès : l’entreprise doit pouvoir vérifier, retirer les méthodes d’authentification enregistrées et forcer une nouvelle configuration si nécessaire.

La checklist dirigeant doit inclure plusieurs contrôles simples. D’abord, identifier les comptes Google critiques : direction, comptabilité, administration, outils métier, accès aux données clients. Ensuite, vérifier les appareils associés à chaque compte. Puis décider si les passkeys synchronisées sont acceptées uniquement via des comptes professionnels et des terminaux connus. Enfin, documenter la procédure de suppression lorsqu’un appareil est perdu, cédé, recyclé ou confié à un autre utilisateur.

Ce point rejoint un enjeu plus large : l’identité numérique devient une surface d’attaque centrale. Nous l’abordons aussi dans l’analyse Agents IA et cybersécurité : le signal d’alerte Anthropic, car les nouveaux usages numériques augmentent la valeur des comptes compromis.

Que se passe-t-il si le poste est déjà compromis ?

Si le poste est déjà compromis, une passkey ne suffit pas à garantir la sécurité de la session. Un logiciel malveillant, une extension douteuse ou un navigateur infecté peut exploiter l’accès déjà ouvert ou intercepter des actions après connexion. La sécurité des passkeys dépend donc aussi de l’état du terminal.

C’est une limite importante pour les TPE. Beaucoup d’attaques ne cherchent plus seulement le mot de passe : elles visent la session active, le navigateur, les cookies, les extensions, ou les outils de prise en main à distance. Si l’ordinateur de la personne qui gère la comptabilité est infecté, le problème ne se résume pas à la méthode de connexion.

Avant de généraliser les passkeys, il faut donc contrôler les postes. Les navigateurs doivent être à jour, les extensions limitées aux besoins réels, les profils séparés entre usage professionnel et usage personnel, et les sessions inutiles fermées. Les droits administrateur locaux doivent être restreints, car un utilisateur qui peut installer n’importe quel logiciel peut aussi affaiblir les protections mises en place.

Pour une entreprise insulaire, cette discipline évite des blocages opérationnels. Si une intervention sur site est nécessaire entre Bastia, Ajaccio, la Plaine orientale ou une zone plus éloignée, chaque panne de sécurité peut vite devenir un arrêt de production, une impossibilité de facturer ou une perte d’accès aux échanges clients. La passkey doit donc faire partie d’un ensemble : poste sain, compte maîtrisé, sauvegarde des accès, procédure de crise.

Quelle checklist appliquer avant d’activer les passkeys ?

La bonne checklist commence par les comptes critiques, les terminaux autorisés et la récupération d’accès. Ensuite seulement, vous pouvez activer les passkeys utilisateur par utilisateur. L’objectif est d’éviter qu’une amélioration de sécurité crée un risque de blocage métier.

Commencez par cartographier les comptes Google de l’entreprise. Qui possède les droits d’administration ? Qui peut accéder aux documents sensibles ? Qui gère les moyens de paiement, les devis, la facturation, les ressources humaines ou les données clients ? Cette étape permet de différencier les comptes courants des comptes à protéger en priorité.

Ensuite, définissez les terminaux autorisés. Un poste professionnel suivi, mis à jour et sauvegardé n’a pas le même niveau de risque qu’un ordinateur familial partagé. Un téléphone personnel peut être acceptable dans certains cas, mais il doit être intégré à une règle claire : verrouillage obligatoire, système à jour, suppression immédiate de l’accès en cas de départ ou de perte.

Vérifiez aussi le navigateur. Les passkeys fonctionnent dans un environnement où le navigateur joue un rôle central. Il faut donc limiter les extensions, éviter les profils partagés, désactiver les synchronisations non maîtrisées et former les utilisateurs à ne pas valider une demande de connexion qu’ils n’ont pas initiée.

Conservez une authentification multifacteur adaptée pour les scénarios où la passkey n’est pas disponible. Le but n’est pas d’empiler les obstacles, mais d’avoir un chemin de secours sécurisé. Une clé de sécurité physique pour les comptes les plus sensibles peut être pertinente, à condition de prévoir sa conservation, son double de secours et son usage documenté.

Enfin, testez la récupération. Un dirigeant doit poser une question simple : si le téléphone du gérant tombe à l’eau, si l’ordinateur de la comptabilité est volé, ou si un salarié quitte l’entreprise sans préavis, qui récupère l’accès et comment ? Si la réponse n’est pas écrite, le déploiement n’est pas prêt.

Comment déployer les passkeys sans bloquer l’activité ?

Le déploiement doit être progressif, documenté et réversible. Vous commencez par les comptes les plus sensibles, puis vous étendez aux équipes après validation des procédures. Une TPE doit privilégier la continuité d’activité autant que le renforcement de sécurité.

La méthode la plus sûre consiste à traiter d’abord les comptes administrateurs et la direction. Ce sont eux qui peuvent réinitialiser, déléguer ou récupérer les accès. Si ces comptes sont mal configurés, toute l’entreprise devient vulnérable à une erreur ou à une compromission.

Ensuite, accompagnez les utilisateurs avec des consignes simples. Une passkey ne doit pas être créée depuis n’importe quel appareil. Une demande de validation inattendue doit être signalée. Un changement de téléphone doit déclencher une vérification. Un départ de collaborateur doit inclure la suppression des méthodes d’authentification associées.

Prévoyez aussi une période de contrôle. Pendant cette phase, vérifiez les appareils enregistrés, les méthodes de secours, les connexions inhabituelles et les comptes qui conservent des mots de passe faibles ou partagés. La passkey ne doit pas masquer les anciennes failles : comptes génériques, boîtes partagées sans responsabilité claire, accès conservés par d’anciens prestataires, documents sensibles ouverts trop largement.

Pour les TPE corses, cette approche pragmatique est particulièrement importante. Le support informatique doit pouvoir intervenir vite, parfois à distance, parfois sur site. Une bonne configuration est celle qui protège l’entreprise sans dépendre d’une seule personne, d’un seul appareil ou d’un seul prestataire.

Conclusion

Les passkeys Google sont une avancée utile pour les TPE, mais elles doivent être déployées comme un élément d’architecture de sécurité, pas comme une simple option à activer. Les priorités sont claires : comptes critiques identifiés, terminaux maîtrisés, navigateurs contrôlés, MFA cohérente, récupération testée et procédure de départ documentée.

Pour une entreprise corse, la bonne question n’est pas seulement “est-ce plus sécurisé ?”, mais “pouvons-nous garder l’activité ouverte si un appareil, un compte ou un utilisateur devient indisponible ?”. Échangeons sur votre feuille de route cybersécurité pour mettre en place des accès solides, récupérables et adaptés à votre réalité terrain.