WhatsApp étend l’usage des passkeys avec une fonction attendue par les personnes équipées de plusieurs appareils. Un même compte peut désormais disposer de plusieurs clés d’accès, notamment lorsqu’il est utilisé à la fois sur iOS et Android. Meta annonce également une vérification en deux étapes plus robuste et davantage de contexte avant de répondre aux appels inconnus.
Ces nouveautés cherchent à réduire deux risques majeurs : l’hameçonnage des codes de connexion et la prise de contrôle de compte. Elles ne remplacent toutefois pas les bonnes pratiques de protection du téléphone, de l’adresse électronique de récupération et des appareils associés.
Plusieurs passkeys pour un même compte WhatsApp
Une passkey est un identifiant cryptographique lié à un appareil ou à un gestionnaire de clés. Pour se reconnecter, l’utilisateur confirme son identité avec la biométrie, le code de déverrouillage ou le mécanisme local de son appareil. Aucun mot de passe réutilisable n’est transmis au service.
WhatsApp avait introduit les passkeys sur Android en 2023, puis sur iOS en 2024. La nouveauté permet d’en enregistrer plusieurs pour le même compte. Une personne possédant un téléphone Android et un appareil Apple peut donc disposer d’une clé adaptée à chaque environnement, sans dépendre d’un seul terminal.
La gestion s’effectue depuis Paramètres > Compte > Passkeys. Meta affirme que plus d’un milliard de personnes utilisent déjà une clé d’accès pour se connecter à WhatsApp.
Pourquoi les passkeys résistent mieux au phishing
Les mots de passe et les codes à usage unique peuvent être saisis sur une fausse page ou communiqués à un fraudeur. Une passkey repose sur une paire de clés : la partie privée reste protégée par l’appareil, tandis que le service conserve la partie publique. La preuve cryptographique est liée au domaine ou à l’application légitime.
Un site d’hameçonnage ne peut donc pas simplement récupérer un secret et le rejouer. Cette propriété rend les passkeys particulièrement efficaces contre le phishing classique, le bourrage d’identifiants et une partie des attaques par ingénierie sociale.
La vérification en deux étapes passe du PIN au mot de passe
WhatsApp renforce aussi sa seconde couche de protection. Jusqu’ici, l’utilisateur créait un code PIN à six chiffres. La nouvelle option accepte un mot de passe complet, plus long, alphanumérique et compatible avec des caractères spéciaux.
L’objectif est de limiter les codes faciles à deviner et de protéger le compte même lorsqu’un attaquant obtient le code de connexion à usage unique. Pour être utile, ce mot de passe doit être unique, long et enregistré dans un gestionnaire sécurisé. Le réutiliser sur un autre service annulerait une grande partie du bénéfice.
Plus de contexte pour les appels inconnus sur Android
Sur Android, l’écran d’appel affichera davantage d’informations lorsque le numéro ne figure pas dans les contacts. L’utilisateur pourra notamment voir si l’appel provient d’un autre pays et s’il partage des groupes avec l’appelant.
Cette contextualisation vise les escroqueries fondées sur l’urgence. Quelques secondes supplémentaires pour examiner l’origine de l’appel peuvent éviter une réponse impulsive, un partage d’écran ou la divulgation d’un code de sécurité.
Comment sécuriser son compte dès maintenant
Les limites à connaître
Une passkey protège l’authentification, pas toutes les formes de fraude. Un attaquant qui contrôle déjà un téléphone déverrouillé, convainc l’utilisateur d’approuver une action ou compromet son adresse de récupération peut conserver des possibilités d’attaque.
La sécurité dépend également de la manière dont les passkeys sont sauvegardées et synchronisées. Il faut protéger le compte Apple, Google ou le gestionnaire utilisé, activer ses propres mécanismes de récupération et supprimer rapidement les appareils perdus.
Un pas important vers l’abandon des secrets mémorisés
L’ajout de plusieurs passkeys rend la technologie plus pratique dans un monde où les utilisateurs alternent entre plusieurs appareils et systèmes. Cette amélioration de l’expérience est essentielle : une protection n’est réellement efficace à grande échelle que si elle reste simple à déployer et à récupérer.
Pour WhatsApp, l’association de clés d’accès, d’une seconde étape renforcée et d’informations anti-arnaque offre une défense en profondeur. Les utilisateurs doivent néanmoins vérifier le déploiement progressif des options et continuer à surveiller leurs sessions actives.
Sources
Les fonctionnalités sont décrites dans l’annonce officielle de Meta. La synthèse de départ est disponible dans The Hacker News. La disponibilité peut varier selon la version de WhatsApp, le système et le rythme du déploiement.
