PwdFortress

Testeur de passkeys

Ce navigateur peut-il créer un passkey ? Où atterrit-il, et vous suivra-t-il sur vos autres appareils ? Réponse en dix secondes, sans rien envoyer nulle part.

1. Ce que ce navigateur sait faire

Lu automatiquement via l'API WebAuthn, rien à cliquer.

...

2. Créer un passkey de test

Votre navigateur va demander une confirmation par empreinte, visage, code PIN ou clé de sécurité, comme sur n'importe quel site. Un passkey nommé « PwdFortress passkey test » est enregistré chez votre fournisseur. Rien ne nous est envoyé, et les étapes de suppression s'affichent avec le résultat.

Annuler l'invite ne pose aucun problème, rien n'est créé.

Comment fonctionne le test

Première étape : lire ce que le navigateur dit de lui-même via l'API WebAuthn. Les passkeys existent-ils ici, l'appareil a-t-il un authentificateur intégré (Windows Hello, Touch ID, Face ID, verrouillage Android), les suggestions de connexion peuvent-elles apparaître dans le champ identifiant, un téléphone peut-il servir par QR code.

Deuxième étape : créer un vrai passkey pour ce site, nommé « PwdFortress passkey test ». Le navigateur répond par un bloc de données d'authentificateur. L'outil y lit deux choses : l'AAGUID, un identifiant de 16 octets par lequel les fournisseurs de passkeys se présentent, et le drapeau « backup eligible », qui dit si ce passkey est synchronisé par son fournisseur ou lié à ce seul appareil. L'AAGUID est comparé à la liste communautaire tenue par les développeurs passkeys (lue le 18 octobre 2026).

Aucun serveur n'intervient. La clé publique rendue par le navigateur est jetée, le défi est aléatoire et jamais vérifié, et le passkey de test se supprime chez votre fournisseur juste après.

Ce qui quitte votre appareil : rien

La page n'émet aucune requête réseau pendant le test. Vos données biométriques ne quittent de toute façon jamais l'appareil : WebAuthn ne rend qu'une clé publique et des métadonnées. Vérifiable dans l'onglet Réseau des outils de développement.

Ce que l'outil ne peut pas dire

Le navigateur peut masquer le fournisseur : avec l'attestation « none », la plupart des clés de sécurité matérielles rendent un AAGUID nul, et l'outil le dit au lieu de deviner. Le résultat décrit le fournisseur qui a répondu cette fois ; si vous en avez plusieurs (extension de gestionnaire et magasin système), c'est votre choix dans le sélecteur qui compte. « Synchronisé » signifie que le fournisseur a le droit de synchroniser le passkey, pas qu'il l'a déjà fait partout.

Questions fréquentes

Créer un passkey de test est-il sans risque ?

Oui. Un passkey est une paire de clés créée pour un seul site, ici pwdfortress.com. Il ne sert nulle part ailleurs, aucun secret ne quitte votre appareil, et vous pouvez le supprimer chez votre fournisseur ensuite. Il a les mêmes propriétés de sécurité qu'un passkey pour n'importe quel autre site.

Pourquoi l'outil dit-il que mon passkey est lié à cet appareil ?

Les données d'authentificateur portent un drapeau « backup eligible ». À 0, le fournisseur a créé une clé mono-appareil : Windows Hello sans fournisseur de synchronisation, une clé de sécurité matérielle, ou un magasin de profil de navigateur. Perdre l'appareil, c'est perdre le passkey : il faut une seconde méthode ou un fournisseur qui synchronise.

Mon passkey est parti dans iCloud ou Google Password Manager. Est-ce un problème ?

Pas à l'intérieur de cet écosystème. Le trousseau iCloud se synchronise entre appareils Apple connectés au même compte iCloud ; Google Password Manager entre appareils Android et profils Chrome du même compte Google. La friction apparaît quand on mélange iPhone et PC Windows, ou Android et Mac. Un gestionnaire de mots de passe multiplateforme est la réponse habituelle.

Quels gestionnaires stockent des passkeys dans leur offre gratuite ?

Au 18 octobre 2026, Proton Pass indique les passkeys comme inclus dans toutes ses offres, Free comprise, sans limite d'appareils. NordPass prend en charge les passkeys sur toutes ses offres ; son offre gratuite ne garde qu'un appareil actif à la fois. Bitwarden stocke aussi les passkeys gratuitement mais n'est pas partenaire affilié de ce site.

Pourquoi l'AAGUID est-il affiché comme masqué ?

Les navigateurs remplacent l'AAGUID par des zéros pour les authentificateurs qui révéleraient un modèle matériel alors que le site n'a demandé aucune attestation. Les fournisseurs de passkeys (Apple, Google, Microsoft, gestionnaires) laissent le leur visible pour que les sites puissent afficher leur icône.