Une YubiKey est une clé de sécurité physique fabriquée par Yubico : vous la branchez en USB ou l’approchez en NFC, puis vous la touchez pour confirmer une connexion. Elle résiste mieux au phishing qu’un code SMS ou qu’une application d’authentification, car elle ne valide que le vrai site. Au 3 octobre 2026, la série YubiKey 5 existe en USB-A, USB-C, Lightning et NFC ; ce n’est pas un portefeuille crypto.
À quoi sert une YubiKey et comment fonctionne-t-elle ?
Une YubiKey sert à prouver que c’est bien vous qui vous connectez à un compte, grâce à un objet que vous tenez en main. C’est une clé de sécurité : un petit appareil sans écran, qui se branche sur un port USB ou s’approche d’un téléphone, et qui valide la connexion quand vous le touchez. Elle s’ajoute au mot de passe. C’est le principe de l’authentification à deux facteurs (2FA), qui combine ce que vous savez et ce que vous possédez.
La clé est fabriquée par Yubico, société fondée en 2007 par Stina Ehrensvärd, rappelle la fiche Wikipédia consacrée à la YubiKey. Elle peut émettre un mot de passe à usage unique ou utiliser une paire de clés privée/publique générée par l’appareil lui-même. Dans ce second cas, le site ne conserve que la partie publique.
La série YubiKey 5 prend en charge plusieurs protocoles : FIDO2/WebAuthn, U2F, Smart Card, OpenPGP et OTP, d’après la page de Yubico présentant ses clés. Pour un particulier, le plus utile est FIDO2/WebAuthn, le standard qui permet à un navigateur et à un site de dialoguer avec une clé physique.
Un écart entre sources mérite d’être signalé. Le blog de NordPass écrit que la YubiKey est « développée par l’Alliance FIDO ». Wikipédia est plus précis : Yubico fabrique la clé, et l’alliance FIDO porte le protocole U2F, dont le directeur technique de Yubico, Jakob Ehrensvärd, a rédigé la spécification d’origine. Nous retenons cette seconde lecture.
Quelle différence entre une YubiKey, un code SMS et une appli d'authentification ?
La différence tient à ce qui peut être détourné à distance : un code reçu par SMS ou affiché par une application se recopie, alors qu’une YubiKey vérifie le site avant de répondre. Le phishing (hameçonnage) consiste à vous attirer sur la copie d’un site pour récupérer vos identifiants. Un code tapé sur une fausse page peut être réutilisé aussitôt par l’escroc.
Yubico rappelle les trois familles de preuves : ce que vous connaissez (mot de passe), ce que vous possédez (clé de sécurité) et ce que vous êtes (empreinte). Sur sa page consacrée à l’authentification résistante au phishing, le fabricant juge les méthodes classiques, « telles que l’authentification par SMS ou mobile », « très vulnérables au phishing ». Gardez en tête que Yubico vend des clés : ce constat sert aussi son catalogue.
Le blog de NordPass donne des repères dans son comparatif des méthodes d’authentification. Une application comme Google Authenticator génère des codes TOTP (mots de passe à usage unique basés sur le temps) de 6 caractères en moyenne, renouvelés toutes les 15 à 60 secondes. La YubiKey, elle, ne valide la connexion que si le site correspond à celui où elle a été enregistrée.
| Méthode | Ce qu’il vous faut | Face au phishing, d’après les sources | Contrainte principale |
|---|---|---|---|
| Code SMS | Un téléphone et du réseau mobile | Jugé « très vulnérable » par Yubico | Le code peut être saisi sur un faux site |
| Appli d’authentification (TOTP) | Un smartphone | Peut être visée par le phishing, selon NordPass | Code court à recopier dans un délai limité |
| Clé d’accès (passkey) | Un téléphone, un ordinateur ou un gestionnaire de mots de passe | Protocole FIDO2, comme la YubiKey | Dépend de l’appareil ou du service qui la stocke |
| YubiKey | La clé et un port USB ou le NFC | Ne valide que le site d’origine | Achat, risque de perte, non duplicable |
Les clés d’accès (passkeys) sont l’alternative la plus proche : même protocole FIDO2, mais sans objet dédié. Elles se synchronisent entre appareils. À l’inverse, les identifiants d’une YubiKey ne peuvent être ni copiés ni transférés, ce que NordPass présente comme moins souple. Dans tous les cas, une appli d’authentification gratuite vaut mieux que pas de second facteur du tout.
Quelles plateformes crypto et quels services acceptent une YubiKey ?
Les sources consultées citent des services grand public et professionnels, mais aucune plateforme crypto nommément. Yubico mentionne la connexion à Windows et Mac, Gmail, Dropbox, Facebook, Salesforce et Duo. Le catalogue produits de Yubico, mis à jour le 28 septembre 2026, ajoute Google Workspace, Microsoft 365, des gestionnaires de mots de passe, des réseaux sociaux et, selon le fabricant, des centaines d’autres services.
Pour vos comptes crypto, la vérification se fait donc au cas par cas, au 3 octobre 2026 :
- ouvrez les réglages de sécurité de votre plateforme et cherchez les mentions « clé de sécurité », « passkey » ou « FIDO2/WebAuthn » ;
- consultez la page d’aide officielle de la plateforme, seule référence fiable sur ce point ;
- protégez aussi la boîte e-mail liée au compte, car elle sert souvent à réinitialiser le mot de passe.
La compatibilité avec une clé ne dit rien du statut réglementaire. Avant d’ouvrir un compte, contrôlez que le prestataire figure sur le registre de l’AMF. Notre guide pour vérifier qu’une plateforme crypto est autorisée en France détaille la démarche, et notre comparatif des plateformes crypto sous MiCA liste les critères à regarder. Tout achat de crypto-actifs expose à un risque de perte en capital.
Et le gestionnaire de mots de passe ?
Clé de sécurité et gestionnaire de mots de passe se complètent : le second crée un mot de passe long et différent pour chaque site, la première verrouille l’accès. NordPass l’écrit lui-même : la clé peut ajouter une étape de sécurité au gestionnaire. Avant de payer, regardez ce que vous avez déjà : votre navigateur et votre téléphone intègrent un gestionnaire gratuit.
NordPass fait partie de nos partenaires. D’après son blog, il stocke les clés d’accès, les synchronise entre appareils et propose un outil d’authentification générant des codes TOTP. Il a du sens si vous jonglez entre plusieurs appareils et systèmes. Il apporte peu si le gestionnaire intégré à vos appareils vous suffit. Deux réserves : ces informations viennent de l’éditeur lui-même, et l’extrait consulté ne précise ni le tarif ni si une clé physique peut protéger le compte NordPass. Vérifiez ces points sur le site officiel.
Quelle YubiKey choisir : USB-A, USB-C ou NFC ?
Le bon modèle est celui qui correspond aux ports de vos appareils : USB-A pour un ordinateur classique, USB-C pour les machines récentes, NFC pour valider depuis un téléphone sans rien brancher. Le NFC est une liaison sans contact à très courte portée : vous posez la clé contre l’appareil.
Yubico organise sa gamme en familles, décrites sur sa page de présentation en français et dans son catalogue de septembre 2026 :
- Série YubiKey 5 : multi-protocoles, en USB-A, USB-C, Lightning et NFC. La YubiKey 5C NFC réunit USB-C et NFC.
- Security Key Series : deux clés (USB-A/NFC et USB-C/NFC) limitées aux protocoles FIDO2/WebAuthn et U2F, annoncées résistantes à l’eau et à l’écrasement.
- YubiKey Bio : lecteur d’empreinte digitale, formats USB-A et USB-C, pensée d’abord pour l’ordinateur de bureau.
- YubiKey 5 FIPS : versions certifiées destinées aux administrations et aux secteurs régulés, hors sujet pour un particulier.
La YubiKey 5 NFC, vendue sur Amazon, se connecte en USB-A ou en NFC et porte une certification FIDO, d’après sa fiche produit. Elle a du sens si vous avez un ordinateur doté d’un port USB-A, un téléphone compatible NFC, et des comptes sensibles (e-mail, plateforme d’échange, gestionnaire de mots de passe) qui acceptent les clés. Elle ne vaut pas le coup si vos appareils n’ont que de l’USB-C : regardez alors la 5C NFC, qui ne fait pas partie de nos offres partenaires. Même conclusion si vos services ne proposent aucune option « clé de sécurité » : vérifiez avant de commander.
Sur la question « YubiKey prix » : nous ne publions pas de montant, car les tarifs Amazon varient ; reportez-vous à la fiche. Les sources ne donnent pas non plus de tarif officiel pour la France. Si vous n’utilisez que FIDO2, la Security Key Series couvre ce besoin avec moins de fonctions.
Comment configurer une YubiKey ?
La configuration se fait compte par compte, depuis les réglages de sécurité de chaque service, sans logiciel obligatoire. Yubico décrit les étapes d’enregistrement d’une YubiKey ; les trois premières ci-dessous viennent du fabricant, les deux dernières sont nos ajouts de prudence.
- Ouvrez les paramètres de sécurité d’un service compatible et choisissez « Ajouter une clé de sécurité ».
- Sur ordinateur, insérez la clé dans un port USB, puis effleurez-la pour confirmer votre présence.
- Sur un appareil compatible NFC, posez la clé contre l’appareil.
- Recommencez aussitôt avec votre clé de secours.
- Rangez à l’abri les codes de récupération fournis par le service, s’il en propose.
À l’usage, vous saisissez un code PIN ou un mot de passe, puis vous touchez la clé. Yubico précise qu’une fois la clé enregistrée, de nombreux services ne l’exigent plus après la première connexion.
Côté logiciels, Yubico propose des outils gratuits de configuration. Yubico Authenticator permet par exemple de stocker vos informations d’identification sur la clé plutôt que sur le téléphone. L’outil YubiKey Manager, souvent recherché, n’est pas décrit dans les pages consultées : référez-vous au site officiel de Yubico pour son utilisation.
Pourquoi prendre deux clés, et quelles limites connaître ?
Il faut deux clés parce qu’une YubiKey ne se duplique pas : si vous perdez l’unique exemplaire, vous risquez de rester à la porte de vos comptes. L’article de NordPass sur les avantages et inconvénients de la YubiKey note que sa petite taille la rend facile à égarer et que Yubico recommande officiellement une clé de secours. Chaque clé s’enregistre séparément sur chaque compte, puisque les identifiants ne se transfèrent pas d’un appareil à l’autre.
Le vol seul est moins grave : sans votre mot de passe, la personne qui détient la clé ne peut pas entrer dans votre compte, selon la même source. Deux YubiKey 5 NFC conviennent si tous vos appareils partagent les mêmes ports. Un seul exemplaire peut suffire à qui ne protège qu’un ou deux comptes et garde ses codes de récupération, au prix d’un risque de blocage plus élevé.
Les limites documentées :
- Code fermé. Depuis la YubiKey 4, Yubico a remplacé ses composants open source par du code propriétaire, ce qui empêche un examen indépendant, relève l’historique des YubiKey sur Wikipédia. Yubico affirme faire analyser son code en interne et en externe.
- Faille passée. Une vulnérabilité dans une bibliothèque Infineon a touché les YubiKey 4, 4C et 4 nano en versions 4.2.6 à 4.3.4. Yubico a publié un outil de vérification et remplacé les clés gratuitement. La date ne figure pas dans l’extrait, et nos sources ne disent rien de la série 5 sur ce point.
- Stockage restreint. La clé conserve un nombre limité de clés d’accès ; le chiffre n’est pas communiqué dans les sources.
- Adoption partielle. NordPass reconnaît que ce n’est pas la méthode multifacteur la plus répandue.
Et les avis d’experts ? NordPass la classe parmi les méthodes multifacteur les plus sûres, et Wikipédia cite un article de Wired sur sa protection contre le phishing. Nos sources ne contiennent aucun test indépendant récent : nous n’en inventons pas.
Une YubiKey remplace-t-elle un portefeuille crypto ?
Non : une YubiKey protège l’accès à des comptes, elle ne conserve pas vos crypto-actifs. Un portefeuille matériel (hardware wallet) garde les clés privées qui signent les transactions sur une blockchain, avec une phrase de récupération en sauvegarde. La YubiKey, elle, prouve votre identité auprès d’un site. NordPass le formule ainsi : la clé de sécurité n’agit pas comme un dispositif de stockage.
Une nuance : la page PME de Yubico affirme que ses clés « ne stockent aucune donnée », alors que Yubico Authenticator y enregistre des informations d’identification. Comprenez : aucun fichier personnel, mais bien des secrets de connexion.
- Vos cryptos sont sur une plateforme. La clé renforce la connexion à votre compte, si la plateforme l’accepte. Les actifs restent détenus par le prestataire.
- Vous gérez vous-même vos clés privées. Il vous faut un appareil dédié : voyez notre comparatif des portefeuilles crypto Ledger et Trezor.
Les deux outils se cumulent sans se remplacer. Notre dossier pour sécuriser ses cryptos, de la sauvegarde à la 2FA replace la clé dans une démarche d’ensemble. Aucun dispositif ne supprime le risque de perte en capital propre aux crypto-actifs, et cet article ne constitue pas un conseil en investissement.
Questions fréquentes
Comment fonctionne une YubiKey ?
Vous enregistrez la clé dans les réglages de sécurité d'un compte. À chaque connexion, vous la branchez en USB ou l'approchez en NFC, puis vous la touchez. La clé ne valide que si le site correspond à celui où elle a été enregistrée.
Quel est le prix d'une clé YubiKey ?
Le prix dépend du modèle et du vendeur, et il varie sur Amazon : nous ne publions donc pas de montant. Les sources consultées au 3 octobre 2026 ne donnent pas de tarif officiel pour la France. Prévoyez le budget de deux clés, puisque Yubico recommande une clé de secours.
Quel YubiKey choisir ?
Partez de vos ports : la YubiKey 5 NFC pour un ordinateur en USB-A et un téléphone NFC, la YubiKey 5C NFC pour des appareils en USB-C. La Security Key Series suffit si vos services n'utilisent que FIDO2/WebAuthn et U2F.
Quel est l'équivalent de YubiKey ?
Les clés d'accès (passkeys) reposent sur le même protocole FIDO2 et se stockent sur un téléphone, un ordinateur ou un gestionnaire de mots de passe. Une application d'authentification est une option gratuite, mais ses codes peuvent être saisis sur un faux site. Les sources consultées ne citent aucune marque concurrente de clé physique.
Comment configurer une YubiKey ?
Dans les paramètres de sécurité d'un service compatible, choisissez « Ajouter une clé de sécurité », insérez la clé ou posez-la contre un appareil NFC, puis touchez-la. Répétez l'opération pour chaque compte, puis avec votre clé de secours.
Quels sont les avis des experts sur YubiKey ?
NordPass la range parmi les méthodes d'authentification multifacteur les plus sûres, et Yubico met en avant sa résistance au phishing ; ce sont deux entreprises du secteur, pas des laboratoires indépendants. Wikipédia rapporte une critique : le code est propriétaire depuis la YubiKey 4, ce qui limite les audits externes.
Sources consultées et vérifiées le 3 octobre 2026. Une erreur ? Écrivez-nous via la page contact.
