Le Dashlane Passkey Power 20 2026

Il y a deux ans, la question autour des clés d'accès était de savoir qui les adopterait.¹ L'année dernière, c'était à quelle vitesse.² Cette année, avec suffisamment de données pour discerner une tendance plutôt qu'un instant T, la question a évolué : jusqu'où la transition a-t-elle réellement progressé ?

La réponse est plus complexe que ne le souhaiteraient les optimistes comme les sceptiques. Les authentifications par clé d'accès ont presque doublé au cours des 12 derniers mois. L'adoption s'étend à des secteurs qui ne présentaient aucune activité l'année passée. Et pourtant, sur le domaine affichant le taux d'utilisation des clés d'accès le plus élevé que nous mesurons, environ sept connexions sur dix ne font toujours pas appel à une clé d'accès.

C'est cet écart entre les progrès accomplis en matière d'adoption des clés d'accès et l'immense potentiel qui reste à exploiter qui fait l'objet de ce rapport.

Les enjeux n'ont pas changé. Selon les données Dashlane, une personne gère en moyenne plus de 300 mots de passe, et l'abus d'identifiants reste l'un des trois vecteurs d'attaque initiaux les plus répandus.³

Les clés d'accès demeurent la réponse la plus crédible à ce problème. Reposant sur les standards de la FIDO Alliance et du W3C et s'appuyant sur la cryptographie à clé publique, elles sont résistantes au phishing par conception, imperméables aux attaques par credential stuffing et ne nécessitent aucune mémorisation. Ce qui est nouveau, c'est que nous pouvons enfin voir là où ces avantages se sont traduits par une utilisation concrète — et là où ce n'est pas encore le cas.

Le Dashlane Passkey Power 20 2026 repose sur une analyse des données Dashlane portant sur des millions d'authentifications par clé d'accès web et mobile, agrégées et anonymisées, réalisées à l'échelle mondiale de juillet 2025 à juin 2026, sauf mention contraire.

Dashlane a été le premier gestionnaire d'identifiants à prendre en charge les clés d'accès sur toutes les grandes plates-formes, ce qui nous offre une vision particulièrement claire des comportements d'authentification grand public, tant dans les environnements grand public qu'en entreprise.

Le Power 20 de cette année classe les domaines différemment de l'année précédente.

Le classement 2025 mesurait la part de chaque domaine dans le total des authentifications par clé d'accès. Il s'agissait d'une métrique de volume, qui répondait à la question « où se concentre l'activité liée aux clés d'accès ? ». Ce type de mesure est dominé par l'échelle, ce qui explique qu'un seul distributeur représentait près de 40 % de la liste de l'année dernière.

Le classement 2026 mesure la proportion d'authentifications par clé d'accès par rapport au total des authentifications pour chaque domaine. Il s'agit d'un taux de pénétration, qui répond à une question plus pertinente pour cette année : où les clés d'accès ont-elles réellement remplacé les mots de passe ?

La part de volume mesure principalement la taille d'une entreprise. Le taux de pénétration mesure si la transition vers le sans mot de passe est réellement en cours pour un service donné — c'est précisément la question à laquelle les responsables sécurité qui évaluent leurs propres programmes ont besoin de réponses.

Ces deux classements ne sont pas comparables, et les pourcentages ne doivent pas être mis en regard l'un de l'autre. Un domaine peut générer un volume considérable d'authentifications par clé d'accès tout en ne convertissant qu'une infime fraction de ses connexions. Les chiffres de cette année sont inférieurs à ceux de l'année dernière parce qu'ils mesurent autre chose, et non parce que l'adoption a ralenti. Ce n'est pas le cas.

Les authentifications par clé d'accès réalisées par les utilisateurs Dashlane ont presque doublé d'une année sur l'autre, atteignant 2,5 millions par mois. L'adoption par les utilisateurs suit une progression remarquablement régulière : environ 20 points de pourcentage par an, trois années de suite.

Si cette trajectoire se maintient, quatre utilisateurs Dashlane sur cinq enregistreront au moins une clé d'accès d'ici mi-2027. Dashlane étant utilisé par des millions de personnes dans des environnements grand public et en entreprise, sur toutes les grandes plates-formes et tous les systèmes d'exploitation, cela en fait l'une des fenêtres les plus claires disponibles sur l'évolution réelle des pratiques d'authentification dans le grand public.

Le chiffre le plus révélateur du classement de cette année se trouve tout en haut. Google arrive en tête du Power 20 avec 28 %, ce qui signifie que même sur le domaine majeur le plus avancé en matière de clés d'accès parmi ceux que nous mesurons, environ sept connexions sur dix ne font toujours pas appel à une clé d'accès.

Tel est l'état de l'authentification sans mot de passe en 2026. L'adoption s'accélère, mais elle est loin d'être achevée.

Ce classement ne comprend que les domaines ayant enregistré au moins 400 000 authentifications au total gérées par Dashlane au cours de l'année écoulée, ce qui représente une activité de connexion significative. Les domaines associés sont regroupés, par exemple Amazon.com et Amazon.fr. Microsoft inclut les authentifications provenant de Microsoft.com, Microsoft Online et Live.com.

Chaque domaine de cette liste prend en charge les clés d'accès. Il en va de même pour des centaines de services qui n'y figurent pas. Ce qui distingue les premiers du classement des autres, ce sont les choix produits qui s'y superposent.

Les leaders ont fait des clés d'accès un chemin visible, évident et plus rapide. Google les présente comme une alternative plus sécurisée et plus simple aux mots de passe.⁴ Amazon a constaté qu'un message axé sur la praticité est plus efficace qu'un message centré sur la sécurité.⁵ HubSpot promeut les clés d'accès sur le web, le mobile et son complément Outlook Sales Add-In, en citant des connexions quatre fois plus rapides qu'un mot de passe combiné à la 2FA.⁶

Ce qui frappe le plus en tête de ce classement, c'est qu'aucun des dix premiers domaines n'impose les clés d'accès à ce jour.

En analysant leurs approches, quatre stratégies distinctes se dégagent.

L'exemple le plus clair de cette quatrième approche vient d'une entité différente des propriétés Yahoo présentes dans ce classement. LINE Yahoo, la société détenue par SoftBank qui exploite Yahoo Japan, a annoncé son intention de mettre fin à la connexion par mot de passe seul pour les identifiants Yahoo Japan d'ici le printemps 2027.¹³

Cette rareté explique le plafond de 28 %. L'incitation fonctionne — elle est à l'origine de tous les résultats présentés ici — mais elle a ses limites, et les leaders semblent s'en approcher.

Les applications professionnelles ne sont plus représentées par une poignée d'acteurs avant-gardistes en matière de sécurité. HubSpot (n° 3) et Cisco Duo (n° 9) maintiennent leur position de l'an dernier, mais la catégorie s'est considérablement élargie. isolved HCM (n° 10) et BambooHR (n° 15) font leur entrée dans le classement pour les plates-formes RH et de paie, AWS (n° 17) représente l'infrastructure Cloud, et Dropbox (n° 14) incarne le partage de fichiers.

L'arrivée des RH et de la paie est particulièrement notable. Ces systèmes contiennent des coordonnées bancaires pour les virements, des identifiants fiscaux et des dossiers personnels de l'ensemble des effectifs, et ils sont utilisés par des employés qui ne sont pas des spécialistes de la sécurité. isolved HCM a fait des clés d'accès une option MFA principale et mise en avant à la connexion, tout en supprimant progressivement les méthodes plus faibles.¹¹

Pour les plates-formes B2B, les clés d'accès résolvent deux problèmes à la fois : protéger les données critiques pour l'entreprise et réduire la charge informatique liée aux réinitialisations de mots de passe, aux blocages de comptes et aux tickets d'assistance liés aux identifiants.

Deux nouveaux venus dans le classement de cette année indiquent la prochaine étape de l'authentification sans mot de passe.

Login.gov (n° 11) fait son entrée dans le Power 20 avec les services fédéraux américains. Sa position pourrait prendre une importance considérable, car le Bureau américain de la gestion et du budget (OMB) a diffusé un projet de politique visant à établir Login.gov comme le service d'authentification unique du gouvernement fédéral pour la plupart des services publics nécessitant une authentification.¹⁴ Une implémentation de clés d'accès à cette échelle exposerait une large part du public américain à l'authentification sans mot de passe, tout comme la décision de Google en 2023 de l'activer par défaut l'avait fait pour les consommateurs.

OpenAI (#19) est la première plate-forme d'IA à figurer dans ce classement. OpenAI a annoncé la prise en charge des clés d'accès en avril dans le cadre de son programme Advanced Account Security, les clés d'accès étant requises par défaut pour les membres de son programme Trusted Access for Cyber.¹⁵ Ainsi, l'exigence la plus explicite que nous ayons trouvée dans l'ensemble des données s'applique à un niveau d'utilisateurs sensible du point de vue de la sécurité, et non à la population générale.

L'année dernière, nous avions entièrement exclu Google du classement. Son volume d'authentification éclipsait tout le reste, et son rôle de fournisseur de SSO rendait toute comparaison directe peu pertinente.

La métrique de cette année élimine ce problème. Un taux de pénétration ne récompense pas l'échelle, si bien que Google concourt sur un pied d'égalité avec tous les autres acteurs et arrive quand même en tête. Son score de 28 % constitue la preuve la plus solide disponible que les paramètres par défaut fonctionnent. Google a fait des clés d'accès l'option de connexion par défaut pour les comptes individuels en octobre 2023, et trois ans plus tard, cette décision produit toujours le taux de conversion le plus élevé que nous mesurions.¹⁶

Microsoft figurait à la #5 du classement des croissances les plus rapides de l'année dernière, après avoir fait des clés d'accès la méthode de connexion par défaut pour tous les nouveaux comptes en mai 2025.¹⁷ Cette année, il fait son entrée dans le classement principal à la #16.

Cette trajectoire mérite d'être notée par quiconque évalue son propre déploiement. Les décisions d'activation par défaut ne génèrent pas immédiatement une pénétration significative. Elles se manifestent d'abord sous forme de croissance, puis se transforment en parts durables au cours de l'année suivante, à mesure que la base installée se renouvelle.

Historiquement, les clés d'accès Apple ne pouvaient pas quitter son écosystème, ce qui rendait la gestion des identifiants indépendante des plates-formes difficile, aussi bien pour les consommateurs que pour les administrateurs informatiques.

Avec iOS 26, sorti en septembre 2025, Apple a introduit la prise en charge de la portabilité sécurisée des identifiants, permettant aux utilisateurs de transférer des clés d'accès et d'autres identifiants entre l'application Apple Passwords et des fournisseurs tiers tels que Dashlane via l'Échange d'identifiants. Google a emboîté le pas. En 2026, Google a ajouté la prise en charge de l'Échange d'identifiants pour Google Password Manager sur Android. 

L'effet concret est que les clés d'accès deviennent des actifs portables plutôt que des engagements liés à une plate-forme. Pour les organisations qui hésitaient à adopter l'approche sans mot de passe par crainte d'un verrouillage propriétaire, cet obstacle a désormais largement été levé.

Le Power 20 mesure le chemin parcouru par chaque service. Ce classement mesure la vitesse à laquelle il progresse. Pour cette analyse, Dashlane a examiné la croissance trimestrielle des authentifications par clé d'accès du T1 2026 au T2 2026.

Le domaine à la croissance la plus rapide l'année dernière, Roblox, a progressé de 856 % en un trimestre. Le leader de cette année, BetMGM, plafonne à 391 %.

Ce recul est un signe de maturité plutôt qu'un ralentissement. Les chiffres de croissance les plus élevés proviennent de plates-formes qui effectuent un seul mouvement décisif : soit activer les clés d'accès là où elles n'existaient pas, soit les rendre obligatoires d'emblée. Ces gains sont limités, et ce qui les remplace est plus large et plus régulier. Même le numéro 20 de cette liste a progressé de près des deux tiers en un seul trimestre.

La croissance n'est plus concentrée sur quelques acteurs phares. Au contraire, elle se répartit dans presque tous les secteurs que nous mesurons.

Les jeux d'argent prennent la première place pour la première fois, et la croissance de 391 % de BetMGM reflète un schéma visible tout au long de ce classement. L'adoption des clés d'accès progresse le plus vite là où les comptes détiennent de l'argent, des identifiants ou des données personnelles réglementées. Les comptes de paris en ligne contiennent des moyens de paiement et des soldes, sont soumis à un contrôle réglementaire actif et constituent des cibles attractives pour les prises de contrôle de compte.

La finance est l'exemple le plus clair de ce schéma, occupant cinq des vingt places, soit plus que toute autre catégorie. Experian (383 %), SBI Securities (114 %), Principal (74 %), PayPal (66 %) et Klarna (64 %) couvrent le reporting crédit, le courtage, l'assurance, les paiements et le paiement fractionné.

Le visage du secteur financier a changé depuis l'année dernière. En 2025, la croissance dans ce secteur était portée par des mandats spectaculaires, le plus visible étant Gemini imposant des clés d'accès ou des applications d'authentification à tous ses utilisateurs. Gemini ne figure pas parmi les 20 premiers domaines du premier tableau de ce rapport. Cette année, il n'y a pas d'équivalent à la une. En revanche, la finance apparaît simultanément dans cinq sous-secteurs et, si c'est moins spectaculaire, c'est nettement plus durable.

« Confier une transaction réelle à un agent d'IA implique de savoir qui se trouve derrière et d'être certain qu'il ne peut effectuer que ce que cette personne a autorisé », déclare Andrew Shikiar, Directeur Général et PDG de la FIDO Alliance. « Des standards ouverts et résistants au phishing sont le moyen de donner aux utilisateurs, aux vendeurs et aux banques confiance dans les transactions menées par des agents. »

Le secteur de la santé et de la pharmacie s'impose avec une nouvelle vigueur : CVS (132 %), MyChart (100 %) et Caremark (71 %) figurent tous trois dans le top 15. Deux d'entre eux, CVS et Caremark, appartiennent à CVS Health, ce qui représente deux organisations plutôt que trois initiatives indépendantes.

Le calendrier est révélateur. La mise à jour proposée de la règle de sécurité HIPAA, qui ferait de l'authentification multifacteur une exigence explicite plutôt qu'optionnelle, n'a pas encore abouti au niveau fédéral.¹⁸ Les organisations du secteur de la santé adoptent une authentification résistante au phishing avant même qu'une obligation légale ne le leur impose.

Les portails patients contiennent des historiques d'ordonnances, des informations d'assurance et des moyens de paiement, et ils sont utilisés par une population aux niveaux de compétences techniques très variés. Cette combinaison rend les chiffres d'adoption encore plus impressionnants que les seuls pourcentages bruts ne le laissent paraître.

La croissance de 354 % de Gusto est le troisième chiffre le plus élevé de cette liste, et elle fait écho aux excellents résultats d'isolved HCM (n°10) et de BambooHR (n°15) dans le classement Power 20 ci-dessus.

Les plates-formes RH et de paie convergent vers les clés d'accès sur deux fronts simultanément, affichant une croissance rapide et un taux de pénétration élevé. Ces systèmes contiennent des coordonnées bancaires pour les virements, des identifiants fiscaux et des dossiers du personnel complets, tout en étant utilisés par des employés qui se connectent rarement et ne bénéficient souvent d'aucune formation en sécurité. Les mots de passe s'avèrent particulièrement inadaptés dans ces conditions.

Meta (310 %) et X (112 %) affichent de bons chiffres, mais aucun des deux ne s'impose comme leader comme les plates-formes sociales l'ont fait lors des années précédentes. Les secteurs qui donnent désormais le tempo sont ceux directement exposés à des risques financiers ou réglementaires, ce qui suggère que l'adoption des clés d'accès est motivée par le calcul des risques plutôt que par les tendances technologiques grand public.

Air France (69 %), Mon Identifiant SNCF (68 %), Ticketmaster (218 %) et Petco (101 %) témoignent d'une dynamique grand public soutenue en Europe et en Amérique du Nord. Broadcom (80 %) et Trimble (67 %) font leur entrée dans le classement, représentant pour la première fois les secteurs des semi-conducteurs et des technologies industrielles.

Cette diversité est en elle-même significative. Dix-neuf catégories distinctes apparaissent dans les deux classements de cette année. L'adoption des clés d'accès n'est plus l'histoire d'un seul secteur pionnier entraînant les autres dans son sillage.

Il y a deux ans, nous faisions état d'une dynamique naissante. L'année dernière, nous constations que cette dynamique était devenue une obligation. Les données de cette année permettent de tirer une conclusion plus précise, et plus exigeante.

Les authentifications par clé d'accès ont presque doublé. L'adoption a progressé d'environ vingt points par an pendant deux années consécutives. Dix-neuf catégories sont représentées dans nos deux classements, des services d'identité fédéraux aux plates-formes de paie en passant par les portails patients. Aucun observateur sérieux ne peut désormais affirmer que les clés d'accès sont une technologie réservée aux pionniers.

Pourtant, le domaine majeur le plus performant que nous mesurons affiche un taux de connexion par clé d'accès de seulement 28 %. Les leaders y sont parvenus par la persuasion : un meilleur positionnement, des parcours plus fluides, des avantages plus clairs et l'abandon progressif des alternatives moins sécurisées. Chacune de ces décisions a porté ses fruits, mais aucune n'a suffi à achever la transition.

Les organisations en tête de ce classement ont démontré que les clés d'accès peuvent être déployées à grande échelle auprès de tous types d'utilisateurs sans contrainte. Elles ont également mis en évidence le plafond que cette approche finit par atteindre.

Pour les responsables informatiques et sécurité, la question stratégique a évolué en conséquence. Il ne s'agit plus de savoir s'il faut prendre en charge les clés d'accès, ni même les promouvoir. La vraie question est de savoir jusqu'où une organisation est prête à aller dans la suppression du mot de passe, et selon quel calendrier. Les services qui répondront à cette question en premier seront ceux qui figureront en tête de ces classements l'année prochaine.

L'abus d'identifiants restant l'un des vecteurs d'attaque initiaux les plus répandus, le coût d'une transition à moitié accomplie se mesure à la surface d'attaque qui subsiste. Une clé d'accès proposée en parallèle d'un mot de passe réduit très peu le risque, mais une clé d'accès qui remplace ce mot de passe le réduit considérablement.

Chez Dashlane, nous continuerons à suivre cette transition et à publier ce que les données révèlent, y compris les aspects les moins flatteurs. Le Passkey Power 20 2026 dresse le portrait d'un secteur qui a prouvé que l'authentification sans mot de passe fonctionne. Ce qui vient ensuite, c'est le travail plus difficile qui consiste à aller jusqu'au bout.