--- url: 'https://www.corbado.com/fr/blog/passkey-providers' title: 'Fournisseurs de clés d''accès : types, AAGUID et adoption' description: 'Découvrez les différences entre fournisseurs de clés d''accès natifs, tiers et d''authentification, ainsi que le rôle de l''AAGUID pour gérer les clés d''accès sur Android, iOS et Web.' lang: 'fr' author: 'Vincent Delitz' date: '2026-05-20T11:20:41.418Z' lastModified: '2026-05-20T11:20:41.418Z' keywords: 'fournisseur de clés d''accès, fournisseurs de clés d''accès, fournisseur natif de clés d''accès, fournisseur tiers de clés d''accès' category: 'WebAuthn Know-How' --- # Fournisseurs de clés d'accès : types, AAGUID et adoption ## Key Facts - Deux catégories principales existent : les **fournisseurs de clés d'accès natifs et tiers** (côté client, sur l'appareil) et les **fournisseurs d'authentification par clés d'accès** (côté serveur, comme Corbado intégré dans des applications). - Les **fournisseurs de clés d'accès natifs** sont des systèmes intégrés au système d'exploitation comme iCloud Keychain et Google Password Manager ; les fournisseurs tiers sont des gestionnaires de mots de passe s'intégrant via les API de la plateforme. - Chaque fournisseur de clés d'accès porte un **AAGUID** (Authenticator Attestation Globally Unique Identifier) unique, intégré dans les données d'identification, permettant aux parties de confiance d'identifier et d'étiqueter les clés d'accès dans les paramètres du compte. - L'option WebAuthn **excludeCredentials** empêche les utilisateurs d'enregistrer plusieurs clés d'accès pour le même fournisseur, réduisant la confusion et améliorant l'expérience utilisateur de gestion du compte. - En mars 2024, certaines plateformes ne prennent pas en charge l'**attestation**, ce qui signifie que les valeurs AAGUID sur ces plateformes ne peuvent pas être vérifiées cryptographiquement et doivent être utilisées avec prudence. ## 1. Introduction Lorsque l'on utilise des clés d'accès ou que l'on travaille dans le domaine de l'implémentation des clés d'accès, un composant devient particulièrement important : le **fournisseur de clés d'accès**. Pourtant, même s'il s'agit d'une partie cruciale de l'écosystème des clés d'accès, de nombreuses personnes n'ont qu'une compréhension vague des fournisseurs de clés d'accès ou ne connaissent pas la différence entre un **fournisseur de clés d'accès natif**, un **fournisseur de clés d'accès tiers** et un **fournisseur d'authentification par clés d'accès**. Cet article vise à faire la lumière sur ce sujet. Que vous soyez développeur, chef de produit ou simplement curieux des dernières avancées en sécurité web, comprendre le rôle et les types de fournisseurs de clés d'accès est essentiel. En démystifiant ce sujet, nous cherchons à donner aux lecteurs les connaissances nécessaires pour appréhender les clés d'accès en toute confiance. ## 2. Qu'est-ce qu'un fournisseur de clés d'accès ? Un fournisseur de clés d'accès joue un rôle fondamental dans l'écosystème de l'authentification par clés d'accès, en faisant le pont entre les appareils des utilisateurs et l'accès sécurisé et fluide aux parties de confiance (services en ligne). Mais qu'est-ce qu'un fournisseur de clés d'accès exactement, d'autant qu'il n'existe pas de définition officielle et que l'on trouve différentes interprétations en ligne ? La définition suivante reflète notre compréhension et nous ne prétendons pas qu'elle soit la seule exacte. Un fournisseur de clés d'accès est essentiellement toute entité permettant la création, la gestion et l'utilisation de clés d'accès. Grâce à nos recherches, nous avons identifié deux catégories principales sous lesquelles les fournisseurs de clés d'accès peuvent être classés : **les fournisseurs de clés d'accès natifs et tiers, et les fournisseurs d'authentification par clés d'accès.** ### 2.1 Fournisseurs de clés d'accès natifs et tiers Cette catégorie comprend les entités capables de générer une clé d'accès côté client (sur l'appareil de l'utilisateur). Lorsqu'une clé d'accès est créée via ces plateformes, elle est gérée et stockée en toute sécurité, souvent dans le cloud d'un fabricant de système d'exploitation (par exemple, [iCloud Keychain](https://www.corbado.com/glossary/icloud-keychain), [Google Password Manager](https://www.corbado.com/blog/how-to-use-google-password-manager)) ou dans un [gestionnaire de mots de passe](https://www.corbado.com/blog/passkeys-vs-password-managers) tiers (par exemple, [KeePassXC](https://www.corbado.com/blog/keepassxc-passkeys), [1Password](https://www.corbado.com/blog/1password-passkeys-best-practices-analysis), [Dashlane](https://www.corbado.com/blog/dashlane-passkeys) ; voir plus bas). Les systèmes d'exploitation qui permettent la [création de clés d'accès](https://www.corbado.com/blog/passkey-creation-best-practices) et leur gestion de manière native sont considérés comme des **fournisseurs de clés d'accès natifs**. En revanche, les gestionnaires de mots de passe tiers qui s'intègrent à la plateforme via des API sont appelés **fournisseurs de clés d'accès tiers**. Un fournisseur de clés d'accès natif ou tiers dispose des mêmes identifiants globaux uniques d'attestation d'authentificateur ([Authenticator](https://www.corbado.com/glossary/authenticator) [Attestation](https://www.corbado.com/glossary/attestation) Globally Unique Identifiers — AAGUID), qui contribuent à améliorer l'expérience utilisateur (par exemple, dans les paramètres du compte pour distinguer plus facilement les clés d'accès). Parfois, ils peuvent disposer de plusieurs [AAGUID](https://www.corbado.com/glossary/aaguid), qui appartiennent tous au même fournisseur de clés d'accès natif ou tiers. ![Aperçu des fournisseurs de clés d'accès sur iOS](https://www.corbado.com/website-assets/66020491f8cbcc407a429682_passkey_provider_ios_overview_3c920aab61.jpg) Fournisseurs de clés d'accès sur un appareil [iOS 17](https://www.corbado.com/blog/apple-passkeys-integration).4 ![Aperçu des fournisseurs de clés d'accès sur Android](https://www.corbado.com/website-assets/660204a496780a14617298af_passkey_provider_android_overview_4ab35ad218.jpg) Fournisseurs de clés d'accès sur un appareil [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android) 14 ![Fournisseur de clés d'accès - API Credential Manager](https://www.corbado.com/website-assets/660204bcc78ddc305c676c26_passkey_provider_android_credential_manager_api_a0cec0e7a8.jpg) API Credential Manager [d'Android](https://www.corbado.com/blog/how-to-enable-passkeys-android) ### 2.2 Fournisseurs d'authentification par clés d'accès La deuxième catégorie englobe les fournisseurs d'authentification que les développeurs peuvent intégrer dans leurs applications pour gérer tous les aspects de la gestion des clés d'accès. Il s'agit donc de fournisseurs opérant davantage côté serveur (par opposition au côté client évoqué ci-dessus). Cette définition inclut également des solutions comme Corbado, qui proposent des solutions d'authentification centrées sur les clés d'accès aux sites web et aux applications. Par conséquent, ces fournisseurs de clés d'accès devraient être plus précisément décrits comme des **fournisseurs d'authentification par clés d'accès**, les différenciant des fournisseurs natifs et des [fournisseurs de clés d'accès tiers](https://www.corbado.com/blog/passkey-implementation-password-managers) mentionnés ci-dessus. Dans les sections suivantes de cet article, nous utiliserons le terme « fournisseurs de clés d'accès » pour désigner les fournisseurs natifs et les [fournisseurs de clés d'accès tiers](https://www.corbado.com/blog/passkey-implementation-password-managers), conformément à notre définition. ## 3. Identifier les fournisseurs de clés d'accès via l'AAGUID Au fur et à mesure que les utilisateurs adoptent les clés d'accès pour diverses parties de confiance, leur gestion efficace devient un défi majeur. Cela vaut également pour les utilisateurs qui utilisent plusieurs clés d'accès pour un seul compte, car différencier ces clés d'accès à des fins d'édition ou de suppression peut s'avérer complexe pour une [partie de confiance](https://www.corbado.com/glossary/relying-party). Malgré la commodité et la sécurité offertes par les clés d'accès, un problème potentiel survient si un utilisateur perd l'une de ses clés d'accès. Heureusement, il peut toujours accéder à son compte sur la [partie de confiance](https://www.corbado.com/glossary/relying-party) en utilisant des clés d'accès alternatives. Pour aider les utilisateurs à identifier des clés d'accès spécifiques, certaines ressources suggèrent d'ajouter des métadonnées, telles que les dates de création et de dernière utilisation, à une clé d'accès dans les paramètres du compte. De plus, il est recommandé d'utiliser des user agents ou des [client hints](https://www.corbado.com/blog/client-hints-user-agent-chrome-safari-firefox) pour nommer et catégoriser automatiquement les clés d'accès lors de leur création. Cependant, les applications natives [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android) ou [iOS](https://www.corbado.com/blog/webauthn-errors), ainsi que les [fournisseurs de clés d'accès tiers](https://www.corbado.com/blog/passkey-implementation-password-managers), peuvent ne pas utiliser de user agents, ou n'ajoutent pas d'informations indiquant qu'une clé d'accès a été générée par un fournisseur tiers. Cette limitation souligne la nécessité de méthodes améliorées pour aider les utilisateurs à gérer leurs clés d'accès efficacement, quelle que soit la plateforme ou le fournisseur. ![Fournisseur de clés d'accès - Clé publique, AAGUID et attestation](https://www.corbado.com/website-assets/660204cff8362ee32c3721b1_passkey_provider_aaguid_public_key_attestation_914fbbe16c.jpg) Extrait de la [spécification WebAuthn du W3C](https://www.w3.org/TR/webauthn-2/#attestation-object) Pour faciliter cette gestion des clés d'accès, les développeurs peuvent utiliser l'[Authenticator](https://www.corbado.com/glossary/authenticator) [Attestation](https://www.corbado.com/glossary/attestation) Globally Unique Identifier (AAGUID). L'[AAGUID](https://www.corbado.com/glossary/aaguid) est un identifiant unique assigné au modèle de l'[authentificateur](https://www.corbado.com/glossary/authenticator), et non à une instance spécifique. Il est intégré dans les données d'authentification de l'identifiant de clé publique, offrant aux parties de confiance un moyen d'identifier le fournisseur de clés d'accès. Cette capacité est cruciale pour aider les utilisateurs et les parties de confiance à naviguer dans l'écosystème des clés d'accès, en veillant à ce que chaque clé d'accès puisse être associée avec précision à sa source de création. ![Paramètres du compte d'un fournisseur de clés d'accès](https://www.corbado.com/website-assets/6602067c72dd23f23af8230b_passkey_provider_account_settings_7d63a12f19.jpg) Par exemple, si une clé d'accès est créée avec [Google Password Manager](https://www.corbado.com/blog/how-to-use-google-password-manager) sur un appareil [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android), la [partie de confiance](https://www.corbado.com/glossary/relying-party) peut recevoir un [AAGUID](https://www.corbado.com/glossary/aaguid) spécifique à [Google Password Manager](https://www.corbado.com/blog/how-to-use-google-password-manager). En se référant à cet [AAGUID](https://www.corbado.com/glossary/aaguid), la partie de confiance peut alors marquer la clé d'accès en conséquence, simplifiant la gestion et l'identification pour l'utilisateur. De plus, les parties de confiance peuvent empêcher la création de plusieurs clés d'accès pour le même fournisseur en utilisant l'option serveur WebAuthn [excludeCredentials](https://www.corbado.com/glossary/excludecredentials). Cela améliore encore l'expérience utilisateur des clés d'accès, car chaque fournisseur n'aura qu'une seule clé d'accès, évitant ainsi la confusion. ```json { "attestation": "none", "authenticatorSelection": { "residentKey": "preferred", "userVerification": "preferred" }, "challenge": "6V61d0VM5bNTPxWSsrv7YKz0o4awe0ryoDh1V44RPRn6-mBQwv98BTRws6nMrBhEggGn7-tk1bl3YNSwc0oZpA", "excludeCredentials": [ { "id": "1kBn2dmhv5JhuFxqeco1khCBCUBLlWYqZmFtdDujH5pM", "transports": ["internal"], "type": "public-key" } ], "extensions": { "credProps": true }, "pubKeyCredParams": [ { "alg": -7, "type": "public-key" }, { "alg": -257, "type": "public-key" } ], "rp": { "id": "Passkey Demo", "name": "passkeys.eu" }, "user": { "displayName": "Test Name", "id": "ZG1sdVkyVnxe3SFJsYzNR", "name": "Test Name" } } ``` Pour déterminer le fournisseur de clés d'accès à l'aide d'un AAGUID, les parties de confiance peuvent consulter un [référentiel communautaire d'AAGUID](https://github.com/passkeydeveloper/passkey-authenticator-aaguids/blob/main/aaguid.json). Ce référentiel fournit les mappages nécessaires pour identifier le fournisseur de clés d'accès par son nom et, potentiellement, par son icône, permettant d'offrir une interface utilisateur plus intuitive pour la gestion des clés d'accès. Il est toutefois important de noter que certains fournisseurs peuvent utiliser intentionnellement un AAGUID générique (« 00000000-0000-0000-0000-0000000000000 »), représentant un fournisseur inconnu ou générique. ![Fournisseur de clés d'accès - Extension Chrome sous Windows 11](https://www.corbado.com/website-assets/6602050796780a146172f1b5_passkey_provider_windows_11_chrome_extension_ac55618f99.jpg) Récupérer l'AAGUID est simple avec la plupart des bibliothèques WebAuthn. Par exemple, lors de l'utilisation de SimpleWebAuthn côté serveur, les développeurs peuvent extraire l'AAGUID des informations d'enregistrement pour le faire correspondre à un fournisseur connu, améliorant ainsi la capacité de l'utilisateur à gérer ses clés d'accès plus facilement (extrait de l'article de Google [« Determine the passkey provider with AAGUID »](https://web.dev/articles/webauthn-aaguid)). ```js // Importer une liste d'AAGUID depuis un fichier JSON import aaguids from "./aaguids.json" with { type: "json" }; // ... // Utiliser la fonction pratique de SimpleWebAuthn pour vérifier la demande d'enregistrement. const { verified, registrationInfo } = await verifyRegistrationResponse({ response: credential, expectedChallenge, expectedOrigin, expectedRPID, requireUserVerification: false, }); // ... const { aaguid } = registrationInfo; const provider_name = aaguids[aaguid]?.name || "Inconnu"; ``` Bien que les [AAGUID](https://www.corbado.com/glossary/aaguid) offrent un outil puissant pour la gestion des clés d'accès, ils doivent être utilisés avec prudence. L'intégrité d'un AAGUID dépend du processus d'[attestation](https://www.corbado.com/glossary/attestation), qui valide l'authenticité du fournisseur de clés d'accès. Sans une signature d'attestation valide, les [AAGUID](https://www.corbado.com/glossary/aaguid) pourraient potentiellement être manipulés. En mars 2024, il est à noter que les clés d'accès sur certaines plateformes ne prennent pas en charge l'attestation, ce qui souligne la nécessité d'une réflexion attentive quant à leur utilisation. Vous trouverez ci-dessous une liste non exhaustive de fournisseurs de clés d'accès natifs et tiers pour les applications Android, les applications [iOS](https://www.corbado.com/blog/webauthn-errors) et les applications web utilisant des versions de systèmes d'exploitation et des navigateurs très courants : ## 4. Liste des fournisseurs de clés d'accès pour Android, iOS et Web Vous trouverez ci-dessous des fenêtres contextuelles de certains fournisseurs de clés d'accès tiers pour créer / enregistrer une clé d'accès : ![Aperçu des fournisseurs de clés d'accès](https://www.corbado.com/website-assets/6602059469184035155c39b2_passkey_provider_overview_d3a9d2aa0d.jpg) ### 4.1 1Password ![Fournisseur de clés d'accès 1Password](https://www.corbado.com/website-assets/6602051872dd23f23af6efeb_passkey_provider_1password_182419eac7.jpg) Voir l'analyse complète de [1Password](https://www.corbado.com/blog/1password-passkeys-best-practices-analysis) ici. ### 4.2 Bitwarden ![Fournisseur de clés d'accès Bitwarden](https://www.corbado.com/website-assets/66020543d45df446d808f8be_passkey_provider_bitwarden_c2ad9ace74.jpg) ### 4.3 Dashlane ![Fournisseur de clés d'accès Dashlane](https://www.corbado.com/website-assets/6602054e5d90ccaee46a7102_passkey_provider_dashlane_a8e2592763.jpg) Voir l'analyse complète de [Dashlane](https://www.corbado.com/blog/dashlane-passkeys) ici. ### 4.4 Enpass ![Fournisseur de clés d'accès Enpass](https://www.corbado.com/website-assets/6602055372dd23f23af729dc_passkey_provider_enpass_d2badd92a3.jpg) ### 4.5 KeePassXC Voir l'analyse complète de [KeePassXC](https://www.corbado.com/blog/keepassxc-passkeys) ici. ### 4.6 Keeper ![Fournisseur de clés d'accès Keeper](https://www.corbado.com/website-assets/660205613aec28be45cef73a_passkey_provider_keeper_64f5049903.jpg) ### 4.7 NordPass ![Fournisseur de clés d'accès NordPass](https://www.corbado.com/website-assets/66020569e448465f8587856b_passkey_provider_nordpass_0787926c6e.jpg) ### 4.8 Proton ![Fournisseur de clés d'accès Proton](https://www.corbado.com/website-assets/66020579babefde183f29464_passkey_provider_proton_5b7d529cdc.jpg) ## 5. Conclusion Au cœur du déploiement et de la gestion des clés d'accès se trouve le rôle des fournisseurs de clés d'accès, des entités qui facilitent non seulement la création et la gestion des clés d'accès, mais assurent également leur intégration fluide sur diverses plateformes et appareils. Comprendre ce qu'est un fournisseur de clés d'accès, y compris la distinction entre les fournisseurs natifs et tiers, ainsi que le rôle crucial de l'Authenticator Attestation Globally Unique Identifier (AAGUID), était l'objectif de cet article. L'utilisation des AAGUID, comme nous l'avons abordé, offre une solution prometteuse permettant une identification et une gestion plus simples des clés d'accès. Par ailleurs, nous avons analysé quels fournisseurs de clés d'accès natifs et tiers existent actuellement pour Android, [iOS](https://www.corbado.com/blog/webauthn-errors) et Windows, aidant ainsi les utilisateurs à trouver un fournisseur tiers adapté ou un fournisseur pour l'appareil de leur choix. Pour les développeurs et les chefs de produit, ces connaissances sur les fournisseurs de clés d'accès et leur gestion guident non seulement l'implémentation technique de l'authentification par clés d'accès, mais s'inscrivent également dans l'objectif plus large d'améliorer l'expérience utilisateur et la sécurité.