Briefing : Rapport d’adoption des clés d’accès (Passkeys) 2026 – Dashlane Power 20
Résumé Exécutif
Le rapport 2026 Dashlane Passkey Power 20 offre une analyse approfondie de la transition mondiale vers l’authentification sans mot de passe (clés d’accès ou passkeys) dans les environnements grand public et d’entreprise. Basé sur l’analyse de millions d’authentifications anonymisées gérées par Dashlane entre juillet 2025 et juin 2026, le rapport montre une accélération soutenue de l’adoption, tout en mettant en lumière un écart majeur entre le potentiel théorique de cette technologie et son utilisation réelle.
Principaux constats :
- Croissance continue : Les authentifications mensuelles par clé d’accès ont presque doublé en 12 mois pour atteindre 2,5 millions par mois. Désormais, 57 % des utilisateurs de Dashlane possèdent au moins une clé d’accès.
- Le plafond de la persuasion : Bien que l’adoption progrese, même sur le domaine le plus performant du classement (Google, avec 28 % de taux de pénétration), environ 7 connexions sur 10 utilisent encore des mots de passe.
- Nouvelle méthodologie de mesure : Le classement 2026 évalue désormais le taux de pénétration (proportion de connexions par clés d’accès par rapport au total des connexions d’un domaine) et non plus le volume brut, afin de mesurer la véritable éviction du mot de passe.
- Élargissement sectoriel : L’adoption s’étend au-delà des pionniers de la tech vers les logiciels B2B (RH et paie comme isolved HCM et BambooHR), les services gouvernementaux (Login.gov), l’intelligence artificielle (OpenAI) et la santé (CVS, MyChart).
- Le défi de l’obligation : La majorité des entreprises incitent à l’usage des clés d’accès mais ne l’imposent pas encore. L’accès à une sécurité optimale réside désormais dans le passage d’une adoption « douce » (encouragement) à une application « obligatoire » (enforcement).
Métriques Globales et Trajectoire d’Adoption (2024–2026)
Face à un utilisateur moyen gérant plus de 300 mots de passe et à la persistance de l’abus d’identifiants comme l’un des trois principaux vecteurs d’attaque initiale, les clés d’accès (basées sur les normes FIDO Alliance et W3C et la cryptographie à clé publique) restent la réponse la plus crédible. Elles sont résistantes au hameçonnage (phishing) et aux attaques par bourrage d’identifiants (credential stuffing).
L’analyse sur trois ans des données de Dashlane révèle une progression régulière d’environ 20 points de pourcentage par an concernant la proportion d’utilisateurs détenant au moins une clé d’accès.
| Année du rapport | Authentifications mensuelles par clé d’accès | Utilisateurs Dashlane ayant au moins une clé d’accès |
|---|---|---|
| 2024 | 200 000 | 20 % |
| 2025 | 1,3 million | 40 % |
| 2026 | 2,5 millions | 57 % |
Projection : Si cette trajectoire se maintient, quatre utilisateurs de Dashlane sur cinq (80 %) stockeront au moins une clé d’accès d’ici le milieu de l’année 2027.
Le Classement « Passkey Power 20 » de 2026
Évolution de la Méthodologie
- Classement 2025 : Mesurait la part de volume total d’authentifications (métrique dominée par la taille des entreprises, où un seul détaillant représentait près de 40 % de la liste).
- Classement 2026 : Mesure le taux de pénétration sur les domaines gérant au moins 400 000 authentifications totales via Dashlane. Cette approche évalue la capacité réelle d’un service à remplacer les mots de passe.
- Note : Les chiffres de 2025 et 2026 ne sont pas comparables en raison de ce changement de métrique.
Principaux Domaines et Limite des 30 %
Google arrive en tête du classement Power 20 avec un taux de pénétration de 28 %, suivi par d’autres acteurs du classement se terminant avec State Farm à 3 %. Aucun domaine mesuré ne dépasse le seuil des 30 %, ce qui signifie que la majorité des connexions s’effectue encore par mot de passe, même chez les leaders.
Pénétration des clés d’accès sur les principaux domaines (Q3 2025 - Q2 2026) :
- Google : 28 % (Leader)
- State Farm : 3 % (20e position)
- Reste des connexions sur l’ensemble des domaines : > 70 % par mot de passe
Les 4 Approches Déployées par les Entreprises
Le rapport identifie quatre stratégies distinctes adoptées par les organisations :
- Rendre l’option facile et visible : Intégrer la création de clés d’accès de manière fluide dans les flux existants sans rien forcer (ex. Google, GitHub, Amazon).
- Éliminer progressivement les alternatives secondaires : Supprimer les codes à usage unique (OTP) et les méthodes d’authentification héritées plutôt que d’éliminer immédiatement le mot de passe (ex. Yahoo, Intuit, isolved HCM, Microsoft).
- Fixer une date limite / Obligation future : Approche encore très rare. L’exemple le plus notable est LINE Yahoo (Yahoo Japan), qui prévoit de mettre fin à la connexion par mot de passe seul pour les identifiants Yahoo Japan d’ici le printemps 2027.
- Rendre l’usage obligatoire (Enforcement) : Application de règles strictes réservées à des niveaux d’accès sensibles. Par exemple, OpenAI exige par défaut les clés d’accès pour les membres de son programme Trusted Access for Cyber.
Analyse Sectorielle et Nouveaux Entrants
L’adoption des clés d’accès s’est diversifiée et touche désormais 19 catégories distinctes dans le rapport.
1. Logiciels B2B, RH et Paie
Les applications professionnelles ne sont plus représentées que par quelques pionniers de la sécurité.
- Pionniers B2B : HubSpot (#3) et Cisco Duo (#9) conservent une position forte. HubSpot rapporte des connexions 4 fois plus rapides qu’avec un mot de passe combiné à la 2FA.
- Arrivée de la RH / Paie : isolved HCM (#10) et BambooHR (#15) intègrent le classement. Ces plateformes gèrent des données critiques (RIB, identifiants fiscaux, dossiers du personnel) accédées par des employés non spécialistes en sécurité. isolved HCM a fait des passkeys une option MFA primaire visible tout en retirant les méthodes plus faibles.
- Infrastructure et Fichiers : AWS (#17) et Dropbox (#14) illustrent l’extension aux infrastructures cloud et au partage de documents.
2. Secteur Public et Gouvernement
- Login.gov (#11) : L’entrée des services fédéraux américains au Power 20 préfigure une adoption massive. Un projet de directive du Bureau de la gestion et du budget des États-Unis (OMB) prévoit de faire de Login.gov le service d’authentification unique (SSO) de la majorité des services publics fédéraux.
3. Intelligence Artificielle
- OpenAI (#19) : Premier acteur de l’IA à intégrer le classement suite au lancement de son programme Advanced Account Security en avril.
4. Systèmes d’Exploitation et Portabilité
- Apple (iOS 26) : Sorti en septembre 2025, iOS 26 a introduit le support de la portabilité sécurisée des identifiants (Credential Exchange), permettant de transférer des clés d’accès entre Apple Passwords et des gestionnaires tiers comme Dashlane.
- Google (Android) : Google a emboîté le pas en 2026 en intégrant l’échange d’identifiants pour Google Password Manager sur Android, levant ainsi les craintes de verrouillage propriétaire (lock-in).
Domaines à la Croissance la plus Rapide (Q1 2026 vs Q2 2026)
L’analyse de la croissance sur trois mois révèle une transition : on passe de pics isolés provoqués par des lancements majeurs (ex. Roblox à +856 % l’année précédente) à une adoption plus large et constante à travers de multiples secteurs.
Top catégories en croissance trimestrielle :
- Jeux d’argent & Paris : BetMGM (+391 %)
- Services Financiers : Experian (+383 %), SBI Securities (+114 %), Principal (+74 %), PayPal (+66 %), Klarna (+64 %)
- RH & Paie : Gusto (+354 %)
- Réseaux Sociaux & Divertissement : Meta (+310 %), Ticketmaster (+218 %), X (+112 %)
- Santé : CVS (+132 %), MyChart (+100 %), Caremark (+71 %)
Facteurs Clés de Croissance par Secteur
- Comptes à haute valeur financière : Les secteurs gérant de l’argent direct ou des données réglementées connaissent la plus forte progression. Les comptes de jeux en ligne (BetMGM) et de finance subissent des contrôles réglementaires stricts et sont des cibles privilégiées pour le détournement de compte (account takeover).
- Santé (Anticipation de la réglementation) : L’adoption progresse rapidement dans la santé (CVS, MyChart, Caremark) avant même la finalisation de la mise à jour de la règle de sécurité HIPAA au niveau fédéral américain, qui doit rendre l’authentification multifacteur obligatoire.
- Secteurs Industriels et Voyages : Présence confirmée d’Air France (+69 %), Mon Identifiant SNCF (+68 %), Broadcom (+80 %) et Trimble (+67 %).
Citations Clés
John Bennett, CEO de Dashlane : « L’avenir sans mot de passe approche. La question est maintenant de savoir à quelle vitesse nous pouvons l’atteindre et si nous y arriverons suffisamment tôt pour nous assurer que nous pouvons tous profiter en toute sécurité des avantages de l’IA au fur et à mesure qu’elle intègre notre vie quotidienne. »
Rew Islam, Directeur de l’Innovation Produit chez Dashlane : « Si nous voulons que le monde évolue vers une authentification résistante au hameçonnage, les entreprises doivent faire plus que simplement ajouter la prise en charge des clés d’accès ; elles doivent la prioriser. »
Christophe Frenet, CPO de Dashlane : « Malgré une croissance soutenue, nous n’en sommes pas encore de l’autre côté. […] Plus d’entreprises doivent passer d’une adoption douce à l’application du changement, afin que les clés d’accès deviennent la méthode d’authentification principale plutôt qu’une méthode secondaire, comme c’est encore le cas aujourd’hui. »
Andrew Shikiar, Directeur Exécutif et CEO de la FIDO Alliance : « Confier une transaction réelle à un agent IA signifie savoir qui se trouve derrière et être sûr qu’il ne peut faire que ce que cette personne l’a autorisé à faire. Les normes ouvertes et résistantes au hameçonnage sont le moyen de donner aux utilisateurs, aux commerçants et aux banques confiance dans les transactions menées par des agents. »
Conclusion et Imperatifs Stratégiques
Le rapport 2026 confirme que la technologie des clés d’accès est techniquement mûre et largement déployée sur le plan des infrastructures. L’obstacle principal à l’élimination des risques liés aux identifiants n’est plus le support technique, mais le maintien du double accès par mot de passe.
Conclusion stratégique : Proposer une clé d’accès en parallèle d’un mot de passe ne réduit que très peu la surface d’attaque globale. Pour les responsables informatiques et de la sécurité, l’enjeu ne consiste plus à promouvoir l’usage des clés d’accès, mais à définir un calendrier précis d’obligation d’utilisation (enforcement) et de retrait définitif des mots de passe.