Passkeys : ce que la fuite du mot de passe « 123456 » au Danemark apprend aux PME

Au Danemark, le mot de passe « 123456 » a ouvert l'accès aux données de 8,8 millions de personnes. Ce que les passkeys changent pour le site et les outils de votre PME.

Début octobre, le Danemark a appris qu'une personne extérieure avait récupéré les noms, les adresses et les numéros d'identification personnels (le numéro CPR) d'environ 8,8 millions de personnes. Elle n'a pas cassé un système d'État. Elle s'est connectée avec les identifiants d'une petite entreprise d'Odense qui avait, tout à fait légalement, le droit d'interroger ce registre.

Quelques jours plus tard, la presse danoise a révélé le détail qui a fait le tour des réseaux : au moins trois comptes de cette société, dont le compte administrateur, utilisaient le mot de passe « 123456 ». En plein Cybermois, le mois de sensibilisation à la cybersécurité, l'histoire parle à n'importe quel dirigeant de PME. Elle pose aussi une question très concrète pour le site ou l'application de votre entreprise : faut-il encore demander des mots de passe à vos clients et à vos équipes ?

Ce que l'on sait de la fuite danoise

Le ministère danois chargé du numérique a annoncé l'incident le 5 octobre 2026 dans un communiqué officiel. L'administration du registre a repéré le vendredi 2 octobre au soir un comportement inhabituel survenu en septembre. L'accès détourné appartenait à une entreprise privée autorisée à consulter le registre. Il a été coupé, l'autorité danoise de protection des données a été prévenue et la police enquête.

La chaîne TV 2 a ensuite identifié l'entreprise : Pays ApS, une société d'Odense qui ne compte que deux salariés selon le registre danois des entreprises. Sa dirigeante a confirmé que son accès légitime avait été utilisé par quelqu'un d'autre. Plus de 14 millions de recherches ont été lancées en une dizaine de jours. Le plus frappant reste la façon dont l'alerte a été donnée : un agent du registre a trouvé la facture de cette entreprise anormalement élevée.

Le 9 octobre, le quotidien Politiken a publié son analyse : au moins trois profils de l'entreprise utilisaient « 123456 », dont le compte administrateur. Dans la foulée, selon DR, l'administration du registre a écrit à 1 039 entreprises qui y ont accès pour leur rappeler les règles. Chacune doit avoir un responsable de la sécurité, contrôler régulièrement les accès de ses salariés et surveiller le nombre de consultations chaque mois.

Pourquoi un mot de passe faible suffit à tout ouvrir

On pourrait se dire que c'est une erreur grossière qui n'arrive qu'aux autres. Ce genre de situation est pourtant plus courant qu'on ne l'imagine dans une petite structure : un compte partagé entre trois collègues, l'accès d'un ancien salarié jamais fermé, un même mot de passe réutilisé sur plusieurs outils parce que c'est plus pratique.

Le fond du problème tient à la nature du mot de passe. C'est un secret que l'utilisateur connaît et que le serveur doit pouvoir vérifier. Il peut donc être deviné, réutilisé, saisi sur une fausse page de connexion ou retrouvé dans une ancienne fuite. Plus votre entreprise a de comptes, plus le risque grandit, et une PME n'a pas toujours quelqu'un dont c'est le métier de surveiller tout ça.

La double authentification par SMS réduit nettement le risque, et elle vaut toujours mieux que rien. Un code SMS peut quand même être intercepté, ou soutiré par un faux conseiller au téléphone. C'est là que les clés d'accès, plus connues sous leur nom anglais de passkeys, deviennent intéressantes.

Les passkeys, expliquées sans jargon

Une passkey remplace le mot de passe par une paire de clés cryptographiques. La FIDO Alliance, le consortium qui porte ce standard, la décrit comme un identifiant stocké sur votre téléphone, votre ordinateur ou une clé de sécurité physique. Pour vous connecter, vous faites le même geste que pour déverrouiller l'appareil : votre empreinte, votre visage ou votre code PIN.

La clé privée reste sur l'appareil de l'utilisateur. Le site ne conserve que la clé publique, qui ne permet pas de se connecter à elle seule. Si la base de données de votre site fuit un jour, il n'y a donc aucun mot de passe à récupérer. Et comme chaque passkey est liée à l'adresse exacte du site, une fausse page de connexion ne peut pas s'en servir.

Il en existe deux familles. Les passkeys synchronisées passent d'un appareil à l'autre grâce au gestionnaire de l'utilisateur (le trousseau iCloud, le gestionnaire de mots de passe de Google ou un outil comme 1Password). Les passkeys liées à un appareil ne le quittent jamais, par exemple quand elles sont enregistrées sur une clé USB de sécurité. Toutes reposent sur les standards ouverts FIDO2 et WebAuthn, que les principaux systèmes d'exploitation et navigateurs prennent déjà en charge.

Ce qu'en dit la CNIL

En France, la CNIL a adopté le 20 mars 2025 une recommandation sur l'authentification multifacteur, avec une définition des passkeys en annexe. Sa position est nuancée, et il vaut mieux la connaître avant de choisir une solution. Voici ce qu'on lit dans le texte de la recommandation :

« Une authentification cryptographiquement robuste n'est pas forcément multifacteur. C'est notamment le cas des solutions impliquant une clé d'accès logicielle. »

Autrement dit, une passkey protège très bien contre le vol et la réutilisation des mots de passe. Pour qu'elle compte comme une authentification à plusieurs facteurs, la CNIL indique qu'elle doit être associée à un terminal précis et verrouillée par un code PIN. À l'inverse, un mot de passe suivi d'un code reçu par SMS est bien multifacteur, sans être cryptographiquement robuste. Pour un espace client classique, la passkey représente déjà un gros progrès. Pour un accès d'administration ou des données sensibles, on vise une passkey liée à un appareil, ou on ajoute un second contrôle.

Ce que ça change pour le site ou l'application de votre entreprise

Proposer les passkeys ne veut pas dire supprimer les mots de passe du jour au lendemain. Sur un projet sur mesure, on les ajoute à côté de la connexion existante, puis on laisse les utilisateurs basculer à leur rythme.

Un espace client ou une application mobile

C'est le cas le plus simple à justifier. Vos clients se connectent avec leur empreinte ou leur visage, sans mot de passe à retenir ni à réinitialiser. Sur un site, on s'appuie sur l'API WebAuthn des navigateurs. Dans une application iOS ou Android, sur les fonctions prévues par le système. Le plus long n'est pas le code. C'est de soigner le parcours, pour que la personne comprenne ce qu'on lui propose au moment de créer sa clé.

Un outil métier ou un back-office

Pour vos équipes, l'intérêt est encore plus net. Un compte administrateur protégé par une passkey liée à un appareil, c'est exactement le verrou qui a manqué à l'entreprise danoise. On peut en profiter pour faire le ménage : un compte nominatif par personne, des droits limités à ce dont chacun a besoin, et des accès fermés le jour même d'un départ.

La récupération de compte, le point qu'on oublie

Un téléphone se perd, un ordinateur se remplace. Il faut prévoir comment quelqu'un retrouve son accès sans rouvrir une porte dérobée. Si la récupération repose sur un simple lien envoyé par e-mail, toute la sécurité de la passkey dépend de la boîte mail. Pour les comptes sensibles, on conseille d'enregistrer au moins deux passkeys (sur le téléphone et sur l'ordinateur, par exemple) et de garder une procédure de secours vérifiée par une personne.

C'est aussi pour ça qu'on regarde toute la chaîne, jusqu'à l'hébergement et au déploiement de vos projets, et pas uniquement l'écran de connexion.

Ce que vous pouvez faire dès cette semaine

Pas besoin d'attendre une refonte. Voici les vérifications qu'on ferait en premier :

• Lister les comptes qui ont des droits d'administration sur votre site, votre messagerie, votre CRM et vos outils métier, puis fermer ceux qui ne servent plus.
• Activer les passkeys là où vos fournisseurs les proposent déjà, en commençant par la messagerie et les comptes administrateurs.
• Refuser les mots de passe les plus courants dans vos propres applications. Les bibliothèques actuelles savent le faire sans grande difficulté.
• Mettre une alerte sur les volumes anormaux de connexions, d'exports ou de consultations. Au Danemark, c'est une facture qui a donné l'alerte, plus de dix jours après la fin des recherches.
• Demander à vos prestataires comment ils protègent leurs propres accès à vos systèmes.

Ce dernier point rejoint ce qu'on expliquait à propos de l'attaque sur les frigos connectés des supermarchés : votre sécurité dépend aussi de celle des entreprises à qui vous ouvrez la porte.

Si vous préparez un espace client ou un outil interne, la connexion par passkey se prévoit dès la conception. Prévue au départ, elle s'intègre simplement au budget d'un logiciel sur mesure. Ajoutée après coup, elle oblige souvent à reprendre la gestion des comptes.

Ce qu'il faut retenir

La fuite danoise ne vient pas d'une attaque sophistiquée. Elle vient d'un mot de passe que n'importe qui aurait pu deviner, sur le compte d'une très petite entreprise qui disposait d'un accès très large. Les passkeys retirent ce maillon faible : il n'y a plus de secret à deviner ni rien à voler dans votre base, et vos utilisateurs se connectent plus vite. La CNIL en reconnaît la robustesse, tout en précisant dans quels cas il faut aller plus loin.

Vous voulez savoir où en sont les accès de votre site ou de votre application ? On est à Rumilly, près d'Annecy, et on en parle volontiers, en visio ou autour d'un café, sans jargon.