Cette API permet aux développeurs de sites web d’identifier sans mot de passe

La technologie d’authentification WebAuthn devient un standard du web. Elle a reçu le feu vert du World Wide Web Consortium (W3C) le 10 avril dernier. Cette API s’intègre dans les navigateurs pour identifier un utilisateur sur le web, grâce à la reconnaissance faciale, vocale, ou avec un capteur d’empreinte.

Les mots de passe vont-ils disparaître du web ? C’est l’ambition de WebAuthn. Cette API permet de s’identifier sans identifiant, ni mot de passe. L’internaute se sert de la reconnaissance faciale ou du capteur d’empreinte de son smartphone. Mardi dernier, ce système est devenu une méthode d’authentification sécurisée en ligne.

Tout le monde sauf Apple

Le World Wide Web Consortium (W3C) et l’Alliance FIDO (Fast IDentity Online) lui ont donné le statut de « Candidate Recommandation », rapporte Clubic. De quoi changer l’API en un futur standard du web ! L’Alliance FIDO poursuit ainsi son objectif de « révolutionner le monde de l’authentification grâce à des normes plus simples et plus sécurisées ».

Google, Microsoft et Mozilla se sont engagés à intégrer l’API dans leurs navigateurs. Les environnements Windows, Mac, Linux, Chrome OS et Android l’utilisent déjà. En revanche, Apple semble faire cavalier seul. En dépit de son savoir-faire dans l’authentification par reconnaissance faciale, la firme de Cuppertino ne s’est pas encore engagée dans le processus.

Clés publiques et privées

Côté technique, l’API WebAuthn choisit d’abord « un système authentificateur », explique 01net. Système de reconnaissance faciale ou vocale, lecteur d’empreinte du smartphone, clé USB ou montre connectée… L’utilisateur dispose d’un large choix. La technologie FIDO2 génère ensuite une clé publique pour le site web et une clé privée pour l’internaute.

La clé privée fonctionnera comme une signature reconnue par le site. Pour usurper l’identité de l’utilisateur, un pirate devra disposer de la clé privée et du système authentificateur. Les développeurs intéressés peuvent déjà consulter la documentation de WebAuthn. A titre d’exemple, l’API a déjà été intégrée dans la version Nightly de Firefox 60.