Si vous ne faites qu'une seule chose sur tout ce site, faites celle-ci. Toutes les autres mesures ici réduisent le risque à la marge ; celle-ci élimine une catégorie entière d'attaque, et c'est la catégorie qui arrive réellement aux personnes qui font ce travail. Cela coûte moins qu'une paire de chaussures et prend un après-midi.
01Pourquoi un code peut être volé et une clé ne peut pas l'être
Vous avez déjà vu cette attaque, même si elle n'a pas fonctionné sur vous. Un courriel ou un message indique qu'il y a un problème avec votre compte. Le lien mène à une page qui est une copie au pixel près de la vraie page de connexion. Vous saisissez votre mot de passe. Elle demande votre code d'authentification. Vous le saisissez aussi.
En coulisses, le serveur de l'attaquant se connecte au vrai site au même moment, relayant tout ce que vous tapez, en temps réel. Votre code était authentique. Il était valable pendant trente secondes. Vous l'avez simplement saisi dans la mauvaise fenêtre, et trente secondes suffisent largement.
Une application génère un nombre à partir d'un secret partagé et d'une horloge. Elle n'a aucune idée du site que vous consultez, donc elle ne peut pas distinguer une vraie page de connexion d'une copie. Le code n'est pas la faiblesse, l'œil humain l'est. Toute défense qui dépend de votre capacité à repérer un faux domaine finira par échouer, parce que les faux sont très bien faits et que vous serez fatigué.
Une clé de sécurité fonctionne différemment. Lorsque vous l'enregistrez auprès d'un site, elle stocke un secret lié au vrai domaine de ce site. À la connexion, le site envoie un défi ; la clé le signe, mais seulement après avoir vérifié que le domaine demandeur correspond au domaine avec lequel elle a été enregistrée. Un domaine qui ressemble demande, et la clé ne répond tout simplement pas. Il n'y a rien à relayer, rien à taper, et rien que vous puissiez faire de travers.
Google a équipé l'ensemble de son personnel — des dizaines de milliers de personnes — de clés de sécurité et a rapporté zéro prise de contrôle réussie par hameçonnage de comptes d'employés par la suite. C'est la preuve la plus solide en matière de sécurité grand public pour une mesure unique, et c'est pourquoi ce guide est en premier plutôt qu'en cinquième.
02Ce qui se trouve sur la clé
Une YubiKey 5 n'est pas une seule chose. C'est plusieurs dispositifs de sécurité indépendants dans le même morceau de plastique, et la plupart des gens en utilisent un sans jamais savoir que les autres sont là. Voici tout, en termes simples.
| Fonctionnalité | L'utiliser ? | À quoi ça sert |
|---|---|---|
| FIDO2 / WebAuthn | Oui, c'est celle-ci | Le standard moderne. Connexion à l'épreuve de l'hameçonnage, et base des passkeys. C'est ce que vous utiliserez sur Google, Microsoft, GitHub, Cloudflare, Proton et la plupart des choses qui comptent. |
| Passkeys (clés résidentes) | Oui | La même chose, mais la clé stocke aussi l'identité du compte, ce qui vous permet de vous connecter sans saisir du tout de nom d'utilisateur ni de mot de passe. Le stockage est limité — voir la note ci-dessous. |
| U2F | Automatique | La version plus ancienne de la même idée. Encore utilisée par certains sites ; la clé la gère sans que vous ayez à choisir. |
| OATH-TOTP | Selon la situation | Stocke vos codes ordinaires à six chiffres sur la clé au lieu d'une application téléphonique, lus via Yubico Authenticator. Utile pour les sites qui ne prennent pas en charge FIDO2. C'est toujours un code et il reste vulnérable au hameçonnage, il protège le secret, pas la connexion. |
| Défi-réponse (HMAC-SHA1) | Oui, avec KeePassXC | Fait en sorte que votre base de données de mots de passe nécessite la clé physique pour s'ouvrir. Traité dans le guide KeePassXC, c'est l'association qui rend les deux outils nettement plus robustes. |
| PIV / carte à puce | Avancé | Contient des certificats. Utilisé pour les clés SSH qui ne peuvent pas être copiées hors de l'appareil, et pour certains systèmes d'entreprise et gouvernementaux. |
| OpenPGP | Avancé | Conserve les clés GPG sur le matériel, ainsi la signature et le déchiffrement se font sur la clé et la clé privée ne touche jamais votre ordinateur. |
| Yubico OTP | Rarement | Un ancien système de mot de passe à usage unique antérieur à FIDO. Certains services plus anciens l'utilisent. Laissez-le tranquille sauf si quelque chose le demande. |
| Mot de passe statique | No | Tape une chaîne fixe lorsque vous touchez la clé. Une fonction de commodité d'une autre époque. Ne l'utilisez pour rien d'important. |
Les clés résidentes, celles qui vous permettent de vous connecter sans nom d'utilisateur, occupent des emplacements permanents sur l'appareil, et leur nombre est fixe. Un ancien firmware YubiKey 5 en contient environ 25 ; un firmware récent en contient bien plus. Les enregistrements ordinaires de second facteur FIDO2 ne sont pas limités de cette façon, vous pouvez donc ajouter une clé à des centaines de sites sans rien remplir. Si vous êtes à court, ce sera à cause des passkeys, pas de la 2FA.
03Lequel acheter
La décision concerne principalement le connecteur au bout et si vous voulez les fonctionnalités supplémentaires. Faites correspondre le connecteur à votre téléphone et à votre ordinateur, et s'ils diffèrent, achetez-en un de chaque plutôt que de transporter un adaptateur que vous perdrez.
| Modèle | Idéal pour | Notes |
|---|---|---|
| Série Security Key (les bleues) | La plupart des gens | FIDO2 et U2F uniquement, ce qui est la partie dont vous avez besoin. Environ la moitié du prix d'une YubiKey 5. Si vous n'allez pas utiliser PGP, PIV ou l'appairage KeePassXC, c'est la recommandation honnête. |
| YubiKey 5 NFC | Ordinateur USB-A + n'importe quel téléphone | La clé complète. Tapez-la contre un téléphone pour le NFC, branchez-la sur un ordinateur portable pour l'USB. Le choix par défaut si vous voulez tout ce qui figure dans le tableau ci-dessus. |
| YubiKey 5C NFC | Ordinateur USB-C + n'importe quel téléphone | Identique, avec une prise USB-C. Probablement le bon choix si votre ordinateur portable est récent. |
| YubiKey 5Ci | iPhone avec Lightning | Possède à la fois USB-C et Lightning. Pertinent uniquement pour les iPhones plus anciens ; les plus récents sont en USB-C et peuvent de toute façon utiliser le NFC. |
| YubiKey 5 Nano | Laisser dans l'ordinateur portable | Minuscule, reste en permanence dans le port. Pratique, mais supprime l'avantage de la séparation physique : si l'ordinateur portable est pris, la clé part avec. |
| Série Bio | Espaces partagés | Empreinte digitale au lieu d'un code PIN. Vraiment agréable ; plus cher ; réfléchissez attentivement si la biométrie est le bon mode de déverrouillage là où vous vivez, car dans de nombreuses juridictions, on peut vous contraindre à fournir une empreinte digitale plus facilement qu'un code PIN. |
Une seule clé est un point de défaillance unique : perdez-la et vous pouvez être définitivement exclu de vos propres comptes, ce qui est une catastrophe en soi. Enregistrez les deux clés sur chaque compte, emportez-en une et gardez la seconde dans un endroit physiquement séparé, un tiroir chez vous, un coffre, chez une personne de confiance. La seconde clé est le plan de secours, et elle coûte moins cher que la récupération.
Pas une annonce de place de marché, pas d'occasion, pas un cadeau de quelqu'un que vous ne connaissez pas bien. Une clé de sécurité est un appareil auquel vous confierez tout ; la chaîne d'approvisionnement fait partie du produit. Le firmware de Yubico n'est délibérément pas mettable à jour, ce qui est bon pour la résistance à l'altération et signifie qu'une clé compromise ne peut jamais être réparée, seulement remplacée.
04La configurer, dans le bon ordre
L'ordre compte. Commencez par le compte qui peut réinitialiser tous les autres, et assurez-vous de ne pas vous verrouiller vous-même en cours de route.
-
Commencez par votre e-mail
Tous les autres comptes que vous possédez passent par lui pour la récupération, ce qui en fait la véritable cible. Rendez-vous dans les paramètres de sécurité de votre fournisseur de messagerie et ajoutez les deux clés avant de toucher à quoi que ce soit d'autre. Si votre fournisseur de messagerie ne prend pas en charge les clés de sécurité, c'est une raison de changer de fournisseur, pas une raison de passer outre.
-
Enregistrez les deux clés en même temps
Faites-le en une seule fois, sur chaque compte. Le mode de défaillance que les gens rencontrent consiste à enregistrer une clé maintenant et à « ajouter la clé de secours plus tard » — plus tard n'arrive jamais, et ensuite la première clé passe à la machine à laver.
-
Conservez correctement les codes de récupération
Chaque site vous fournit un ensemble de codes de récupération à usage unique. Ceux-ci contournent complètement votre clé, ils méritent donc le même soin que la clé elle-même. Placez-les dans votre gestionnaire de mots de passe, ou imprimez-les et gardez-les dans un endroit physiquement sécurisé. Ne les photographiez pas, et ne les laissez pas dans un dossier de téléchargements.
-
Passez maintenant en revue les méthodes plus faibles
Si les codes SMS restent une solution de repli, une attaque par échange de SIM peut contourner la clé. Une fois que les deux clés fonctionnent, désactivez les SMS partout où le service le permet. Ne gardez un code d'authentification que là où vous en avez besoin comme voie de récupération, protégez sa graine et ses codes de récupération dans votre gestionnaire de mots de passe, et ne supprimez jamais une méthode avant d'avoir testé les autres moyens de vous reconnecter.
-
Descendez la liste
Après la messagerie : votre gestionnaire de mots de passe s'il prend en charge les clés, puis le stockage cloud, puis les comptes de réseaux sociaux depuis lesquels vous publiez, puis tout ce qui a un moyen de paiement associé, puis l'hébergement de code. Tout ce qui reste peut attendre une soirée tranquille.
-
Testez la clé de secours avant de la ranger
Déconnectez-vous et reconnectez-vous en utilisant spécifiquement la clé de secours. Une sauvegarde non testée est une supposition.
05Ce contre quoi il ne vous protège pas
Une clé de sécurité est le contrôle unique le plus fort à la disposition d'une personne ordinaire, et il reste limité. Elle déjoue l'hameçonnage. Elle ne déjoue pas ce qui suit.
- Pages d'hameçonnage, aussi convaincantes soient-elles, y compris les attaques par relais en temps réel.
- Le bourrage d'identifiants, votre mot de passe issu d'une fuite sur un autre site est désormais inutile à lui seul.
- La devinette et le pulvérisation de mots de passe.
- La plupart des attaques par échange de carte SIM, une fois le SMS supprimé comme solution de secours.
- Les logiciels malveillants déjà présents sur votre ordinateur. Si quelque chose surveille votre session après votre connexion, la clé a déjà fait son travail et a été contournée.
- Le vol de cookie de session. Un attaquant qui vole un jeton de session actif n'a pas besoin de se connecter du tout.
- La voie de récupération. Si le personnel de support peut être convaincu de réinitialiser votre compte, votre clé est sans importance. C'est désormais la façon la plus courante dont les comptes protégés par clé tombent.
- La saisie physique de vous et de la clé ensemble.
- Les comptes que vous avez oublié de protéger, vers lesquels les attaquants se tourneront ensuite.
Elle ferme complètement la porte d'entrée, et l'attaquant se tourne vers les fenêtres. C'est tout de même une amélioration énorme, la porte d'entrée étant là où passait presque tout le trafic, mais c'est une raison de continuer à lire le reste de ce site plutôt que de s'arrêter ici.
06Si vous ne voulez pas de YubiKey
YubiKey est la valeur par défaut parce qu'elle est la plus largement prise en charge et la plus rigoureusement auditée, pas parce qu'elle est la seule option. Nous ne recevons d'argent d'aucun de ces acteurs.
Nitrokey
Allemand, avec un firmware et des conceptions matérielles open source, le choix si « je veux pouvoir l'inspecter » compte plus pour vous que la compatibilité maximale. Couvert comme alternative dans la section sur les clés de sécurité du guide.
nitrokey.com ↗Token2
Suisse, peu coûteux, axé sur FIDO2. Un moyen raisonnable d'acheter deux clés avec un budget serré sans se tourner vers une marque inconnue.
token2.com ↗Votre téléphone comme passkey
Les téléphones modernes peuvent servir d'authentificateur FIDO2, ce qui vous offre la même résistance au phishing gratuitement. Plus faible d'une manière précise : le téléphone est l'appareil le plus susceptible d'être pris, déverrouillé ou compromis. Bon comme second facteur, pas comme unique facteur.
07Les questions que les gens posent vraiment
Que se passe-t-il si je perds la clé ?
Rien, si vous avez fait les choses correctement : vous utilisez la deuxième clé, puis vous retirez la clé perdue de chaque compte et en enregistrez une de remplacement. C'est précisément pourquoi le guide insiste pour en acheter deux. Si vous ne l'avez pas fait, vous vous rabattez sur vos codes de récupération, et si vous ne les avez pas non plus, vous dépendez du processus de récupération de compte du fournisseur, qui peut prendre des semaines et échoue parfois.
Quelqu'un qui vole ma clé peut-il accéder à mes comptes ?
Pas à lui seul. La clé est un second facteur, il faut aussi votre mot de passe, et pour la plupart des configurations, le code PIN de la clé, qui verrouille l'appareil après un petit nombre de tentatives erronées. Une clé volée est un désagrément pour vous, pas une compromission. Retirez-la quand même de vos comptes.
Dois-je la porter partout ?
Uniquement pour me connecter quelque part de nouveau. La plupart des sites permettent de marquer un appareil comme fiable, donc au quotidien vous toucherez rarement la clé — généralement lors de la configuration d'une nouvelle machine ou après avoir effacé vos cookies. Les modèles NFC fonctionnent en approchant la clé d'un téléphone, ce qui élimine la plupart des frictions que les gens imaginent.
Une passkey, est-ce la même chose ?
Une passkey, c'est la même cryptographie avec la même résistance au hameçonnage. La différence est l'endroit où elle réside. Une passkey dans votre téléphone ou dans un compte de navigateur se synchronise via le cloud d'une entreprise, ce qui est pratique et signifie que la solidité de ce compte devient celle de votre passkey. Une passkey sur une clé matérielle ne peut être ni synchronisée, ni copiée, ni extraite. Pour les comptes qui comptent, utilisez du matériel.
Quels comptes doivent en recevoir une en premier ?
Le courriel, toujours. Ensuite votre gestionnaire de mots de passe, puis tout ce depuis quoi vous publiez, puis tout ce qui détient de l'argent. Si vous documentez ou rapportez ce sujet, le compte depuis lequel vous publiez vaut plus pour un adversaire que votre banque — le perdre signifie que quelqu'un d'autre parle en votre nom, ce qu'une rétrofacturation ne peut pas annuler.
08Sources et lectures complémentaires
- Yubico — site officiel et comparaison des modèles yubico.com
- FIDO Alliance, la norme FIDO2 / WebAuthn fidoalliance.org
- Nitrokey — alternative matérielle et micrologicielle open source nitrokey.com
- EFF Surveillance Self-Defense — sécurité des comptes ssd.eff.org
- Privacy Guides — authentification multifacteur privacyguides.org
Dernière révision : 25 septembre 2026