Recevoir un code par SMS pour accéder à un service est une pratique qui est sur le point de disparaître. Microsoft a annoncé qu'à partir de septembre, les utilisateurs d'Entra ID, la plateforme qui gère l'accès à Microsoft 365, Azure et Dynamics 365, seront incités à abandonner les codes SMS au profit des passkey . À partir de février 2027, l'authentification par SMS et par appel vocal sera complètement supprimée. Il ne s'agit pas d'un cas isolé : Uber, PayPal, eBay, DocuSign et Yahoo ont déjà lancé des initiatives similaires. Selon la FIDO Alliance, en mai 2026, environ 5 milliards de clés d'accès étaient utilisées dans le monde, 75 % des utilisateurs en ayant activé au moins une. Nous ne sommes plus en phase d'expérimentation. Le mécanisme diffère de ce à quoi nous sommes habitués. Au lieu de mémoriser un mot de passe ou de copier un code, le système utilise une authentification biométrique (empreinte digitale ou reconnaissance faciale) pour déverrouiller un identifiant cryptographique spécifique à chaque site ou application. La clé privée reste sur l'appareil ; le service distant ne conserve que la clé publique. Concrètement, une page d'hameçonnage , même parfaitement imitée, ne peut obtenir de réponse valide du code d'accès associé au domaine d'origine. Un attaquant ne peut intercepter un code temporaire ni le réutiliser sur un autre appareil : la protection est physiquement liée à la possession du terminal.

L'évolution des attaques renforce encore davantage ces systèmes. Microsoft a détecté des campagnes d'hameçonnage utilisant l'IA avec des taux de clics atteignant 54 %, contre environ 12 % pour les campagnes traditionnelles. L'IA générative facilite l'ingénierie sociale : messages sans fautes d'orthographe, personnalisés à la victime, faux sites web de plus en plus crédibles. La réponse logique consiste à réduire la quantité d'informations que les utilisateurs doivent lire et saisir manuellement lors de leur connexion. La question qui se pose est la suivante : si les passkey remplacent les mots de passe à usage unique par SMS, que reste-t-il à faire pour les opérateurs télécoms ? La réponse est plus nuancée qu’il n’y paraît. Selon Tim Green, directeur du programme API et authentification du Mobile Ecosystem Forum , les clés d’accès et les API réseau répondent à des besoins différents et peuvent devenir complémentaires. Les API réseau des opérateurs mobiles permettent d'interroger des informations au niveau du réseau : par exemple, si un numéro est associé à la carte SIM de l'appareil ou si cette carte SIM a été récemment remplacée . Il s'agit d'une information totalement différente du code d'accès : le réseau ne connaît pas le compte auquel vous accédez, mais il peut révéler beaucoup de choses sur le contexte de la connexion et la fiabilité du numéro de téléphone.

En pratique, une application financière peut utiliser plusieurs niveaux de sécurité en parallèle : le code d’accès confirme que l’appareil possède les identifiants corrects, l’API de l’opérateur signale si la carte SIM a été récemment changée, et d’autres systèmes analysent le comportement et le type de transaction. La sécurité repose alors sur la combinaison de multiples indices, et non plus sur une confiance absolue en un seul facteur. Comme le souligne Green : « Les API réseau peuvent devenir un système de détection de fraude permanent. » L'utilisateur bénéficie également d'un avantage pratique : la vérification de l'API s'effectue en arrière-plan , sans interrompre son utilisation. Aucun message à lire, aucun code à copier. Les passkey sont bien plus résistantes au phishing que les mots de passe traditionnels, mais elles n'éliminent pas toutes les failles de sécurité. Green cite des cas où des vulnérabilités de Chrome et de Windows ont été exploitées pour contourner certaines protections liées aux identifiants synchronisés. De même, la vérification via les API réseau n'est pas infaillible : dans certaines circonstances, il serait théoriquement possible de contourner certains contrôles si le téléphone du propriétaire légitime se trouvait à proximité de l'attaquant.

Ces scénarios de compromission ne sont pas répandus, mais ils confirment un principe fondamental de la cybersécurité : remplacer les mots de passe à usage unique par SMS par un seul nouvel outil ne résout pas le problème de la fraude. La robustesse de l’architecture repose sur sa capacité à vérifier simultanément plusieurs éléments, ce qui rend le niveau de protection dynamique : un accès normal requiert moins de contrôles, tandis qu’une opération anormale en déclenche des supplémentaires. Le marché semble évoluer vers cette combinaison de technologies , où les clés d'accès deviennent l'identifiant principal et les API réseau ajoutent une couche d'intelligence sur le contexte mobile. En résumé, la véritable alternative aux OTP n’est pas une nouvelle technologie unique, mais une architecture dans laquelle plusieurs outils construisent ensemble une évaluation dynamique de la confiance : et pour les opérateurs de télécommunications, qui possèdent des données réseau que personne d’autre ne possède, un espace plus stratégique pourrait s’ouvrir que celui des SMS .