Le W3C adopte officiellement WebAuthn pour remplacer les mots de passe

C’était déjà le standard dans les faits, c’est désormais aussi le cas officiellement : WebAuthn a été adopté par le W3C. Ce nouveau standard du web permet de remplacer le traditionnel mot de passe par une authentification biométrique, un appareil mobile ou une clé USB sécurisée. À terme, tous les systèmes d’exploitation et tous les navigateurs devraient le prendre en charge.

Tous les navigateurs prennent d’ores et déjà en charge WebAuthn, dans des versions finales ou bêta. Apple l’a ajouté à la Technology Preview de Safari en décembre dernier (mais c’est toujours une fonction expérimentale que l’utilisateur doit activer), Google et Mozilla avaient pris de l’avance pour Chrome et Firefox, et Microsoft en a fait autant dans Edge. Maintenant que le W3C a officialisé cette fonction, son déploiement devrait s’accélérer, autant du côté des navigateurs que des sites web qui doivent aussi la prendre en charge sur leurs formulaires de connexion¹.

Le W3C ne s’en cache pas : l’ambition de ce nouveau standard est d’offrir des méthodes de connexion plus sûres que les mots de passe. Ces derniers peuvent trop facilement être devinés ou perdus, et c’est pourquoi on assiste à un développement des connexions à deux facteurs pour améliorer leur sécurité. Avec WebAuthn, l’objectif est d’apporter une réponse différente, en utilisant soit une reconnaissance biométrique (Touch ID ou Face ID dans l’écosystème d’Apple), soit un appareil physique que vous conservez en permanence avec vous.

Ces derniers prennent la forme en général d’une clé USB associée à un lecteur d’empreintes, pour améliorer encore leur sécurité. Le W3C a travaillé avec le FIDO, un consortium qui a défini un standard ouvert pour ces clés de sécurité et on peut en acheter dès aujourd’hui à partir de 25 à 30 € en fonction des modèles.