Pourquoi la perte de mon téléphone signifie-t-elle devoir choisir entre le verrouillage du compte et le recours aux SMS ?

Les clés d'accès éliminent les mots de passe mais introduisent une fragilité que la spécification FIDO2 ne résout pas : la récupération de compte. Si vous perdez votre seul appareil enrôlé et que vous n'avez pas préconfiguré la synchronisation propre au fournisseur, vous êtes bloqué hors de votre compte ou contraint de revenir aux OTP par SMS, ce qui rouvre les attaques par substitution de SIM que les clés d'accès étaient censées éliminer. Apple, Google et Microsoft ont chacun construit des silos de synchronisation incompatibles, de sorte que passer d'iOS à Android implique de se réenrôler manuellement dans chaque service. La spécification WebAuthn définit comment créer et utiliser des identifiants, mais reporte explicitement la récupération à chaque plateforme. Il n'existe aucune primitive de récupération neutre vis-à-vis des fournisseurs et cryptographiquement solide qui préserve le modèle de menace initial.