Politique de confidentialité

Passkey-only : finalité, conservation et retour au mot de passe

Complément préparé à la politique opérationnelle, 8 octobre 2026. Ce texte décrit le contrat prévu pour le déploiement approuvé ; il ne confirme pas la disponibilité des fonctions restantes et ne constitue pas une approbation juridique, de mise en production ou d'activation.

Avec Passkey-only, les vérificateurs de mot de passe natifs et importés existants sont bloqués et conservés uniquement pour un éventuel retour au mot de passe. Ils restent dans leur stockage d'origine ; aucune archive supplémentaire n'est créée. Cette conservation ne constitue pas une autre méthode de récupération ni un contournement par mot de passe seul.

L'activation initiale enregistrée ouvre une période de 30 jours, exactement 720 heures. Un processus automatique limité supprime les anciens vérificateurs du stockage actif à partir de l'échéance uniquement si la même activation reste active. Enregistrer ou réessayer une politique active ne prolonge pas cette période. Sans preuve du début d'une ancienne activation, son âge reste inconnu ; la date du déploiement ne crée pas une échéance fictive.

Désactiver Passkey-only avant la suppression rend les vérificateurs d'origine encore présents utilisables selon les contrôles normaux du compte et de l'authentification. Une nouvelle activation réelle ouvre une nouvelle période. La désactivation ne restaure jamais les données de mot de passe supprimées ni les sessions et jetons révoqués. La suppression met fin au retour à l'ancien mot de passe ; les passkeys et la récupération configurée restent disponibles.

Avec un passkey actuellement utilisable et une récupération configurée, la personne concernée peut demander à tout moment la suppression de son ancien mot de passe dans le cadre de cette conservation. Après la désactivation de la politique, il faut prouver que les preuves inchangées existaient avant l’activation initiale ; les nouveaux mots de passe créés après la désactivation et les historiques non prouvés sont refusés. Un administrateur autorisé du tenant peut supprimer volontairement les preuves conservées plus tôt lorsque passkey-only est actif, avec une trace d’audit. L’effet irréversible sur le retour à la connexion par mot de passe est expliqué à l’avance et nécessite une confirmation explicite. Ce processus ne supprime pas silencieusement le seul facteur de connexion actuel hors de ce cadre.

Les nouveaux comptes créés par un parcours Passkey-only ne reçoivent aucun mot de passe. Les nouveaux tenants commencent toujours avec Passkey-only désactivé ; son activation reste une décision explicite après vérification de la préparation des comptes.

Des enregistrements de suppression distincts et à accès restreint contiennent les identifiants du compte et du tenant, des identifiants de comparaison des preuves supprimées et les métadonnées initiales d’activation et de suppression, mais aucune preuve de mot de passe réutilisable. Ils empêchent de réaccepter des éléments supprimés, même après la suppression du compte. Il s’agit de données personnelles de sécurité, pas de données anonymes. La mise en œuvre technique préparée ne prévoit ni expiration automatique ni processus de suppression de ces enregistrements. Le délai de 720 heures des anciennes preuves de mot de passe ne promet pas leur suppression simultanée ; leur finalité et leur conservation doivent être évaluées séparément avant la mise en production.

Supprimer les lignes actives ne supprime pas immédiatement les copies des sauvegardes chiffrées existantes ; celles-ci suivent la politique réelle de conservation des sauvegardes. Une restauration reste isolée de l'authentification et des écritures jusqu'au rapprochement des registres de suppression, de l'activation et des révocations. Le processus de nettoyage seul ne sécurise pas une ancienne sauvegarde complète qui élimine l'historique des suppressions. Elle ne doit pas réactiver silencieusement les vérificateurs, sessions ou jetons de renouvellement supprimés ou révoqués.

Les règles prévues terminent toutes les autres sessions et tous les autres jetons de renouvellement de l'utilisateur après la configuration de récupération, ainsi que toutes les sessions et tous les jetons non passkey du tenant lors de l'activation. La désactivation ne les rétablit pas. Seul Tuurio effectue un retour de version : valider la désactivation, arrêter les écritures concernées, terminer les sessions ciblées, puis rétablir l'image applicative précédente enregistrée. Une restauration de sauvegarde et un retour d'image applicative sont différents.