Stratégies de secours et de récupération pour les clés d'accès : approche centrée sur l'identifiant

1. Introduction#

Les clés d'accès (passkeys) sont devenues une véritable alternative aux méthodes d'authentification traditionnelles, avec près de 95 % d'appareils compatibles avec les clés d'accès. Cependant, même les systèmes les plus avancés nécessitent des stratégies de secours et de récupération efficaces pour faire face aux scénarios où les clés d'accès ne sont pas accessibles (secours) ou sont même perdues (récupération). Ce guide explore les différents scénarios nécessitant des solutions de secours et de récupération, et explique à quoi ressemblent les solutions possibles.

Lors de la conception des méthodes de secours et de récupération, il est important que leur niveau de sécurité corresponde à celui de la méthode d'authentification principale. Ce guide distinguera les différentes utilisations des clés d'accès, en se concentrant particulièrement sur les contextes où les clés d'accès sont utilisées comme MFA (authentification multifacteur) autonome, afin d'adapter les méthodes de secours et de récupération de manière appropriée.

Questions clés :

• Quels sont les scénarios de secours existants ? Quels sont les scénarios de secours potentiels pouvant survenir avec les systèmes de clés d'accès, et comment doivent-ils être gérés pour maintenir la sécurité ?
• Comment la récupération doit-elle être gérée ? Selon les modèles d'utilisation des clés d'accès, notamment dans les environnements utilisant le MFA, comment les processus de récupération doivent-ils être conçus pour garantir leur sécurité ?

En explorant ces questions, ce guide fournira aux chefs de produit et aux développeurs les informations nécessaires pour concevoir, implémenter et gérer efficacement les systèmes de clés d'accès, en veillant à ce que la sécurité ne se fasse pas au détriment de l'expérience utilisateur.

2. Définitions : identifiant, niveau de sécurité, secours et récupération#

Avant de plonger dans les stratégies de secours et de récupération, il est important d'établir une compréhension claire de certains termes fondamentaux que nous utiliserons.

2.1 Identifiant : e-mail, numéro de téléphone et nom d'utilisateur#

Dans la plupart des systèmes professionnels et grand public, l'authentification repose sur trois identifiants principaux : l'e-mail, le numéro de téléphone et le nom d'utilisateur.

La grande majorité des systèmes utilisent l'e-mail comme identifiant principal, en particulier dans les applications web. Les plateformes axées sur les mobiles ou les applications préfèrent cependant souvent utiliser le numéro de téléphone comme identifiant, car il est facile de préremplir un OTP (mot de passe à usage unique) par SMS, qui peut être inséré automatiquement. Dans certains cas, les utilisateurs peuvent également être amenés à configurer un nom d'utilisateur en plus de ces identifiants, principalement pour les plateformes nécessitant un nom d'affichage unique. Il existe également une tendance croissante, en particulier sur les grandes plateformes, à permettre l'utilisation conjointe de l'e-mail et du numéro de téléphone pour plus de flexibilité.

Lors de l'inscription initiale, ces identifiants sont généralement vérifiés via un lien de confirmation / OTP (pour l'e-mail) ou un OTP (pour le numéro de téléphone), garantissant que l'identifiant appartient à la bonne personne. En cas de perte d'accès, prouver le contrôle de l'e-mail ou du numéro de téléphone préalablement vérifié est généralement suffisant pour restaurer l'accès au compte. Étant donné que ces identifiants sont les moyens de communication les plus fiables avec les utilisateurs, les numéros de téléphone sont souvent collectés à des fins de MFA, le SMS étant un deuxième facteur couramment utilisé.

Les noms d'utilisateur sont souvent employés pour fournir une couche supplémentaire d'identité utilisateur dans les systèmes où des identifiants publics sont requis, tels que les réseaux sociaux, les forums ou certaines plateformes professionnelles. Bien qu'ils ne jouent pas le même rôle fonctionnel dans l'authentification que l'e-mail ou les numéros de téléphone, les noms d'utilisateur offrent aux utilisateurs une identité reconnaissable dans des contextes publics ou de pair à pair. Cependant, ils introduisent une complexité supplémentaire car les utilisateurs peuvent souvent les oublier et, dans la plupart des cas, un autre identifiant est requis en plus du nom d'utilisateur. Par conséquent, dans cet article, nous ne nous concentrerons pas sur les noms d'utilisateur.

D'autres options 2FA (authentification à deux facteurs), telles que les applications d'authentification (qui génèrent des codes TOTP), ne reposent pas sur un identifiant mais sont souvent plus complexes à configurer pour un utilisateur moyen. Les clés d'accès ont également introduit la possibilité de fonctionner sans identifiant (authentification sans nom d'utilisateur), une fonctionnalité de plus en plus populaire dans le domaine des cryptomonnaies. Cependant, tant pour les solutions grand public que pour les entreprises, la nécessité de communiquer avec les utilisateurs (souvent par e-mail) à des fins de secours ou de récupération rend les systèmes sans nom d'utilisateur moins pratiques.

2.2 Niveau de sécurité : authentification à un facteur (SFA) et authentification multifacteur (MFA)#

Les systèmes d'authentification à un facteur (SFA) sont ceux qui reposent sur une seule forme d'authentification pour vérifier l'identité de l'utilisateur. Généralement, ce facteur unique est un mot de passe, mais il peut également s'agir d'une connexion sociale, d'un OTP par e-mail ou de toute méthode ne nécessitant qu'un seul type de preuve. La plupart des systèmes sur le web aujourd'hui sont des systèmes SFA. Cependant, il existe un compromis bien connu avec la sécurité. Lors de l'intégration des clés d'accès, celles-ci servent généralement d'ajout ou de remplacement aux mots de passe traditionnels, améliorant ainsi la commodité du système. Il est courant que de tels systèmes autorisent encore des options de secours comme les OTP par e-mail ou les connexions sociales, ce qui améliore l'expérience utilisateur en réduisant les mots de passe, mais n'élève pas la sécurité du système au-delà du SFA.

L'authentification multifacteur (MFA) implique deux ou plusieurs facteurs indépendants pour vérifier l'identité d'un utilisateur ; c'est ce qui la rend plus sécurisée que le SFA. Ces facteurs peuvent inclure quelque chose que l'utilisateur connaît (mot de passe ou code PIN), quelque chose que l'utilisateur possède (un jeton de sécurité ou une application pour téléphone portable) et quelque chose que l'utilisateur est (vérification biométrique comme les empreintes digitales ou la reconnaissance faciale). Les systèmes MFA sont conçus pour se protéger contre des vulnérabilités spécifiques contre lesquelles les systèmes SFA ne peuvent pas se défendre, telles que les attaques de phishing ou les fuites de mots de passe. Lors de l'utilisation de clés d'accès dans un système MFA, elles sont généralement utilisées comme une option MFA autonome. Dans ces cas, il est crucial que toutes les méthodes de secours ou de récupération maintiennent le même niveau de sécurité que les clés d'accès.

2.3 Secours et récupération#

Les options de secours (fallbacks) sont utilisées dans tous les systèmes où coexistent plusieurs méthodes d'authentification. Elles sont utilisées lorsque les méthodes principales sont indisponibles – l'utilisateur a souvent le choix au début de la manière de s'inscrire (par exemple, connexion sociale contre mot de passe). Une option de secours pourrait impliquer des stratégies d'authentification alternatives telles que les OTP par e-mail, les mots de passe, les connexions sociales avec des adresses e-mail correspondantes, les notifications push d'applications natives, les codes QR ou les clés de sécurité physiques. Chacune de ces méthodes de secours varie en qualité de sécurité, et le choix de l'option de secours appropriée est essentiel pour équilibrer la commodité de l'utilisateur avec les exigences de sécurité.

Dans les environnements utilisant des clés d'accès dans le cadre d'un système MFA, ces méthodes de secours doivent être soigneusement étudiées pour s'assurer qu'elles offrent une sécurité multifacteur comparable aux clés d'accès. Les processus de récupération deviennent importants lorsque les utilisateurs perdent l'accès à toutes les mesures d'authentification établies qui répondent aux normes de sécurité requises (SFA ou MFA). Cela est moins critique dans les systèmes à un facteur, où plusieurs options de récupération peuvent être disponibles, comme la réinitialisation d'un mot de passe via un OTP par e-mail, qui valide efficacement le contrôle de l'utilisateur sur un identifiant associé. Cependant, la récupération est particulièrement complexe dans les systèmes 2FA/MFA car ces systèmes reposent intrinsèquement sur plusieurs facteurs pour la vérification. Dans les scénarios où un utilisateur change de système d'exploitation mobile – par exemple, de l'iPhone vers un téléphone Android – et perd les clés d'accès associées ainsi que le numéro de téléphone, les facteurs restants (par exemple, juste un mot de passe) ne peuvent pas satisfaire aux exigences du 2FA. La récupération dans ces cas peut nécessiter la création de nouvelles preuves d'identité, ce qui peut impliquer des demandes d'assistance manuelles ou des solutions plus innovantes que nous aborderons plus tard.

3. Options de secours pour la connexion avec clé d'accès : manuelle vs automatique#

Lors de la mise en œuvre d'une solution de clé d'accès, l'une des premières décisions à prendre est l'approche de la connexion par clé d'accès. Selon le cas d'utilisation, la connexion manuelle peut être suffisante pour les petites plateformes, mais pour les grandes entreprises axées sur l'UX, une approche centrée sur l'identifiant (Identifier-First) est recommandée, qui propose la connexion par clé d'accès après la saisie de l'identifiant principal (très probablement l'e-mail).

3.1 Connexion manuelle par clé d'accès : approche à l'initiative de l'utilisateur#

3.1.1 Qu'est-ce que l'approche à l'initiative de l'utilisateur ?#

Sur les petites plateformes ou celles qui ne se concentrent pas sur un taux de connexion élevé par clé d'accès, l'approche à l'initiative de l'utilisateur implique un bouton séparé "Se connecter avec une clé d'accès". Dans cette approche, la responsabilité d'utiliser les clés d'accès incombe entièrement à l'utilisateur. Après avoir ajouté une clé d'accès à son compte, l'utilisateur doit se souvenir de cliquer sur "Se connecter avec une clé d'accès" pour se connecter avec celle-ci.

La capture d'écran montre l'implémentation des clés d'accès de https://my.gov.au, qui utilise l'approche manuelle. Bien que cette approche soit plus facile à implémenter car le backend n'a pas besoin de déterminer si une connexion par clé d'accès est possible, elle entraîne généralement des taux d'utilisation des clés d'accès beaucoup plus faibles. En effet, elle repose fortement sur l'initiative de l'utilisateur, et les consommateurs pourraient ne pas se souvenir ou ne pas être sûrs de la plateforme ou du stockage cloud où se trouvent leurs clés d'accès. Cette approche oblige l'utilisateur à réfléchir. Examinons les opportunités de secours possibles avec cette approche dans la section suivante.

3.1.2 Options de secours#

Les options de secours sont essentielles dans tout système où des échecs d'accès par clé d'accès sont possibles. Dans l'approche de connexion manuelle, les boîtes de dialogue et les options de secours ne peuvent pas être gérées individuellement car toutes les options de connexion s'affichent en même temps et les clés d'accès sont choisies à la discrétion de l'utilisateur. Cela entraîne plusieurs défis :

• Erreurs peu intuitives : Les messages d'erreur que les utilisateurs rencontrent lorsque les clés d'accès sont indisponibles ou mal configurées sont souvent flous et peuvent causer de la confusion. Les utilisateurs peuvent ne pas comprendre pourquoi ils ne peuvent pas utiliser la clé d'accès ou ce qui s'est mal passé, entraînant de la frustration.
• Impasses : Les utilisateurs peuvent se retrouver dans des impasses où ils ne peuvent pas avancer. Si les clés d'accès sont manquantes ou inaccessibles, les utilisateurs peuvent ne recevoir aucune indication claire sur la façon de procéder ou de récupérer l'accès, les amenant à abandonner le processus de connexion.
• Absence de guidage : Dans ces situations, le système ne peut pas fournir d'instructions utiles pour guider les utilisateurs vers une méthode d'authentification alternative. Les utilisateurs sont livrés à eux-mêmes pour résoudre le problème, ce qui dégrade l'expérience utilisateur.

L'exemple ci-dessus montre à quel point les messages d'erreur de Windows 11 sont déroutants lorsque les clés d'accès ne sont pas trouvées sur l'authentificateur de la plateforme. Le système peut supposer que la clé d'accès se trouve sur une clé de sécurité matérielle ou un autre appareil. Ce processus peut être déroutant pour les utilisateurs qui ne sont pas familiers avec ces flux d'authentification, en particulier s'ils n'ont jamais utilisé de clé de sécurité ou n'ont jamais créé de clé d'accès.

Si aucune clé d'accès n'est trouvée sur l'authentificateur de la plateforme, le système d'exploitation et le navigateur supposent qu'elle doit exister ailleurs, entraînant encore plus de confusion si l'utilisateur n'a pas encore créé de clé d'accès. L'interface utilisateur conditionnelle (Conditional UI) peut aider en affichant les clés d'accès existantes, mais cela n'est utile que si des clés d'accès existent réellement. Pour la meilleure expérience de clé d'accès, le backend devrait décider si une connexion par clé d'accès doit être déclenchée après que l'utilisateur a fourni son identifiant principal.

3.2 Connexion automatique par clé d'accès : approche centrée sur l'identifiant (Identifier-First)#

3.2.1 Qu'est-ce que l'approche centrée sur l'identifiant ?#

Dans l'approche centrée sur l'identifiant, les utilisateurs sont invités à fournir leur identifiant principal, comme un e-mail ou un numéro de téléphone, avant que le système ne détermine si une connexion par clé d'accès est possible. Après vérification de l'identifiant, le système suggère automatiquement la méthode de connexion la plus appropriée, y compris les clés d'accès si elles sont disponibles et accessibles. Cette approche est plus conviviale car elle évite aux utilisateurs de devoir se souvenir de sélectionner l'option "Se connecter avec une clé d'accès" et améliore le taux d'adoption en simplifiant le processus.

Connexion Google centrée sur l'identifiant

Connexion par clé d'accès Google

Les captures d'écran ci-dessus montrent le comportement de connexion d'une connexion Google pour un compte où une clé d'accès est associée sur un appareil macOS. Google suit également l'approche Identifier-First et a déterminé que la connexion par clé d'accès sera très probablement possible :

1. Prise en charge de la plateforme pour les clés d'accès : La plateforme sous-jacente prend en charge un authentificateur de plateforme, par conséquent, une connexion peut être possible.
2. Accessibilité de la clé d'accès : La clé d'accès sera très probablement accessible sur ce client (macOS) car elle a été créée sur un système macOS.

Par conséquent, une connexion par clé d'accès est lancée automatiquement, guidant l'utilisateur vers la meilleure expérience possible. Cela suit la stratégie "ne me faites pas réfléchir" (don't make me think).

3.2.2 Absence de prise en charge des clés d'accès ou d'accessibilité#

Le système détermine si une connexion par clé d'accès est possible. Dans les cas où :

• Aucune clé d'accès n'existe : L'utilisateur n'a pas encore créé de clé d'accès pour son compte.
• Les clés d'accès ne sont pas accessibles : Les clés d'accès créées par l'utilisateur ne sont très probablement pas disponibles sur ce client (par exemple, l'utilisateur n'a qu'une clé d'accès macOS et se connecte maintenant depuis Windows).
• Authentification par clé d'accès non prise en charge : Le client actuel ne prend pas en charge les authentificateurs de plateforme et est également très peu susceptible de prendre en charge l'authentification multi-appareils (Cross-Device-Authentication) via un code QR.

La décision sera qu'une connexion réussie par clé d'accès est peu probable et par conséquent, les options de secours seront fournies automatiquement sans déclencher de connexion par clé d'accès. Cette approche est beaucoup plus conviviale car elle élimine le besoin pour les utilisateurs de se souvenir de sélectionner l'option "Se connecter avec une clé d'accès", améliore le taux d'adoption en simplifiant le processus, et évite le pire des cas où une impasse confuse est présentée à l'utilisateur.

Dans l'exemple ci-dessus, la connexion bascule vers un mot de passe et continuera ensuite à demander d'autres facteurs d'authentification en fonction de l'état et de la sécurité du compte, car le client est un appareil Windows 11, qui a peu de chances d'avoir accès aux clés d'accès macOS. Selon les exigences de sécurité de votre système d'authentification, vous avez un contrôle total sur la méthode d'authentification à déclencher dans un tel cas (par exemple, la dernière option d'authentification sans clé d'accès réussie).

3.2.3 Annulations du processus de clé d'accès#

Lorsqu'un utilisateur rencontre un écran d'authentification lors d'une connexion web, il peut être surpris ou dépassé, surtout si c'est l'une de ses premières fois à utiliser l'authentification par clé d'accès. Cela peut amener les utilisateurs à annuler le processus d'authentification, non pas en raison d'un échec, mais simplement parce qu'ils ne sont pas sûrs de ce qui se passe. Il est crucial de prévoir ce comportement et de traiter la première annulation comme un événement normal plutôt que comme une erreur :

Le premier écran d'annulation doit expliquer clairement ce qui se passe de manière calme et rassurante, en recommandant à l'utilisateur de réessayer le processus (voir l'exemple de Google ci-dessus). Cet écran doit être conçu pour minimiser l'anxiété, en traitant l'annulation comme une partie normale et attendue de l'expérience utilisateur. De nombreux utilisateurs peuvent annuler simplement parce qu'ils n'ont pas reconnu l'écran d'authentification ou n'étaient pas familiers avec le processus. Par conséquent, une nouvelle tentative doit être la suggestion par défaut.

Si une deuxième annulation se produit, cependant, la situation doit être traitée différemment. La deuxième annulation peut indiquer que quelque chose s'est réellement mal passé - qu'il s'agisse d'un problème avec l'authentificateur de la plateforme, de l'incapacité de l'utilisateur à trouver une clé d'accès appropriée, ou d'une défaillance technique dans le processus WebAuthn. À ce stade, le système doit présenter un écran différent expliquant qu'un problème est survenu et suggérer un peu plus fortement des options de secours :

L'écran de la deuxième annulation doit encourager l'utilisateur à passer à une méthode d'authentification alternative. Il doit s'assurer que l'utilisateur peut toujours se connecter avec succès sans causer de frustration supplémentaire. Comme nous pouvons le voir sur l'écran ci-dessus, Google suggère toujours "Réessayer" mais montre en même temps à l'utilisateur que quelque chose a probablement mal tourné.

3.3 Comparaison des approches d'implémentation des clés d'accès#

Le tableau suivant permet de comparer les différentes approches en résumant leurs caractéristiques les plus importantes :

Les approches "faites-le vous-même" (do-it-yourself) suivent généralement l'approche manuelle de connexion par clé d'accès et s'appuient sur l'interface utilisateur conditionnelle (Conditional UI) et le choix volontaire de l'utilisateur d'utiliser des clés d'accès, ce qui se traduit par des taux de connexion très faibles et des utilisateurs frustrés. L'approche centrée sur l'identifiant nécessite la mise en place d'une logique d'appareil bien pensée en plus de l'interface utilisateur conditionnelle, et c'est là que Corbado peut vous aider. Construire votre propre logique d'appareil et votre propre Passkey Intelligence n'est pas recommandé, car cet ensemble de règles nécessite des ajustements constants pour s'adapter aux nouveaux appareils, aux nouvelles fonctionnalités WebAuthn et de synchronisation dans le cloud (par exemple, les clés d'accès GPM).

4. Récupération des clés d'accès#

La récupération des clés d'accès est un aspect crucial pour maintenir la sécurité et l'expérience utilisateur lorsque ces derniers perdent l'accès à leurs clés d'accès. Ceci est particulièrement important dans les systèmes qui s'appuient sur le MFA. Dans les cas de MFA, les processus de récupération doivent garantir que la sécurité est préservée tout en permettant aux utilisateurs de retrouver l'accès à leurs comptes. L'approche de récupération doit être adaptée en fonction du niveau d'authentification utilisé dans le système.

4.1 Récupération à un facteur et récupération multifacteur#

Pour maintenir la sécurité dans les systèmes SFA, la récupération implique généralement de prouver le contrôle d'un identifiant tel qu'une adresse e-mail ou un numéro de téléphone portable.

• OTP par e-mail : Un OTP est envoyé à l'adresse e-mail enregistrée de l'utilisateur. Une fois vérifié, cela permet à l'utilisateur de retrouver l'accès et de créer une nouvelle clé d'accès.
• OTP par SMS : Similaire à la récupération par e-mail, un OTP est envoyé au numéro de téléphone portable enregistré. L'utilisateur peut utiliser cet OTP pour retrouver l'accès à son compte.

Bien que ces méthodes soient simples, elles dépendent de la mise à jour des coordonnées de l'utilisateur. Par conséquent, il est essentiel d'inviter régulièrement les utilisateurs à vérifier leur e-mail et leur numéro de téléphone lors des connexions habituelles.

Dans les systèmes d'authentification multifacteur, la récupération devient plus complexe. Puisque le MFA repose sur plusieurs facteurs indépendants (par exemple, clés d'accès, connexion sociale et OTP), les utilisateurs ne devraient pas perdre l'accès simplement parce qu'un seul facteur (comme une clé d'accès) est indisponible.

• Utilisation de facteurs alternatifs : Si la clé d'accès est perdue, l'utilisateur peut s'authentifier à l'aide de deux autres facteurs, comme un mot de passe + OTP par SMS ou une application d'authentification. Une fois authentifié, il peut créer une nouvelle clé d'accès.
• Utilisation d'autres clés d'accès : Au cas où l'utilisateur dispose d'autres appareils avec des clés d'accès, il pourrait les utiliser pour retrouver l'accès grâce à des indications appropriées (par exemple, en demandant l'utilisation d'une clé d'accès depuis un iPhone).
• Créer de nouvelles clés d'accès : Après s'être authentifié avec la méthode de récupération, l'utilisateur doit être guidé pour créer une nouvelle clé d'accès afin de s'assurer que la configuration MFA reste intacte.

Pour les systèmes SFA comme pour les systèmes MFA, la clé est de s'assurer que les processus de récupération sont robustes et sécurisés tout en minimisant les frictions pour l'utilisateur.

4.2 Récupération MFA intelligente : numériser les coûts de récupération MFA#

Dans les systèmes traitant des données personnelles sensibles, les secteurs réglementés ou les services gouvernementaux, les OTP standard par e-mail et par numéro de téléphone peuvent ne pas toujours être suffisants ou disponibles pour la récupération. Dans de tels cas, les mécanismes de récupération MFA intelligente offrent des méthodes avancées de récupération de compte qui maintiennent des normes de sécurité élevées tout en offrant aux utilisateurs une expérience fluide.

L'une des méthodes les plus efficaces est l'identification par selfie avec test de vivacité (liveness check). Ce processus implique que l'utilisateur prenne des photos de sa pièce d'identité. De plus, un test de vivacité par selfie garantit que le selfie est pris en temps réel, confirmant que l'utilisateur est physiquement présent et correspond à la pièce d'identité photographiée, empêchant ainsi la fraude à l'aide d'images statiques ou de pièces d'identité volées. Selon la technologie utilisée, un test de vivacité est effectué soit en enregistrant une courte vidéo dans laquelle on modifie la distance par rapport à l'appareil photo, soit en tournant la tête à 180 degrés (par exemple, Apple Face ID).

Cette méthode peut s'avérer particulièrement utile lorsque les méthodes de récupération traditionnelles telles que les OTP par e-mail ou SMS sont indisponibles ou obsolètes. Voici un exemple de prise de selfie suivie d'un test de vivacité par Onfido :

Exemple : identification par selfie avec test de vivacité d'Onfido

• Les systèmes gouvernementaux, les secteurs réglementés ou les grands services commerciaux disposent de données personnelles pouvant être utilisées pour vérifier les informations présentes sur la pièce d'identité. Si la date de naissance n'est pas disponible, les informations recueillies via la pièce d'identité peuvent être utilisées comme facteur dans le processus de récupération manuelle.

De plus, d'autres méthodes de récupération intelligente peuvent inclure :

• Récupération multi-appareils : Si un utilisateur dispose d'un deuxième appareil de confiance, il peut récupérer son compte en scannant un code QR.
• Environnements connus : Les utilisateurs qui ont toujours accès au même appareil qu'ils avaient utilisé avec succès par le passé peuvent fournir des facteurs d'assurance supplémentaires en utilisant cet appareil, prouvant ainsi qu'ils agissent depuis le même appareil, le même fournisseur et le même emplacement pour faciliter le processus de récupération manuelle. C'est l'approche qu'utilise Google pour la récupération de compte Gmail.
• API Digital Credentials : Avec l'adoption croissante des portefeuilles d'identité (ID wallets), la vérification directe via cette API devrait jouer un rôle croissant dans la récupération de compte sécurisée et conviviale.

Les méthodes de récupération MFA intelligente visent à offrir aux utilisateurs des moyens sécurisés et intuitifs de retrouver l'accès à leurs comptes, en particulier lorsqu'il s'agit d'informations hautement sensibles ou réglementées. Ces approches garantissent que même dans les cas où les méthodes traditionnelles comme la récupération par e-mail ou par téléphone ne sont pas disponibles, les utilisateurs peuvent toujours restaurer leur accès de manière sécurisée et efficace. La récupération intelligente aide à réduire les coûts de récupération MFA.

4.3 Fréquence de récupération MFA : numéro de téléphone vs clé d'accès#

Il est important de garder à l'esprit que, parce que les clés d'accès sont synchronisées dans le cloud, les coûts de récupération MFA sont beaucoup plus faibles sur une période de 36 mois, car changer de numéro de téléphone mobile est beaucoup plus fréquent que de passer d'Apple à Android ou vice versa. En cas de changement de forfait téléphonique, les clés d'accès seront restaurées.

Par conséquent, la perte d'accès aux clés d'accès synchronisées se produira moins fréquemment que la perte d'accès au numéro de téléphone portable, qui cause la plupart des difficultés de récupération pour les systèmes MFA traditionnels orientés consommateurs.

Néanmoins, avec une base d'utilisateurs croissante, de tels cas entraînent toujours des coûts d'assistance manuelle importants et doivent être traités avec une solution numérique, ce que nous examinerons dans la section suivante.

5. Recommandations pour les chefs de produit et les développeurs#

Lors de l'intégration de clés d'accès dans votre système d'authentification, il est crucial de planifier soigneusement à la fois les options de secours et les stratégies de récupération pour maintenir un niveau élevé de sécurité tout en garantissant une expérience utilisateur fluide. Pour maximiser le taux d'adoption de la connexion par clé d'accès, considérez les recommandations suivantes :

• Optez pour l'approche centrée sur l'identifiant (Identifier-First) : Cette approche est plus conviviale et réduit les frictions dans le processus de connexion. En demandant aux utilisateurs de saisir d'abord leur identifiant principal (par exemple, un e-mail ou un numéro de téléphone), le système peut déterminer automatiquement si une connexion par clé d'accès est possible. Cela garantit une expérience de connexion fluide et intuitive sans compter sur l'utilisateur pour choisir manuellement une option de clé d'accès.
• Utilisez des écrans d'annulation explicatifs pour une meilleure expérience utilisateur : Bien que la sécurité doive être la priorité absolue, il est essentiel de concevoir un processus qui aide l'utilisateur à adopter les clés d'accès. Assurez-vous que les annulations lors de la première tentative soient traitées comme normales, et donnez des instructions claires pour réessayer.
• Maintenez la sécurité des options de secours et de récupération : Assurez-vous que les méthodes de secours (telles que l'OTP par e-mail et/ou l'OTP par SMS) correspondent au niveau de sécurité de la méthode d'authentification principale. Par exemple, dans un système MFA qui utilise des clés d'accès, la solution de secours devrait également nécessiter plusieurs facteurs pour maintenir la même norme de sécurité.
• Automatisez les invites de récupération régulières : Invitez régulièrement les utilisateurs à vérifier leurs coordonnées (adresse e-mail ou numéro de téléphone) lors de la connexion pour vous assurer que les options de récupération restent à jour lorsqu'ils utilisent des clés d'accès. Cela réduit les risques que les utilisateurs soient bloqués hors de leurs comptes en raison de méthodes de récupération obsolètes.
• Envisagez des méthodes de récupération intelligentes pour une sécurité renforcée et des coûts de support réduits : Pour les secteurs réglementés ou les systèmes ayant accès à des données personnelles pour les recouper avec une identification en ligne, envisagez des méthodes de récupération avancées telles que l'identification par selfie avec test de vivacité. Cette méthode peut fournir des couches de sécurité supplémentaires tout en gardent le processus de récupération intuitif et convivial en fonction de vos exigences de sécurité.

La maximisation du taux de connexion par clé d'accès dépend de la façon dont vous mettez en œuvre ces éléments. Garantir des options de secours et de récupération fluides donnera aux utilisateurs la confiance nécessaire pour utiliser les clés d'accès comme méthode d'authentification principale.

6. Ce que Corbado peut faire pour vous : composants d'interface utilisateur et Passkey Intelligence#

Corbado fournit tout le nécessaire pour mettre en œuvre l'approche centrée sur l'identifiant pour les nouveaux projets nécessitant un tout nouveau système d'authentification et pour les projets existants qui souhaitent ajouter des clés d'accès à leur système d'authentification actuel.

6.1 Composants d'interface utilisateur pour différents cas d'utilisation#

Les deux produits proposent des composants d'interface utilisateur qui peuvent être adaptés à vos besoins :

1. Corbado Complete : démarrez votre projet avec l'authentification axée sur les clés d'accès
   Il s'agit de notre système d'authentification complet, qui inclut une approche centrée sur l'identifiant pour simplifier le processus de connexion. Corbado Complete offre une expérience sécurisée et conviviale en déterminant automatiquement si la connexion par clé d'accès est possible après que l'utilisateur a fourni son identifiant. Cela réduit les frictions et garantit une expérience de connexion fluide, ce qui est crucial pour maximiser l'adoption des clés d'accès.
2. Corbado Connect : ajoutez des clés d'accès sans migration vers n'importe quelle application
   Pour les entreprises qui ont déjà établi des processus d'authentification et souhaitent ajouter des clés d'accès en tant qu'amélioration, Corbado Connect offre une solution complémentaire pour les stratégies à un facteur et multifacteur. Cette approche complète votre infrastructure existante en intégrant de manière transparente les clés d'accès comme une option sécurisée et pratique, permettant aux utilisateurs de s'authentifier via des clés d'accès sans remanier votre système actuel. Par exemple, Corbado Connect peut être intégré de manière transparente dans Amazon Cognito.

Nous alignons strictement nos méthodes avec celles des leaders de l'industrie tels que Google et d'autres acteurs de premier plan dans l'espace technologique, spécialement adaptées pour les entreprises orientées consommateurs.

6.2 Passkey Intelligence permet l'approche centrée sur l'identifiant#

Notre objectif n'est pas seulement de maximiser l'adoption des clés d'accès (c'est-à-dire la création de clés d'accès) mais aussi de s'assurer que ces clés d'accès sont activement utilisées pour générer des taux de connexion élevés (et par conséquent accroître la sécurité et réduire les coûts des OTP par SMS). Nos composants d'interface utilisateur sont conçus avec l'approche centrée sur l'identifiant à l'esprit et sont directement connectés à notre Passkey Intelligence, qui décide de la disponibilité et de l'accessibilité des clés d'accès en fonction de l'environnement client et des clés d'accès existantes. Ils prennent en charge toutes les fonctionnalités de secours et de récupération discutées. Les écrans suivants montrent notre logique d'annulation et de nouvelle tentative :

Première annulation de clé d'accès

Deuxième annulation de clé d'accès

En nous concentrant à la fois sur l'adoption et l'utilisation des clés d'accès, nous vous aidons à trouver un équilibre entre la sécurité et l'expérience utilisateur, en veillant à ce que les utilisateurs continuent à interagir avec les clés d'accès de manière fluide.

7. Conclusion#

Dans ce guide, nous avons exploré les différentes stratégies de secours et de récupération consécutives à l'intégration de clés d'accès dans un système d'authentification. Les questions clés posées dans l'introduction ont été abordées tout au long :

• Quels sont les scénarios de secours existants ? Plusieurs scénarios de secours peuvent se produire, tels qu'un manque de prise en charge des clés d'accès ou l'inaccessibilité des clés d'accès sur un appareil particulier. Pour maintenir la sécurité et offrir une expérience utilisateur fluide, des options de secours telles que les OTP par e-mail ou SMS doivent être disponibles lorsque la connexion par clé d'accès n'est pas possible.
• Comment la récupération doit-elle être gérée ? Les processus de récupération doivent être conçus pour correspondre au niveau de sécurité du système d'authentification. Dans les systèmes SFA, un OTP par e-mail ou SMS peut suffire, tandis que dans les systèmes MFA, des facteurs alternatifs doivent être utilisés pour retrouver l'accès et créer une nouvelle clé d'accès. Dans les environnements hautement réglementés ou sensibles, des méthodes de récupération intelligentes telles que l'identification par selfie avec test de vivacité offrent une sécurité supplémentaire.

En suivant les meilleures pratiques décrites dans ce guide, les chefs de produit et les développeurs peuvent concevoir des systèmes d'authentification par clés d'accès robustes qui offrent aux utilisateurs une expérience de connexion sécurisée et fluide. La sécurité ne doit pas se faire au détriment de l'expérience utilisateur - les deux peuvent être atteints avec une conception et une planification réfléchies.

À propos de Corbado

Corbado est la Passkey Intelligence Platform pour les équipes CIAM qui gèrent l'authentification client à grande échelle. Nous vous montrons ce que les logs IDP et les outils d'analytics génériques ne voient pas : quels appareils, versions d'OS, navigateurs et gestionnaires de credentials prennent en charge les passkeys, pourquoi les enrôlements ne deviennent pas des connexions, où le flux WebAuthn échoue et quand une mise à jour OS ou navigateur casse silencieusement la connexion — le tout sans remplacer Okta, Auth0, Ping, Cognito ni votre IDP interne. Deux produits : Corbado Observe ajoute l'observabilité pour les passkeys et toute autre méthode de connexion. Corbado Connect apporte des passkeys managés avec analytics intégrés (aux côtés de votre IDP). VicRoads gère les passkeys pour plus de 5M d'utilisateurs avec Corbado (+80 % d'activation passkey). Parler à un expert Passkey →

Foire aux questions#

Comment l'approche centrée sur l'identifiant gère-t-elle la connexion par clé d'accès lorsqu'une clé d'accès n'est pas accessible sur l'appareil actuel ?#

Lorsqu'une clé d'accès est probablement inaccessible (par exemple, une clé d'accès macOS consultée depuis un appareil Windows), le système ignore automatiquement l'invite de clé d'accès et présente à la place des options de secours telles qu'un mot de passe ou un OTP. Cela évite les impasses déroutantes en ne déclenchant la connexion par clé d'accès que lorsque le succès est probable, en suivant une stratégie "ne me faites pas réfléchir".

Que doit-il se passer lorsqu'un utilisateur annule un processus d'authentification par clé d'accès en cours de route ?#

La première annulation doit être traitée comme un événement normal, avec un écran apaisant encourageant l'utilisateur à réessayer, car de nombreux utilisateurs annulent simplement parce qu'ils ne sont pas familiers avec l'écran d'authentification. Si une deuxième annulation se produit, le système doit proposer des options d'authentification de secours, car cela peut indiquer un véritable problème avec l'authentificateur de la plateforme ou la disponibilité des clés d'accès.

Quelles options de récupération existent pour les systèmes MFA lorsqu'un utilisateur perd l'accès à sa clé d'accès ?#

Dans les systèmes MFA, les utilisateurs peuvent récupérer leur compte en s'authentifiant avec deux facteurs alternatifs tels qu'un mot de passe plus un OTP par SMS ou en utilisant une clé d'accès à partir d'un autre appareil de confiance, puis en créant une nouvelle clé d'accès. Pour les secteurs réglementés où les méthodes de récupération traditionnelles sont indisponibles, des méthodes intelligentes telles que l'identification par selfie avec test de vivacité offrent un chemin de récupération sécurisé supplémentaire.

Pourquoi l'approche manuelle avec le bouton "Se connecter avec une clé d'accès" entraîne-t-elle une adoption plus faible par rapport à l'approche centrée sur l'identifiant ?#

L'approche manuelle fait porter l'entière responsabilité aux utilisateurs de se souvenir et de sélectionner eux-mêmes l'option de clé d'accès, ce qui se traduit généralement par des taux de connexion par clé d'accès beaucoup plus faibles. Les utilisateurs peuvent également rencontrer des messages d'erreur peu clairs lorsque les clés d'accès ne sont pas trouvées sur l'authentificateur de la plateforme, ce qui entraîne de la frustration et des abandons de tentatives de connexion.