Om du bara gör en enda sak på hela den här webbplatsen, gör den här. Alla andra åtgärder här minskar risken marginellt; den här tar bort en hel kategori av attacker, och det är den kategori som faktiskt drabbar människor som utför detta arbete. Den kostar mindre än ett par skor och tar en eftermiddag.
01Varför en kod kan stjälas och en nyckel inte
Du har sett attacken även om den inte har lyckats mot dig. Ett e-postmeddelande eller meddelande säger att det är ett problem med ditt konto. Länken går till en sida som är en pixelperfekt kopia av den riktiga inloggningen. Du anger ditt lösenord. Den frågar efter din autentiseringskod. Du anger den också.
Bakom kulisserna loggar angriparens server in på den riktiga webbplatsen i samma ögonblick och vidarebefordrar allt du skriver in, i realtid. Din kod var äkta. Den var giltig i trettio sekunder. Du skrev bara in den i fel fönster, och trettio sekunder är gott och väl.
En app genererar ett nummer från en delad hemlighet och en klocka. Den har ingen aning om vilken webbplats du tittar på, så den kan inte skilja en riktig inloggningssida från en kopia. Koden är inte svagheten, det mänskliga ögat är det. Varje försvar som bygger på att du upptäcker en falsk domän kommer till slut att misslyckas, eftersom förfalskningarna är mycket bra och du kommer att vara trött.
En säkerhetsnyckel fungerar annorlunda. När du registrerar den hos en webbplats lagrar den en hemlighet knuten till den webbplatsens riktiga domän. Vid inloggning skickar webbplatsen en utmaning; nyckeln signerar den, men först efter att ha kontrollerat att domänen som frågar matchar domänen den registrerades hos. En förväxlingsbart liknande domän frågar, och nyckeln svarar helt enkelt inte. Det finns inget att vidarebefordra, inget att skriva, och inget för dig att göra fel.
Google flyttade hela sin personalstyrka — tiotusentals människor, till säkerhetsnycklar och rapporterade noll lyckade nätfiskeövertaganden av anställdas konton efteråt. Det är det starkaste beviset inom konsumentsäkerhet för någon enskild åtgärd, och det är därför den här guiden kommer först istället för femma.
02Vad som finns på nyckeln
En YubiKey 5 är inte en enda sak. Det är flera oberoende säkerhetsenheter i samma plastbit, och de flesta använder en av dem och vet aldrig att resten finns där. Här är allt, i klarspråk.
| Funktion | Använda den? | Vad den är till för |
|---|---|---|
| FIDO2 / WebAuthn | Ja, det är den här | Den moderna standarden. Nätfiskesäker inloggning, och grunden för passkeys. Detta är vad du kommer att använda på Google, Microsoft, GitHub, Cloudflare, Proton och de flesta saker som spelar roll. |
| Passkeys (residenta nycklar) | Ja | Samma sak, men nyckeln lagrar även kontots identitet, så du kan logga in utan att skriva ett användarnamn eller lösenord alls. Lagringsutrymmet är begränsat — se anteckningen nedan. |
| U2F | Automatisk | Den äldre versionen av samma idé. Används fortfarande av vissa webbplatser; nyckeln hanterar det utan att du behöver välja. |
| OATH-TOTP | Situationsberoende | Lagrar dina vanliga sexsiffriga koder på nyckeln i stället för i en telefonapp, och läses via Yubico Authenticator. Användbart för webbplatser som inte stöder FIDO2. Det är fortfarande en kod och fortfarande känslig för nätfiske, den skyddar hemligheten, inte inloggningen. |
| Challenge-response (HMAC-SHA1) | Ja, med KeePassXC | Gör att din lösenordsdatabas kräver den fysiska nyckeln för att öppnas. Behandlas i KeePassXC-guiden, detta är kombinationen som gör båda verktygen betydligt starkare. |
| PIV / smartkort | Avancerad | Innehåller certifikat. Används för SSH-nycklar som inte kan kopieras från enheten, och för vissa företags- och myndighetssystem. |
| OpenPGP | Avancerad | Förvarar GPG-nycklar i hårdvara, så signering och dekryptering sker på nyckeln och den privata nyckeln aldrig rör din dator. |
| Yubico OTP | Sällan | Ett äldre engångslösenordssystem som föregår FIDO. Vissa äldre tjänster använder det. Låt det vara om inget efterfrågar det. |
| Statiskt lösenord | No | Skriver en fast sträng när du rör vid nyckeln. En bekvämlighetsfunktion från en annan tid. Använd det inte för något som spelar roll. |
Residentnycklar, de som låter dig logga in utan användarnamn, tar permanenta platser på enheten, och det finns ett fast antal av dem. Äldre YubiKey 5-firmware rymmer omkring 25; nyare firmware rymmer betydligt fler. Vanliga FIDO2-registreringar för andra faktor är inte begränsade på detta sätt, så du kan lägga till en nyckel på hundratals webbplatser utan att fylla något. Om du får slut på platser beror det på passkeys, inte 2FA.
03Vilken du bör köpa
Beslutet handlar mest om kontakten i änden och huruvida du vill ha extrafunktionerna. Matcha kontakten med din telefon och din dator, och om de skiljer sig, köp en av varje istället för att bära en adapter som du kommer att tappa bort.
| Modell | Bäst för | Anteckningar |
|---|---|---|
| Security Key-serien (de blå) | De flesta | Endast FIDO2 och U2F, vilket är den del du behöver. Ungefär halva priset av en YubiKey 5. Om du inte ska använda PGP, PIV eller KeePassXC-parningen är detta den ärliga rekommendationen. |
| YubiKey 5 NFC | USB-A-dator + valfri telefon | Nyckeln med alla funktioner. Knacka den mot en telefon för NFC, koppla in den i en laptop för USB. Standardvalet om du vill ha allt i tabellen ovan. |
| YubiKey 5C NFC | USB-C-dator + valfri telefon | Identisk, med USB-C-kontakt. Troligen den rätta om din laptop är nyare. |
| YubiKey 5Ci | iPhone med Lightning | Har både USB-C och Lightning. Endast relevant för äldre iPhones; nyare har USB-C och kan använda NFC ändå. |
| YubiKey 5 Nano | Lämna-kvar-i-laptopen | Liten, sitter jämnt i porten permanent. Bekvämt, och det tar bort fördelen med fysisk separation, om laptopen tas, tas nyckeln med den. |
| Bio-serien | Delade utrymmen | Fingeravtryck istället för en PIN-kod. Verkligen trevligt; dyrare; överväg noga om biometri är rätt upplåsning där du bor, eftersom du i många jurisdiktioner lättare kan tvingas lämna ett fingeravtryck än en PIN-kod. |
En enda nyckel är en enda felpunkt: tappa den och du kan bli permanent utelåst från dina egna konton, vilket är en egen sorts katastrof. Registrera båda nycklarna på varje konto, bär en, och förvara den andra fysiskt åtskild, en låda hemma, ett kassaskåp, någon du litar på. Den andra nyckeln är backup-planen, och den kostar mindre än återställningen skulle göra.
Inte en marknadsplatsannons, inte begagnat, inte en gåva från någon du inte känner väl. En säkerhetsnyckel är en enhet du kommer att anförtro allt; leveranskedjan är en del av produkten. Yubicos firmware är medvetet inte uppdateringsbar, vilket är bra för manipuleringsmotstånd och innebär att en komprometterad nyckel aldrig kan fixas, bara bytas ut.
04Att ställa in den, i rätt ordning
Ordningen spelar roll. Börja med kontot som kan återställa alla andra, och se till att du inte kan låsa ute dig själv på vägen.
-
Börja med din e-post
Alla andra konton du äger återställs via det, vilket gör det till det verkliga målet. Gå till din e-postleverantörs säkerhetsinställningar och lägg till båda nycklarna innan du rör något annat. Om din e-postleverantör inte stöder säkerhetsnycklar är det en anledning att byta leverantör, inte en anledning att hoppa över detta.
-
Registrera båda nycklarna samtidigt
Gör det i en sittning, på varje konto. Felet folk gör är att registrera en nyckel nu och "lägga till reserven senare" – senare kommer aldrig, och sedan åker den första nyckeln genom en tvättmaskin.
-
Spara återställningskoderna ordentligt
Varje webbplats ger dig en uppsättning engångskoder för återställning. Dessa kringgår din nyckel helt och hållet, så de förtjänar samma omsorg som nyckeln själv. Lägg dem i din lösenordshanterare, eller skriv ut dem och förvara dem på en fysiskt säker plats. Fotografera dem inte, och lämna dem inte i en nedladdningsmapp.
-
Granska nu de svagare metoderna
Om SMS-koder fortfarande finns som reservväg kan en SIM-kapning kringgå nyckeln. När båda nycklarna fungerar, stäng av SMS överallt där tjänsten låter dig. Behåll en autentiseringskod bara där du behöver den som återställningsväg, skydda dess seed och återställningskoder i din lösenordshanterare, och ta aldrig bort en metod förrän du har testat de återstående vägarna tillbaka in.
-
Arbeta dig nedåt i listan
Efter e-post: din lösenordshanterare om den stöder nycklar, sedan molnlagring, sedan sociala konton du publicerar från, sedan allt med en betalningsmetod kopplad, sedan kodhosting. Allt som återstår kan vänta till en ledig kväll.
-
Testa reserven innan du lägger undan den
Logga ut och logga in igen med just reservnyckeln. En otestad reserv är en gissning.
05Vad det inte skyddar dig mot
En säkerhetsnyckel är den starkaste enskilda kontrollen en vanlig person har tillgång till, och den är fortfarande begränsad. Den besegrar nätfiske. Den besegrar inte dessa.
- Nätfiskesidor, hur övertygande de än är, inklusive realtidsreläattacker.
- Credential stuffing, ditt lösenord från någon annan sidas dataintrång är nu värdelöst i sig.
- Lösenordsgissning och spraying.
- De flesta SIM-swap-attacker, när SMS tas bort som reservmetod.
- Skadlig programvara som redan finns på din dator. Om något övervakar din session efter att du loggat in har nyckeln redan gjort sitt jobb och kringgåtts.
- Stöld av sessionscookies. En angripare som stjäl en aktiv sessionstoken behöver inte logga in alls.
- Återställningsvägen. Om supportpersonal kan övertalas att återställa ditt konto är din nyckel irrelevant. Detta är nu det vanligaste sättet som konton med nycklar faller.
- Fysiskt beslagtagande av dig och nyckeln tillsammans.
- Konton du glömde skydda, vilket är dit angripare kommer att gå härnäst.
Den stänger ytterdörren helt, och angriparen flyttar till fönstren. Det är fortfarande en enorm förbättring, ytterdörren är där nästan all trafik var, men det är en anledning att fortsätta läsa resten av den här sidan snarare än att sluta här.
06Om du inte vill ha en YubiKey
YubiKey är standardvalet eftersom det har bredast stöd och är mest grundligt granskat, inte för att det är det enda alternativet. Vi tar inte emot pengar från någon av dessa.
Nitrokey
Tyskt, med öppen källkod för firmware och hårdvarudesign, valet om "jag vill kunna granska den" är viktigare för dig än maximal kompatibilitet. Tas upp som ett alternativ i guidens avsnitt om säkerhetsnycklar.
nitrokey.com ↗Token2
Schweiziskt, billigt, FIDO2-fokuserat. Ett rimligt sätt att köpa två nycklar med tight budget utan att gå ner till ett okänt märke.
token2.com ↗Din telefon som passkey
Moderna telefoner kan fungera som en FIDO2-autentiserare, vilket ger dig samma skydd mot nätfiske gratis. Svagare på en specifik punkt: telefonen är den enhet som mest sannolikt blir tagen, upplåst eller komprometterad. Bra som andra faktor, inte som din enda.
07Frågor folk faktiskt ställer
Vad händer om jag tappar bort nyckeln?
Ingenting, om du gjorde detta ordentligt: du använder den andra nyckeln och tar sedan bort den förlorade från varje konto och registrerar en ersättare. Det är precis därför guiden insisterar på att köpa två. Om du inte gjorde det faller du tillbaka på dina återställningskoder, och om du inte har dem heller är du beroende av leverantörens kontoåterställningsprocess, vilket kan ta veckor och ibland misslyckas.
Kan någon som stjäl min nyckel komma in i mina konton?
Inte på egen hand. Nyckeln är en andra faktor, de behöver fortfarande ditt lösenord, och för de flesta konfigurationer behöver de även nyckelns PIN-kod, vilket låser enheten efter ett litet antal felaktiga försök. En stulen nyckel är en olägenhet för dig, inte en säkerhetsincident. Ta bort den från dina konton ändå.
Måste jag bära den överallt?
Bara när du loggar in någonstans nytt. De flesta webbplatser låter dig markera en enhet som betrodd, så i vardagen kommer du sällan att röra nyckeln — vanligtvis när du ställer in en ny dator eller efter att ha rensat dina cookies. NFC-modellerna fungerar genom att man knackar dem mot en telefon, vilket tar bort det mesta av friktionen folk föreställer sig.
Är en passkey samma sak?
En passkey är samma kryptografi med samma nätfiskemotstånd. Skillnaden är var den finns. En passkey i din telefon eller i ett webbläsarkonto synkroniseras via ett företags moln, vilket är bekvämt och innebär att styrkan hos det kontot blir styrkan hos din passkey. En passkey på en hårdvarunyckel kan inte synkroniseras, kopieras eller extraheras. För konton som spelar roll, lägg den på hårdvara.
Vilka konton bör få en först?
E-post, alltid. Sedan din lösenordshanterare, sedan allt du publicerar från, sedan allt som håller pengar. Om du dokumenterar eller rapporterar om detta ämne är kontot du publicerar från värt mer för en motståndare än din bank — att förlora det innebär att någon annan talar i ditt namn, vilket inte kan ångras genom en återbetalning.
08Källor och vidare läsning
- Yubico — officiell webbplats och modelljämförelse yubico.com
- FIDO Alliance, standarden FIDO2 / WebAuthn fidoalliance.org
- Nitrokey — öppen källkod för hårdvara och firmware som alternativ nitrokey.com
- EFF Surveillance Self-Defense — kontosäkerhet ssd.eff.org
- Privacy Guides — flerfaktorsautentisering privacyguides.org
Senast granskad: 25 september 2026