OpenAI impose les passkeys matériels : la fin des mots de passe pour ChatGPT

Le 9 juillet 2026, Yubico annonce un partenariat avec OpenAI qui change la donne pour l'authentification : à partir du 1er septembre 2026, tous les membres individuels du programme Trusted Access for Cyber (TAC) d'OpenAI devront activer une passkey matérielle pour continuer à accéder aux modèles cyber les plus avancés de l'entreprise. Le mot de passe seul, et même la double authentification logicielle classique, ne suffiront plus.

Ce mandat dépasse largement le cadre de ChatGPT. Il pose une question que toute entreprise qui gère des comptes sensibles devrait se poser : pourquoi continuer à protéger un accès critique avec un mot de passe et un simple code à six chiffres, alors qu'une clé matérielle rend le phishing quasiment inopérant ?

Trusted Access for Cyber, et pourquoi ce mandat

Trusted Access for Cyber est le programme par lequel OpenAI donne à des chercheurs en sécurité et à des équipes de défense un accès à ses modèles frontières spécialisés dans les capacités offensives et défensives. Des outils taillés pour identifier des vulnérabilités, analyser des malwares ou tester la résistance d'un système, entre de bonnes mains. Le risque qu'OpenAI cherche à limiter est simple à formuler : si un compte TAC tombe entre de mauvaises mains via un phishing réussi, c'est un accès à des capacités cyber avancées qui se retrouve potentiellement revendu ou exploité à des fins malveillantes.

Ce qui change concrètement à partir du 1er septembre 2026

Le mandat est précis. Pour conserver l'accès aux modèles cyber frontières, chaque membre individuel de TAC doit activer l'Advanced Account Security d'OpenAI en s'appuyant sur une passkey liée à un dispositif matériel, comme une clé YubiKey. OpenAI va plus loin dans le même mouvement : l'entreprise resserre également ses restrictions d'accès pour certaines entités et juridictions jugées à risque. Une fois l'Advanced Account Security activée, les méthodes de repli plus faibles sont désactivées : c'est la clé matérielle, ou rien.

Pourquoi une passkey matérielle, et pas une passkey logicielle classique

Il faut distinguer deux familles de passkeys. La passkey logicielle, stockée dans le trousseau iCloud, Google Password Manager ou un gestionnaire de mots de passe, est déjà un progrès net par rapport au mot de passe classique : elle repose sur une paire de clés cryptographiques et résiste au phishing traditionnel. Mais elle peut être synchronisée entre appareils, ce qui veut dire qu'elle transite, à un moment, par un compte cloud. La passkey matérielle, elle, vit exclusivement dans une puce sécurisée d'une clé USB ou NFC. Elle ne peut ni être copiée, ni exportée, ni synchronisée : il faut physiquement présenter l'objet pour accéder au compte.

Yubico résume l'enjeu sans détour dans son billet : les contrôles logiciels et la MFA classique restent contournables ou interceptables, alors qu'un ancrage matériel constitue une racine de confiance qui ne peut pas être copiée ni synchronisée. En relevant ce seuil, OpenAI rend la compromission d'un compte TAC significativement plus coûteuse pour un attaquant, ce qui perturbe directement l'écosystème qui vit de la revente de comptes compromis.

L'offre Yubico associée au mandat OpenAI

Pour accompagner la transition, Yubico propose aux détenteurs de compte existants un pack de deux clés à tarif préférentiel, pensé pour deux usages complémentaires :

• YubiKey C NFC (édition OpenAI) : pensée pour la mobilité, elle s'utilise en approchant simplement un smartphone ou une tablette compatible NFC.
• YubiKey C Nano (édition OpenAI) : conçue pour rester branchée en permanence sur le port USB-C d'un ordinateur portable, pour une protection continue sans y penser.

L'inscription se fait directement depuis chatgpt.com/advanced-account-security. Une fois la clé enregistrée, la connexion devient entièrement sans mot de passe : un tap ou une pression sur le bouton de la clé suffit.

Passkeys FIDO2 : comment l'appliquer à vos propres sites

L'intérêt de ce mandat dépasse largement ChatGPT. La technologie sous-jacente, FIDO2/WebAuthn, est un standard ouvert porté par la FIDO Alliance et le W3C. N'importe quel site web peut l'implémenter, y compris une PME française, sans dépendre d'un fournisseur en particulier.

Concrètement, pour une équipe de développement :

• Côté navigateur, l'authentification passe par l'API native navigator.credentials, disponible dans tous les navigateurs modernes sans dépendance externe.
• Côté serveur, des bibliothèques open source évitent de réimplémenter le protocole cryptographique à la main : SimpleWebAuthn en Node.js/TypeScript, webauthn4j en Java, ou les modules équivalents en Python et PHP.
• Le principe reste celui qu'applique OpenAI : une passkey, logicielle ou matérielle, remplace le mot de passe, et une clé matérielle FIDO2 peut être imposée en facteur obligatoire sur les comptes à privilèges élevés (administration, production, accès aux données sensibles).

Pour une PME ou une agence, le cas d'usage le plus rentable n'est pas de basculer tout le monde vers le FIDO2 matériel du jour au lendemain, mais de cibler les comptes à fort impact : accès à l'hébergement, au CMS, aux dépôts de code, aux outils de facturation. Ce sont exactement les comptes qu'un attaquant cible en priorité, parce qu'ils ouvrent la porte à tout le reste.

Notre lecture chez CZSyn

Ce que fait OpenAI ici n'est pas un simple ajustement de sécurité, c'est un signal. Quand les enjeux deviennent critiques, même un acteur qui vit de l'accessibilité de son produit accepte d'imposer une friction matérielle à ses utilisateurs les plus sensibles. Pour nous qui accompagnons des PME et des e-commerçants en région PACA, la leçon est directement transposable.

Vous n'avez pas besoin d'attendre un mandat externe pour appliquer le même raisonnement à votre back-office, votre CMS ou votre panel d'administration : identifiez les comptes dont la compromission ferait le plus de dégâts, et réservez-leur l'authentification la plus robuste disponible, à savoir une passkey matérielle FIDO2. Le coût d'entrée est faible (une clé USB par personne concernée), le gain en résistance au phishing est immédiat, et contrairement à un mot de passe, il n'y a rien à retenir ni rien à faire fuiter dans une base de données compromise.

Sources primaires

• Yubico Blog, Jerrod Chong, « OpenAI mandates hardware-backed passkeys for Trusted Access Cyber members to log into ChatGPT accounts », 9 juillet 2026.
• OpenAI, Advanced Account Security, page officielle d'inscription.
• FIDO Alliance, présentation officielle du standard FIDO2.