Comment fonctionnent les passkeys de Singpass et qui peut les utiliser ?

Singpass, la plateforme d’identité numérique nationale de Singapour, propose désormais une nouvelle façon de se connecter : la passkey, ou clé d’accès. Disponible en version bêta depuis le 1er juillet 2026, cette option permet de s’identifier sans saisir de mot de passe, de code à usage unique reçu par SMS ou de validation par QR code. Le déploiement concerne d’abord les utilisateurs d’iPhone sur navigateur mobile ; Android et la connexion depuis un ordinateur arriveront lors de phases ultérieures.

L’intérêt principal est simple : au lieu de demander à l’utilisateur de fournir une information réutilisable, la passkey utilise une preuve cryptographique liée à l’appareil et au véritable service Singpass. Elle est ainsi nettement plus résistante aux sites de phishing.

Ce que les passkeys remplacent

Les méthodes classiques peuvent exposer des éléments qu’un escroc pourra réutiliser :

• un mot de passe peut être copié ;
• un code à usage unique peut être intercepté ou relayé ;
• un QR code peut être détourné afin de faire approuver une connexion lancée par quelqu’un d’autre.

Avec une passkey, aucun mot de passe ni code à usage unique n’est saisi ou transmis pendant l’authentification. L’utilisateur confirme toujours qu’il contrôle son appareil, généralement avec une donnée biométrique ou un code local, mais Singpass ne reçoit ni les données biométriques ni la clé privée. Le service reçoit une réponse cryptographique vérifiable, qui ne peut pas être réutilisée comme un mot de passe.

Une paire de clés, plutôt qu’un secret partagé

Lors de l’enregistrement, l’iPhone génère une paire de clés unique :

• la clé privée reste sur l’appareil enregistré et sert à produire une signature numérique ;
• la clé publique correspondante est enregistrée par Singpass et permet de vérifier cette signature ;
• lors d’une connexion, Singpass envoie un défi cryptographique inédit ;
• le téléphone signe ce défi uniquement après l’autorisation de l’utilisateur avec Face ID, Touch ID ou le code de l’application Singpass ;
• Singpass vérifie ensuite la réponse à l’aide de la clé publique conservée dans son système.

Il ne s’agit donc pas simplement d’un nouvel échange de mots de passe chiffrés. La clé privée ne quitte jamais l’appareil, tandis que la clé publique seule ne permet pas d’usurper l’identité de l’utilisateur.

Ce fonctionnement repose sur une authentification liée à l’origine du service, selon le modèle des standards FIDO. En pratique, la passkey est associée au véritable domaine de Singpass. Une copie visuelle de la page de connexion, hébergée sur un faux site, ne peut donc pas obtenir une réponse utilisable par Singpass.

C’est ce qui réduit fortement la valeur d’une page Singpass contrefaite : elle ne peut pas récupérer un mot de passe, un code SMS ou une approbation QR réutilisable.

Qui peut utiliser les passkeys au lancement ?

Le déploiement initial reste volontairement limité :

• iPhone et iOS : disponibles depuis le 1er juillet 2026 sur les navigateurs mobiles ;
• Android : prise en charge prévue lors d’une phase ultérieure ;
• ordinateurs portables et de bureau : connexion depuis un navigateur desktop également reportée à une phase ultérieure.

Un utilisateur d’iPhone peut donc utiliser sa passkey lors d’une connexion compatible depuis un navigateur mobile. Il ne faut toutefois pas supposer que toutes les démarches Singpass, tous les sites partenaires ou tous les appareils afficheront immédiatement cette option.

Comment créer une passkey Singpass ?

Pour la première phase sur iPhone, l’enregistrement s’effectue dans l’application mobile Singpass :

1. mettez à jour l’application Singpass avec sa dernière version ;
2. ouvrez-la et sélectionnez la bannière consacrée aux passkeys sur l’écran d’accueil ;
3. suivez les instructions affichées pour créer la clé d’accès.

Une fois la passkey enregistrée, la connexion est validée localement avec Face ID, Touch ID, une empreinte digitale ou, selon l’appareil et les réglages disponibles, le code à six chiffres de l’application Singpass. L’utilisateur n’a pas à saisir son mot de passe Singpass sur le site participant.

À quoi sert la vérification Bluetooth ?

La connexion depuis un autre appareil présente un risque particulier : un escroc pourrait tenter de convaincre une victime d’approuver, sur son téléphone, une connexion ouverte sur l’ordinateur ou le mobile contrôlé par l’escroc.

Dans ce scénario, Singpass peut déclencher une vérification Bluetooth à courte portée afin de confirmer que le téléphone enregistré, qui détient la passkey, se trouve physiquement à proximité de l’appareil demandant la connexion.

Cette vérification de proximité ne remplace pas la vérification cryptographique de la paire de clés. Elle ajoute un indice matériel : le téléphone authentificateur est bien près de l’appareil utilisé pour se connecter. Cela complique les scénarios entièrement à distance, par exemple lorsqu’un escroc envoie un QR code et guide sa victime au téléphone pendant qu’il opère depuis un autre lieu.

Pourquoi les anciennes méthodes restent disponibles

Les passkeys sont, pour l’instant, une méthode supplémentaire et non un remplacement universel. Les options existantes restent nécessaires pour les personnes qui ne disposent pas d’un iPhone compatible, celles qui ne se sont pas encore inscrites, ainsi que pour les services et appareils qui ne sont pas encore couverts par le déploiement progressif.

Ces méthodes assurent également une meilleure couverture et peuvent répondre à certains besoins d’accessibilité. Leur sécurité dépend toutefois davantage du comportement de l’utilisateur : une personne peut être manipulée pour révéler un mot de passe ou un code à usage unique, scanner un QR code frauduleux ou approuver une demande inattendue.

La police de Singapour rappelle qu’il ne faut jamais communiquer son mot de passe Singpass ni ses informations d’authentification à deux facteurs à des inconnus.

Les passkeys réduisent la quantité d’informations d’authentification qu’un escroc peut voler par phishing ; elles ne font pas disparaître toutes les arnaques. Un fraudeur peut encore se faire passer pour une organisation, pousser une victime à divulguer des informations personnelles ou tenter d’exploiter une procédure de récupération de compte.

Le lien avec les standards FIDO

La conception des passkeys Singpass suit le modèle de cryptographie à clé publique, lié à l’origine du service, utilisé par FIDO et WebAuthn. FIDO2 — pour « Fast IDentity Online 2 » — est un standard ouvert d’authentification conçu pour remplacer les secrets réutilisables par des identifiants cryptographiques résistants au phishing.

L’utilisation de standards ouverts est importante : elle favorise l’interopérabilité avec l’écosystème plus large des passkeys, plutôt qu’un format propriétaire limité à un seul service. L’Alliance FIDO décrit une passkey comme un identifiant cryptographique associé à un compte sur un site ou dans une application, utilisable avec un téléphone, un ordinateur ou une clé de sécurité matérielle, selon la mise en œuvre retenue par chaque service.

Pour Singpass, le bénéfice concret tient au lien avec le domaine : l’authentificateur est censé répondre au véritable service, pas à un domaine de phishing qui lui ressemble visuellement.

Des chiffres qui expliquent ce changement

En 2025, Singapour a enregistré 37 308 cas d’arnaque et environ 913,1 millions de dollars singapouriens de pertes. Ces chiffres couvrent l’ensemble des arnaques, et pas uniquement le phishing.

Les statistiques annuelles officielles indiquent séparément 6 264 cas de phishing et 39,9 millions de dollars singapouriens perdus dans ce type d’arnaque en 2025. Ces données montrent que le phishing représente une part importante du problème, mais elles ne permettent pas d’affirmer que toutes les pertes liées aux arnaques provenaient de comptes Singpass ou d’identifiants Singpass volés.

La mesure est donc ciblée : les passkeys cherchent surtout à rendre beaucoup moins rentable l’étape de collecte des identifiants. Les utilisateurs doivent néanmoins continuer à vérifier les sites consultés, refuser les demandes de connexion inattendues et ne jamais communiquer leurs informations Singpass, d’autant que les anciennes méthodes restent encore proposées.