Passkeys pour WordPress : une connexion résistante à l’hameçonnage avec WebAuthn
Avec ReportedIP Hive, une connexion WordPress par passkey se confirme avec Face ID, Touch ID, Windows Hello ou l’empreinte sur le téléphone, et elle ne fonctionne que sur votre vrai domaine. Une fausse page de connexion ne peut rien capturer d’utile : la passkey est donc le second facteur le plus solide à confier à vos rédacteurs et administrateurs.
Ce guide explique ce qu’est une passkey, comment l’ajouter dans le profil WordPress, à quoi ressemble la connexion et comment résoudre les problèmes courants. Pour les clés matérielles comme la YubiKey, un guide de configuration de la YubiKey est disponible. L’interface de Hive est en anglais, les libellés sont donc cités tels qu’ils s’affichent.
Qu’est-ce qu’une passkey ?
Une passkey est une paire de clés créée par votre appareil pour un seul site. La clé privée reste sur l’appareil, protégée par son verrouillage d’écran ; le site ne conserve que la clé publique. Pour la connexion, le site envoie un défi aléatoire, l’appareil le signe après que vous avez regardé la caméra ou touché le capteur, et le site vérifie la signature. La norme sous-jacente est W3C Web Authentication (WebAuthn), qui fait partie de FIDO2, et tous les navigateurs actuels la prennent en charge.
Pourquoi une passkey ne peut-elle pas être hameçonnée ?
Un code d’application ou un code SMS n’est qu’un nombre. Une fausse page de connexion convaincante peut le demander et le transmettre au vrai site en quelques secondes. Une passkey est liée au domaine pour lequel elle a été créée : le navigateur indique à l’appareil quel site la demande, et l’appareil refuse de signer pour un domaine imité. Il n’y a ni secret partagé à voler ni code à relayer : un kit d’hameçonnage repart les mains vides.
Passkey ou clé de sécurité : laquelle choisir ?
| Option | Idéale pour | À savoir |
|---|---|---|
| This device (Face ID / Windows Hello) | La connexion quotidienne sur votre propre ordinateur ou téléphone | Liée à cet appareil ou à son gestionnaire de mots de passe synchronisé |
| Security key (USB / NFC) | Les ordinateurs partagés et les comptes aux droits les plus élevés | Une clé physique que vous emportez, comme une YubiKey |
Les deux options reposent sur la même norme et au même endroit du profil. Les passkeys synchronisées par le trousseau iCloud ou le gestionnaire de mots de passe de Google sont compatibles et fonctionnent sur tous les appareils connectés à ce compte. Une passkey ou une clé par compte est gratuite dans toutes les formules ; plusieurs clés par compte, par exemple une clé de secours, font partie de la formule Business.
Ce dont votre site a besoin pour les passkeys
- HTTPS. Les navigateurs ne proposent les passkeys que sur des pages sécurisées. Un site de préproduction en HTTP simple affiche le message indiquant que le navigateur ne prend pas en charge les clés de sécurité.
- OpenSSL dans PHP. Il est présent chez pratiquement tous les hébergeurs et vérifie les signatures.
- L’authentification à deux facteurs activée sous Protection, carte Two-Factor Authentication. Les passkeys font partie par défaut des Allowed 2FA methods.
- Un domaine fixe. Sur les réseaux multisites avec mappage de domaine, définissez le filtre
reportedip_hive_webauthn_rp_idavant que les utilisateurs n’enregistrent des clés, car une clé créée pour un domaine ne fonctionne pas sur un autre.
Comment ajouter une passkey dans WordPress
- Ouvrez votre profil WordPress et descendez jusqu’à Your sign-in methods.
- Sous Passkey or security key, cliquez sur Add security key.
- Donnez-lui dans le champ Key name un nom que vous reconnaîtrez plus tard, par exemple l’appareil sur lequel elle se trouve.
- Cliquez sur This device (Face ID / Windows Hello) pour une passkey sur l’ordinateur ou le téléphone que vous utilisez, ou sur Security key (USB / NFC) pour une clé matérielle.
- Confirmez avec votre visage, votre empreinte ou votre code PIN quand le navigateur le demande. La passkey apparaît dans la liste avec son type, sa date d’ajout et sa date de dernière utilisation.
Rename change le nom d’une clé, Remove la supprime. Après l’enregistrement, sauvegardez vos codes de récupération si ce n’est pas encore fait : ils vous permettent de revenir si l’appareil est perdu. Make default sur la méthode passkey en fait la première chose demandée à la connexion.
À quoi ressemble la connexion avec une passkey
Vous saisissez votre identifiant et votre mot de passe comme d’habitude. Hive affiche ensuite Verification required avec l’onglet Passkey ouvert. Cliquez sur Use passkey or security key, et le navigateur ouvre sa propre fenêtre pour Face ID, Touch ID, Windows Hello ou la clé. Un contact plus tard, vous êtes connecté.
Dans Hive, une passkey est un second facteur et non un remplaçant du mot de passe : le mot de passe est vérifié d’abord, puis la passkey. Trust this device dispense de la deuxième étape dans ce navigateur pendant un nombre de jours défini. La même étape passkey apparaît sur la connexion de la boutique WooCommerce avec la formule Professional et au contrôle de réinitialisation du mot de passe, où une passkey compte comme un facteur autre que l’e-mail.
Les clés copiées sont détectées
Chaque signature porte un compteur qu’une vraie clé augmente à chaque utilisation. Si le compteur recule, la clé a très probablement été copiée hors de son matériel. Hive refuse alors la connexion, enregistre un événement de sécurité et prévient le titulaire du compte. Les passkeys qui ne transmettent légitimement aucun compteur, comme beaucoup de passkeys synchronisées, continuent de fonctionner.
Déployer les passkeys dans toute une équipe
Cochez sous Roles required to use 2FA les rôles qui doivent utiliser un second facteur : chaque membre de ces rôles est invité à en configurer un à sa prochaine connexion, avec un délai de grâce pour le faire. Recommandez la passkey dans votre annonce à l’équipe : elle s’ajoute en une minute et plus personne n’a à taper de codes ensuite. La page 2FA Status montre qui manque encore, et son filtre par méthode liste précisément qui se connecte avec une passkey. Pour les administrateurs en formule Business, une deuxième clé par compte rangée en lieu sûr supprime le dernier point de défaillance unique.
Résoudre les problèmes de passkey
| Message ou symptôme | Cause et solution |
|---|---|
| This browser does not support security keys | La page n’est pas servie en HTTPS. Passez le site en HTTPS. |
| The request timed out or was cancelled | La fenêtre du navigateur a été fermée ou n’a pas été confirmée à temps. Cliquez de nouveau sur le bouton. |
| The domain of this page does not match the key registration | La clé a été créée sur un autre domaine, par exemple la préproduction. Enregistrez-la de nouveau sur le domaine de production. |
| This key is already registered on this account | Le même appareil ou la même clé figure déjà dans la liste. Rien à faire. |
| Windows Hello s’ouvre au lieu de la YubiKey | Utilisez le bouton Security key (USB / NFC) au lieu de This device. |
Les sites qui veulent que l’appareil demande toujours le visage, l’empreinte ou le code PIN relèvent la vérification de l’utilisateur avec le filtre reportedip_hive_webauthn_user_verification. Par défaut, un simple contact suffit, car le mot de passe couvre déjà le premier facteur.
Questions sur les passkeys dans WordPress
Puis-je me connecter à WordPress avec une passkey seule, sans mot de passe ?
ReportedIP Hive utilise la passkey uniquement comme second facteur : le mot de passe est vérifié d’abord, puis la passkey. La connexion sans mot de passe est un autre modèle de sécurité, avec d’autres questions de récupération, et traiter un second facteur comme un remplaçant du mot de passe affaiblirait le compte au lieu de le renforcer.
Que se passe-t-il si je perds l’appareil qui porte ma passkey ?
Connectez-vous avec l’un des 10 codes de récupération sauvegardés lors de la configuration, supprimez ensuite la passkey perdue de la liste de votre profil et ajoutez-en une sur le nouvel appareil. Si les codes ont disparu eux aussi, un administrateur peut réinitialiser votre second facteur avec la commande WP-CLI de l’extension.
Les passkeys synchronisées d’iCloud ou de Google fonctionnent-elles ?
Les passkeys du trousseau iCloud ou du gestionnaire de mots de passe de Google sont compatibles et s’enregistrent avec le bouton This device. Elles sont ensuite disponibles sur chaque appareil connecté au même compte Apple ou Google, ce qui vous protège aussi contre la perte d’un seul téléphone.
Puis-je utiliser la passkey de mon téléphone pour me connecter sur un ordinateur ?
Les navigateurs actuels proposent d’utiliser un téléphone à proximité : l’ordinateur affiche un QR code, vous le scannez et confirmez sur le téléphone. Pour cela, la passkey du téléphone doit avoir été enregistrée sur le site, et le Bluetooth doit être activé sur les deux appareils pour la vérification de proximité.
Pour aller plus loin
La documentation de Hive décrit réglage par réglage l’authentification à deux facteurs et les clés de sécurité matérielles.