Est-ce plus sûr de déverrouiller son téléphone avec son visage / empreinte ou avec un code ?
Réponse rapide
La biométrie (Face ID, Touch ID, empreinte et reconnaissance faciale Android) est une couche pratique PAR-DESSUS un bon code de verrouillage — pas un remplacement ; le code est la clé maîtresse vers laquelle le téléphone revient toujours, donc le rendre long et unique est ce qui protège vraiment votre appareil, tandis que la biométrie accélère le déverrouillage du quotidien.
Ce que ce n'est PAS
La biométrie n'est PAS « inviolable » (Face ID a été contourné en recherche, des empreintes ont été soulevées, les jumeaux passent parfois) et ne remplace PAS un code (le téléphone vous demande toujours le code en retour après plusieurs échecs biométriques, un redémarrage, ou 48 heures d'inactivité). Côté droit, la biométrie n'est PAS toujours traitée comme un code — dans certaines juridictions, la police peut contraindre un visage inconscient ou une empreinte, mais pas un code mémorisé.
Pour aller plus loin
La biométrie dans l’usage grand public désigne trois choses : la lecture d’empreinte (Touch ID, empreinte Android), la reconnaissance faciale (Face ID, Pixel Face Unlock, Samsung Face), et plus marginalement la lecture d’iris sur quelques appareils. Toutes trois sont des formes d’authentification de confort — un remplacement rapide et vérifié localement du code que vous taperiez sinon des dizaines de fois par jour.
Le bon modèle mental est biométrie par-dessus un code solide, pas à sa place. Voici pourquoi :
- Le vrai secret maître de votre téléphone est le code. Quand vous configurez Face ID ou une empreinte, le téléphone stocke un gabarit mathématique de votre biométrie dans une puce inviolable (Secure Enclave chez Apple, Trusted Execution Environment chez Android). Cette puce refuse de libérer les clés de chiffrement tant que la biométrie ne correspond pas.
- Le téléphone permet toujours le code en repli. Après plusieurs échecs biométriques, après un redémarrage, après 48 heures sans déverrouillage, après une action explicite forçant le code — le téléphone repasse au code. Le code est la clé maîtresse, la biométrie est le raccourci.
- Cela signifie : un code solide est ce qui protège votre appareil ; la biométrie vous permet d’avoir un code solide sans le taper 50 fois par jour. Choisissez un code long (8+ chiffres, alphanumérique si possible) et activez la biométrie.
Ce contre quoi la biométrie protège bien :
- Le shoulder-surfing de votre code. Quelqu’un qui voit votre PIN à 4 chiffres au café peut le rejouer plus tard ; personne ne peut rejouer votre visage.
- « J’ai laissé mon téléphone déverrouillé sur la table » — les délais de verrouillage Face ID et empreinte re-verrouillent vite.
- L’espionnage occasionnel par la famille, les collègues, les camarades. Ils connaissent votre numéro — mais pas votre empreinte.
Ce contre quoi la biométrie ne protège pas :
- Un attaquant déterminé qui a votre code. Le code bat la biométrie à chaque fois.
- Un téléphone que vous avez tendu déverrouillé — une fois déverrouillé, la biométrie n’est plus redemandée jusqu’au verrouillage suivant.
- La contrainte légale dans certaines juridictions (voir la FAQ ci-dessus). Vous pouvez désactiver la biométrie à la volée : iOS en maintenant bouton latéral + volume pendant 2 s, Android via l’option « lockdown » du menu d’alimentation.
- Le phishing de vos comptes. La biométrie du téléphone protège l’appareil, pas le site auquel vous vous connectez. Pour les comptes, la double authentification — de préférence par passkeys, qui utilisent la même puce biométrique pour se connecter aux sites — est la couche équivalente.
Un combo pratique pour la plupart des gens en 2026 :
- Code long (8+ chiffres ou phrase alphanumérique). Tapé la première fois de la journée ; la biométrie s’occupe du reste.
- Biométrie activée (Face ID + Touch ID quand disponible, visage / empreinte ailleurs).
- Passkeys plutôt que mots de passe pour autant de comptes que possible — la même puce qui déverrouille le téléphone se connecte désormais aux sites de la même façon, et les pages de phishing ne peuvent pas la tromper.
- Connaître le geste désactivant la biométrie pour les situations (passages frontaliers, manifestations, contrôles routiers dans certains pays) où l’on veut code-seul.
La biométrie n’est pas une solution de sécurité magique, et Apple comme Google ne l’ont jamais présentée ainsi. C’est un confort qui rend la bonne chose — un code long et unique — vivable au quotidien.
On nous pose aussi
Face ID ou empreinte sont-ils plus sûrs qu'un code à 6 chiffres ? +
Modèles de menace différents. Un code à 6 chiffres est techniquement plus difficile à forcer depuis l'extérieur (Apple et Google ralentissent dramatiquement le compteur d'essais du secure enclave après quelques erreurs). Ce que la biométrie apporte, c'est une *commodité qui vous permet de choisir un code plus long sans souffrance*. Le meilleur réglage est biométrie activée + code long (8+ chiffres, ou alphanumérique) — vous ne tapez le long qu'une poignée de fois par jour, mais c'est lui qui vous protège vraiment.
Mon jumeau identique ou mon enfant peuvent-ils déverrouiller mon téléphone avec Face ID ? +
Apple a documenté un taux de faux acceptés plus élevé pour les jumeaux identiques et les enfants de moins de 13 ans (où les traits évoluent encore) ; il est recommandé aux jumeaux et aux parents d'enfants très ressemblants de préférer un code. En pratique c'est rare mais réel. Les lecteurs d'empreintes ont des cas limites similaires — brûlures, doigts mouillés, peau très sèche échouent ; des empreintes relevées ont déjà déverrouillé des téléphones en démonstration de recherche.
La police peut-elle me forcer à déverrouiller mon téléphone avec mon visage ou mon empreinte ? +
La réponse dépend du pays et la jurisprudence évolue. Aux États-Unis, plusieurs cours fédérales ont jugé que la police peut contraindre une empreinte ou un scan facial (considérés comme preuve physique) mais pas un code mémorisé (considéré comme un témoignage, protégé par le 5e amendement). En France, la loi permet aux autorités judiciaires de demander les clés de chiffrement, et le refus de fournir un code est un délit distinct (article 434-15-2 du Code pénal) — la même logique tend à s'étendre à la biométrie. Si le sujet vous concerne, vous pouvez désactiver temporairement la biométrie (iOS : maintenir bouton latéral + volume ; Android : appuyer sur power puis « lockdown ») pour que seul le code déverrouille.
Est-il sûr d'utiliser Face ID pour mon appli bancaire ? +
Oui — et c'est en général plus sûr que de taper le mot de passe en public. Le téléphone prouve la correspondance biométrique localement et libère un jeton de confiance pour la banque ; vos données faciales ne quittent jamais la puce sécurisée. Le vrai risque sur une appli bancaire n'est pas que la biométrie soit truquée, mais que vous soyez manipulé par [phishing](/fr/library/everyday/phishing/) ou par [appels frauduleux](/fr/library/everyday/scam-calls/) pour virer l'argent vous-même.
Et la reconnaissance faciale par caméras dans l'espace public, c'est pareil ? +
Non, complètement différent. Le déverrouillage biométrique d'un téléphone est consenti, local, et la donnée biométrique ne quitte jamais la puce sécurisée. La reconnaissance faciale en espace public (vidéosurveillance, police, surveillance commerciale) est l'inverse : non consentie, centralisée, conservée indéfiniment. On en parle ensemble parce qu'elles partagent le mot « biométrique », mais les questions de vie privée ne sont pas les mêmes.
Aussi expliqué
C'est quoi la double authentification (2FA), et quelle version utiliser ?
La double authentification ajoute une seconde étape après votre mot de passe — un code venant d'une appli, une notification sur votre téléphone, ou une passkey — pour qu'un mot de passe volé ne suffise plus à se connecter ; en 2026 la meilleure option pour la plupart des gens est la passkey, puis une appli d'authentification, et le SMS uniquement en dernier recours.
Qu'est-ce qu'un gestionnaire de mots de passe, et est-ce sûr d'en utiliser un ?
Un gestionnaire de mots de passe est une application qui génère un mot de passe unique et solide pour chaque compte et les retient pour vous derrière un seul mot de passe maître — oui, c'est nettement plus sûr que de réutiliser le même mot de passe, même si tout est au même endroit.
C'est quoi le phishing, et comment le reconnaître ?
Le phishing (ou hameçonnage), c'est quand quelqu'un vous envoie un message truqué — généralement par e-mail, SMS ou messagerie — qui ressemble à un message de votre banque, de votre patron, d'un livreur ou d'un proche, dans l'espoir que vous cliquiez sur un lien, tapiez un mot de passe ou viriez de l'argent avant de remarquer les petits détails qui trahissent.