HonkIOLes méthodes de connexion sans mot de passe comparées
Les codes par courriel, les liens magiques, les codes par texto et les clés d’accès éliminent tous le mot de passe. Ils n’éliminent pas les mêmes risques. Voici en quoi ils diffèrent, et comment les choisir et les combiner.
. Ce guide explique les règles canadiennes de façon générale, pour les personnes qui conçoivent des logiciels. Il ne constitue pas un avis juridique : pour votre situation, consultez un avocat.
En un coup d’œil
| Méthode | Ce que fait l’utilisateur | Résiste à l’hameçonnage | Principal risque |
|---|---|---|---|
| Code par courriel | Tape un code reçu dans sa boîte de réception | Non | Quiconque accède à la boîte peut se connecter; un faux site peut relayer le code |
| Lien magique | Clique sur un lien reçu dans sa boîte de réception | Non, même s’il n’y a rien à taper sur un faux site | L’accès à la boîte; les analyseurs de liens; l’ouverture sur un autre appareil |
| Code par texto | Tape un code reçu par texto | Non | Les échanges de carte SIM et le transfert de numéro; un faux site peut relayer le code |
| Clé d’accès | Déverrouille son appareil par empreinte, visage ou NIP | Oui : elle ne fonctionne que sur votre domaine | La récupération quand la personne perd tous les appareils qui la détiennent |
« Résiste à l’hameçonnage » a ici le sens que lui donne le NIST : la méthode elle-même empêche un site imitateur de capter quelque chose qu’il pourrait réutiliser, sans compter sur la vigilance de la personne devant la barre d’adresse.
Les codes à usage unique par courriel
La personne entre son adresse, reçoit un code court et le tape. Cela fonctionne sur tout appareil, y compris quand le courriel arrive sur un téléphone et que la connexion se fait sur un ordinateur portable : c’est la méthode la plus tolérante.
Sa sécurité est celle de la boîte de courriel. Une boîte compromise, c’est un compte compromis, et un site imitateur peut demander le code et le relayer en temps réel. La publication NIST SP 800-63B va plus loin et interdit le courriel pour l’authentification hors bande dans les systèmes fédéraux qu’elle vise. Pour la plupart des applications grand public et d’affaires, les codes par courriel restent une base courante et raisonnable, s’ils sont bien conçus :
- des codes de 6 chiffres ou plus, à usage unique, qui expirent en quelques minutes
- quelques tentatives par code, puis un nouveau code
- des limites de débit sur l’envoi et la vérification, par adresse et par adresse IP
- la même réponse, que l’adresse ait un compte ou non
- un code lié à la session du navigateur qui l’a demandé
Les liens magiques
Le courriel contient un lien à usage unique plutôt qu’un code. Un clic et la personne est connectée, sans rien taper.
Deux problèmes l’accompagnent. Le lien connecte l’appareil qui l’ouvre : quelqu’un qui a fait la demande sur un ordinateur portable et ouvre le courriel sur son téléphone est connecté sur le téléphone. Et les outils de sécurité des courriels, fréquents en milieu de travail, ouvrent les liens pour les vérifier, ce qui peut consommer un lien à usage unique avant que la personne clique.
Les solutions habituelles : une page de confirmation derrière le lien, pour que la visite d’un analyseur ne fasse rien, et un code dans le même courriel pour se connecter sur l’appareil d’origine. Comme un code par courriel, un lien magique n’est sûr que dans la mesure où la boîte de courriel l’est.
Les codes à usage unique par texto
Presque tout le monde a un téléphone qui reçoit des textos, et un code par texto semble familier. Cette portée explique pourquoi les codes par texto sont partout.
Les faiblesses se trouvent dans le réseau téléphonique. Un attaquant qui convainc un opérateur de transférer un numéro vers une nouvelle carte SIM, ou chez un autre opérateur, reçoit les codes. Le NIST classe les codes par texto et par appel vocal parmi les authentificateurs à usage restreint et demande aux vérificateurs de tenir compte de signes comme un changement récent de carte SIM ou un transfert de numéro avant de s’y fier. Les codes par texto peuvent aussi être hameçonnés et relayés, comme les codes par courriel.
Il y a aussi des coûts pratiques : chaque code est un message payant, la livraison dépend des opérateurs, et les numéros sont réattribués quand les gens les abandonnent. Au Canada, un code qui sert uniquement à connecter quelqu’un n’est généralement pas un message commercial au sens de la LCAP : il n’exige donc pas de consentement au marketing. Gardez les promotions hors de ces messages.
Le texto fonctionne le mieux pour confirmer un numéro de téléphone dont vous avez besoin de toute façon, ou comme deuxième étape à côté d’une autre méthode, plutôt que comme seul moyen d’entrer dans un compte qui détient de l’argent ou des données sensibles.
Si vous envoyez des codes par texto à des numéros canadiens, HonkIO Verify les envoie et les vérifie : codes de 6 chiffres par défaut, valides 10 minutes, cinq tentatives, et des codes tout à zéro avec une clé de test. Une vérification coûte 0,25 $, plus le texto qui la transporte (0,28 $ pour un code d’un segment).
Les clés d’accès
Une clé d’accès est une paire de clés qu’un appareil crée pour votre site selon la norme WebAuthn. La clé privée reste avec la personne, déverrouillée par son empreinte, son visage ou le NIP de son appareil; votre serveur ne garde que la clé publique. Il n’y a aucun secret partagé à voler dans votre base de données, et rien à taper.
Les clés d’accès résistent à l’hameçonnage par conception : le navigateur ne propose une clé d’accès que sur le domaine pour lequel elle a été créée, et un site imitateur ne peut donc pas la demander. La plupart des clés d’accès sont synchronisées par la plateforme ou un gestionnaire de mots de passe et survivent à la perte d’un téléphone; une clé d’accès sur une clé de sécurité matérielle ne quitte jamais cette clé.
Les difficultés sont la récupération et la couverture. Les gens se connectent sur des appareils partagés ou plus anciens, et quelqu’un qui perd tous les appareils qui détiennent sa clé d’accès a besoin d’un autre moyen de revenir. Cette solution de repli, souvent le courriel, devient alors le maillon faible : protégez-la avec le même soin.
Choisir et combiner les méthodes
- Offrez les clés d’accès à tous ceux qui peuvent s’en servir, et proposez d’en créer une juste après une connexion réussie
- Gardez une solution de repli qui fonctionne sur tout appareil, habituellement un code par courriel, avec des limites serrées
- Servez-vous du texto pour confirmer un numéro de téléphone ou comme deuxième étape, pas comme seul moyen d’entrer dans des comptes de grande valeur
- Traitez la récupération de compte comme une connexion : limitez son débit, avisez la personne et exigez davantage avant de changer l’adresse courriel ou le numéro de téléphone
- Avisez les gens quand une méthode de connexion est ajoutée ou qu’une connexion vient d’un nouvel appareil
L’endroit où résident les données compte autant que la méthode. Les codes et les liens transitent par des fournisseurs de courriel et de textos, et les traces de connexion sont des renseignements personnels : le guide sur la résidence des données de connexion explique ce qu’exigent les lois canadiennes sur la vie privée.
Questions
- Quelle méthode sans mot de passe est la plus sûre?
- Les clés d’accès. Elles ne fonctionnent que sur votre domaine, et un faux site ne peut donc pas les capter et les réutiliser; votre serveur ne stocke qu’une clé publique. Les codes par courriel, les liens magiques et les codes par texto peuvent tous être hameçonnés, et ne sont sûrs que dans la mesure où la boîte de courriel ou le numéro de téléphone l’est.
- Les codes par texto sont-ils encore acceptables?
- Pour bien des applications, oui, surtout pour confirmer un numéro de téléphone ou comme deuxième étape. Le NIST les classe parmi les authentificateurs à usage restreint à cause des échanges de carte SIM et des transferts de numéro : évitez d’en faire le seul moyen d’entrer dans des comptes qui détiennent de l’argent ou des données sensibles.
- Liens magiques ou codes par courriel?
- Les codes fonctionnent d’un appareil à l’autre et résistent aux outils de sécurité des courriels; les liens se font en un clic quand la personne lit ses courriels sur l’appareil où elle se connecte. Bien des applications mettent les deux dans le même courriel.
- Que se passe-t-il quand quelqu’un perd sa clé d’accès?
- La personne se connecte avec votre solution de repli et crée une nouvelle clé d’accès. Les clés d’accès synchronisées survivent habituellement à la perte d’un appareil, parce qu’elles sont restaurées à partir du compte de plateforme ou du gestionnaire de mots de passe de la personne.
- Les codes de connexion exigent-ils un consentement selon la LCAP?
- Un code qui sert uniquement à connecter quelqu’un n’est généralement pas un message électronique commercial : il n’exige donc pas de consentement selon la LCAP. Y ajouter une promotion change la donne. Il s’agit de renseignements généraux, pas d’un avis juridique.
Sources
Les lois, les lignes directrices des organismes de réglementation, les normes et les références publiques sur lesquelles s’appuie ce guide, vérifiées en octobre 2026. Si quelque chose a changé, écrivez-nous à support@honkio.ca et nous corrigerons la page.
- NIST SP 800-63B, Digital Identity Guidelines: Authentication and Authenticator Management (en anglais)
- Web Authentication: An API for accessing public key credentials, Level 2 (W3C, en anglais)
- Passkeys (FIDO Alliance, en anglais)
- Implementing phishing-resistant MFA (fiche de la CISA, en anglais)
- Loi canadienne anti-pourriel, L.C. 2010, ch. 23 (Lois de la justice)