Sur l’écran, tout semble banal : une adresse e-mail, un champ vide, une consigne familière. Puis vient le moment du mot de passe. Celui qu’il faut retrouver, réinitialiser, recopier depuis un gestionnaire, ou créer à la hâte en ajoutant un point d’exclamation à une vieille formule. C’est précisément dans cette micro-friction, répétée des milliers de fois dans la vie numérique, que des entreprises comme Transmit Security ont trouvé leur terrain de jeu.
La société israélienne s’est fait connaître dans l’univers de la gestion des identités en promettant aux grandes organisations une chose en apparence simple : permettre à leurs clients de s’identifier sans dépendre du mot de passe. Son statut de licorne a attiré l’attention, mais son intérêt dépasse le récit classique de la start-up très valorisée. Transmit Security incarne surtout une transformation plus vaste : l’identité numérique devient une infrastructure, aussi stratégique qu’un système de paiement ou qu’une chaîne logistique.
Le mot de passe est un mauvais souvenir qui ne veut pas mourir
Le mot de passe possède une qualité que l’on sous-estime : il est universellement compris. Il ne demande ni matériel particulier, ni apprentissage complexe, ni architecture technique très sophistiquée. Il suffit de connaître un secret et de le saisir au bon endroit. C’est aussi sa faiblesse fondamentale.
Un secret peut être deviné, réutilisé, volé, intercepté par hameçonnage ou perdu. Il peut surtout circuler d’un service à l’autre, à mesure que les internautes recyclent les mêmes combinaisons pour survivre à l’empilement des comptes. Pour une entreprise, le mot de passe n’est donc pas seulement un outil de connexion : c’est une dette opérationnelle. Il faut gérer les réinitialisations, détecter les tentatives suspectes, accompagner les clients bloqués et expliquer sans cesse les règles de sécurité.
Le paradoxe est connu : plus un système exige des mots de passe complexes, plus il risque d’encourager des comportements de contournement. Notes cachées, variantes prévisibles, partages entre collègues, mots de passe enregistrés sur des appareils communs : la sécurité prescrite ne produit pas toujours la sécurité réelle.
Les acteurs de l’identité, dont Transmit Security, cherchent donc moins à inventer un mot de passe plus robuste qu’à déplacer le problème. L’objectif est de ne plus demander à l’utilisateur de mémoriser un secret, mais de vérifier qu’il contrôle bien un appareil, une adresse, une session ou une preuve cryptographique.
Quand se connecter devient un parcours à orchestrer
Le cœur du sujet ne se résume pas à un bouton « connexion sans mot de passe ». Dans une grande banque, une enseigne de commerce ou un service de santé, l’accès d’un client est le résultat d’une succession de décisions. Faut-il demander un code reçu par SMS ? Autoriser une connexion depuis un nouvel appareil ? Ajouter une vérification renforcée avant une opération sensible ? Proposer une récupération de compte si le téléphone a été perdu ?
C’est là qu’intervient le CIAM, pour Customer Identity and Access Management, autrement dit la gestion des identités et des accès des clients. Contrairement aux outils destinés aux salariés, le CIAM doit concilier sécurité, volume et qualité de l’expérience. Un employé peut recevoir une formation ou appeler son service informatique ; un client qui ne parvient pas à payer ou à accéder à son espace personnel risque, lui, de partir sans demander son reste.
Transmit Security s’inscrit dans cette catégorie de plateformes qui proposent d’assembler plusieurs méthodes d’authentification : lien reçu par e-mail, code à usage unique, authentification biométrique locale, connexion via un fournisseur tiers, analyse du contexte de la session ou validation sur un appareil déjà reconnu, un exemple de bureau transparent. Le mot important est orchestration. Il ne s’agit pas seulement de choisir une technologie ; il faut décider quand et pour qui l’utiliser.
Cette logique transforme l’authentification en scénario. Une connexion habituelle depuis un appareil connu peut rester fluide. Une demande inhabituelle, une modification d’informations sensibles ou une transaction à risque peuvent déclencher une étape supplémentaire. L’identité n’est plus un guichet unique : elle devient un système d’arbitrage.
La promesse des passkeys, ou l’art de ne plus transmettre de secret
Dans ce paysage, les passkeys constituent l’une des évolutions les plus intéressantes. Leur principe repose sur la cryptographie à clé publique. Au lieu d’envoyer un mot de passe au service, l’appareil de l’utilisateur détient une clé privée et le site conserve une clé publique associée. Lors de la connexion, l’appareil prouve qu’il possède la bonne clé sans révéler de secret réutilisable.
Pour l’utilisateur, l’expérience peut prendre la forme d’une validation par empreinte digitale, reconnaissance faciale ou code de déverrouillage de l’appareil. Il faut ici dissiper une confusion fréquente : le site n’obtient pas nécessairement les données biométriques de la personne. La biométrie sert généralement à déverrouiller localement la clé conservée sur le téléphone ou l’ordinateur.
Ce mécanisme est particulièrement prometteur contre le phishing. Un faux site peut imiter une page de connexion, mais il ne peut pas aisément utiliser une preuve cryptographique prévue pour le véritable domaine. La résistance au hameçonnage ne dépend donc plus seulement de la vigilance parfois héroïque de l’internaute : elle est inscrite dans le protocole.
Transmit Security n’est pas seul sur ce terrain. Les grandes plateformes technologiques, les éditeurs de gestion d’accès et les acteurs spécialisés de la cybersécurité poussent tous, à leur manière, vers des modèles sans mot de passe. Ce qui distingue une plateforme destinée aux entreprises est sa capacité à intégrer ce changement dans des systèmes existants, souvent anciens, et dans des parcours clients qui ne peuvent pas être interrompus du jour au lendemain.
Le « sans mot de passe » n’est pas le « sans problème »
La formule est séduisante, mais elle mérite d’être maniée avec prudence. Faire disparaître le mot de passe ne fait pas disparaître la question de l’accès. Elle la déplace vers d’autres sujets : possession d’un appareil, récupération de compte, synchronisation entre terminaux, accompagnement des personnes peu à l’aise avec le numérique et gestion des usages partagés.
Perdre son téléphone est plus qu’un incident matériel lorsque celui-ci devient une clé d’identité. Changer d’écosystème informatique peut compliquer la récupération d’identifiants. Un ordinateur familial, un téléphone professionnel ou un terminal en libre-service imposent aussi des précautions spécifiques. Enfin, certains secteurs doivent conserver plusieurs modes d’accès pour répondre à des contraintes réglementaires, d’accessibilité ou de continuité de service.
La bonne stratégie n’est donc pas d’imposer brutalement une méthode unique. Elle consiste à proposer un chemin principal plus sûr et plus simple, tout en prévoyant des voies de secours rigoureusement contrôlées. Une récupération de compte trop facile devient une faille ; une récupération impossible devient une catastrophe d’expérience client.
Ce qu’une entreprise devrait demander avant d’adopter une telle plateforme
Le cas Transmit Security rappelle une règle utile : dans l’identité numérique, le produit visible n’est que la partie émergée du système. Avant d’adopter une solution d’authentification par reconnaissance du visage, une organisation gagne à examiner quelques questions très concrètes.
- Quels parcours doivent être protégés ? Se connecter à un espace client, modifier une adresse, demander un remboursement ou consulter des données sensibles n’appellent pas forcément le même niveau de vérification.
- Quelle est la solution de repli ? La perte d’un appareil, le changement de numéro ou l’absence de connexion réseau doivent être anticipés avant le déploiement.
- Peut-on éviter la dépendance excessive à un fournisseur ? Les standards ouverts et l’interopérabilité comptent particulièrement pour une brique aussi critique que l’identité.
- Les équipes savent-elles lire les signaux de fraude ? Une plateforme ne remplace ni la gouvernance ni la capacité à enquêter lorsqu’un comportement paraît suspect.
- L’expérience est-elle réellement plus simple ? Une authentification renforcée peut être excellente sur le papier et décourageante si elle multiplie les interruptions inutiles.
La vraie bataille se joue dans la confiance
Le mot de passe a longtemps fait porter l’essentiel de la responsabilité sur l’utilisateur : à lui d’inventer, retenir et protéger son secret. Le mouvement représenté par Transmit Security inverse partiellement cette logique. Il demande aux entreprises de concevoir des parcours où la sécurité est moins une corvée déclarée qu’une propriété de l’environnement technique.
La meilleure authentification n’est pas celle qui exige le plus d’efforts ; c’est celle qui rend les mauvais gestes difficiles et les bons gestes presque naturels.
La disparition complète des mots de passe prendra du temps, et elle ne sera sans doute ni totale ni linéaire. Mais l’idée importante est déjà là : l’identité ne doit plus être réduite à une phrase secrète tapée dans un formulaire. Elle devient un faisceau de preuves, de contextes et de choix d’interface. Pour les entreprises comme pour les utilisateurs, le progrès ne consistera pas seulement à se connecter plus vite. Il consistera à avoir moins souvent besoin de se demander si la porte numérique est vraiment la bonne.
