Description: Les possibilités réelles face à Windows Hello : sécurité renforcée en 2026, sessions réutilisables, API officielles et authentificateurs WebAuthn virtuels.
Un robot autonome, sauf pour appeler son opérateur PIN
Le navigateur clique sur Connexion, remplit le formulaire et avance sans aide. Puis Windows affiche « Saisissez votre code PIN ». Vous avez créé un robot qui travaille la nuit, et découvert votre nouveau métier : agent de permanence chargé du PIN.
Réponse : il n'existe pas de méthode classique et fiable permettant à un script de navigateur de valider sans humain un passkey déjà enregistré dans Windows Hello. Mais une session autorisée, une API officielle ou un identifiant virtuel enregistré séparément peuvent supprimer une bonne partie des interventions.[1][2][3]
Le PIN n'est pas le mot de passe du site
Windows Hello protège une clé privée sur l'appareil. PIN, visage ou empreinte vérifient l'utilisateur pour que la clé signe la demande d'authentification du site. Les chiffres ne sont pas envoyés comme un mot de passe ordinaire.[1][4] Remplir des champs HTML et commander la fenêtre de sécurité Windows sont donc deux choses différentes. Le robot peut ouvrir toutes les portes du site, sauf celle du gardien.
Les changements de janvier 2026
Microsoft documente des restrictions introduites par les mises à jour du 13 janvier 2026 et suivantes : les entrées automatisées ou distantes non fiables sont limitées dans les fenêtres d'identification Windows. Un clavier physique local et certaines applications privilégiées sont traités différemment des touches simulées ordinaires.[5]
Microsoft a également décrit un problème avec Power Automate Desktop. Son conseil d'essayer Chrome ou Firefox à la place d'Edge concerne ce problème particulier, et non une possibilité générale d'approuver silencieusement les PIN Windows Hello.[6]
Cinq pistes
Réutiliser la session : connectez-vous normalement une fois, puis gardez l'état permis par le site. Playwright peut enregistrer les cookies et d'autres données d'authentification. Expiration ou contrôle supplémentaire exigent encore une personne. Ne publiez pas ces fichiers sur GitHub.[2]
API officielle : lorsqu'un service dispose d'une authentification dédiée aux programmes, cette approche est souvent plus adaptée aux tâches sans surveillance. Le passkey exigé pour le site ne définit pas forcément les règles de son API.
WebAuthn virtuel : Chrome DevTools et Playwright peuvent simuler l'inscription et l'usage de passkeys, notamment pour les tests. Ils ne récupèrent pas la clé privée existante de Windows Hello. Il faut vérifier si un service réel accepte une seconde clé et cet usage.[7][3]
Visage ou empreinte : moins de saisie, mais la présence humaine reste nécessaire.[4]
Frappe simulée : AutoHotkey, PowerShell ou un clavier USB émulé peuvent rencontrer les protections Windows. Stocker le PIN en clair ajoute un risque.[5]
Dans quel ordre agir ?
Pour une tâche répétitive, étudiez la session persistante. Pour un fonctionnement continu, cherchez d'abord une API officielle. Pour tester votre propre site, choisissez WebAuthn virtuel. Si un tiers exige une validation humaine à chaque fois, prévoyez une pause et une alerte. Testez après redémarrage, expiration de session et avant les actions sensibles.
Conclusion
L'objectif n'est pas d'apprendre quatre chiffres au robot, mais de choisir un accès prévu pour lui. Sinon votre système autonome conserve un employé indispensable : le gardien humain du PIN de nuit.
Références (7)
- Microsoft Learn: Support for Passkeys in Windows learn.microsoft.com
- Playwright: Authentication and session state playwright.dev
- Playwright: Virtual WebAuthn credentials playwright.dev
- Microsoft Learn: Passkey verification on Windows learn.microsoft.com
- Microsoft Support: Credential autofill restrictions, Windows January 2026 update support.microsoft.com
- Microsoft Learn: Power Automate desktop Windows credential dialog issues learn.microsoft.com
- Chrome for Developers: Emulate WebAuthn authenticators developer.chrome.com
