La gestion des identités s'oriente vers une simplification technique au détriment de la mémorisation humaine. Avec les passkeys, le principe est de substituer le mot de passe traditionnel par une authentification liée à l'appareil utilisé. En utilisant des données biométriques — comme l'empreinte digitale ou la reconnaissance faciale — ou un code PIN, l'utilisateur déverrouille l'accès de la même manière qu'il déverrouille son smartphone ou son ordinateur (Google).
Ce changement de paradigme repose sur la technologie FIDO2. Contrairement aux méthodes classiques, les passkeys sont conçues pour résister aux attaques de phishing (hameçonnage), l'un des vecteurs de compromission les plus fréquents en ligne. Un point crucial de ce mécanisme est la gestion de la confidentialité : les données biométriques restent stockées localement sur l'appareil et ne sont jamais partagées avec le fournisseur de services (Google).
Pour accompagner cette transition, les éditeurs de services cloud déploient des outils de migration forcée ou incitative. Microsoft, via Entra ID, propose des « campagnes de proposition » (registration campaigns) pour pousser les utilisateurs à abandonner des méthodes d'authentification moins sécurisées au profit des passkeys ou de l'application Microsoft Authenticator (Microsoft). Ces campagnes peuvent être administrées de deux manières : soit les paramètres sont gérés automatiquement par Microsoft pour suivre les meilleures pratiques, soit l'administrateur garde le contrôle sur le ciblage et les options de report (snooze) des notifications (Microsoft).
Cette automatisation de la sécurité transforme le parcours de l'utilisateur, qui est désormais « incité » (nudged) à configurer ces nouveaux protocoles lors de ses sessions de connexion habituelles. Si la technologie promet une sécurité accrue contre le vol d'identifiants, elle déplace la responsabilité de la sécurité vers la sécurisation même de l'appareil physique utilisé pour l'authentification.