Tu reçois un mail qui ressemble à s’y méprendre à celui de ta banque ou de Google. Tu cliques, tu tapes ton mot de passe, puis le code reçu par SMS. Dix minutes plus tard, ton compte ne t’appartient plus. La double authentification était activée, et elle n’a servi à rien. Il existe une protection qu’une fausse page ne peut pas copier : la clé de sécurité, une petite clé USB qui ne répond qu’au vrai site. Encore faut-il prendre la bonne, et surtout en prendre deux.
Pourquoi ton code par SMS ne t’a-t-il pas protégé ?
Une clé de sécurité est un petit objet USB ou NFC qui prouve ton identité avec le standard FIDO : elle ne répond qu’au site sur lequel tu l’as enregistrée, donc une page imitée ne peut rien en tirer, alors qu’un code par SMS ou par appli se recopie sur n’importe quelle page. Le code que tu reçois est un secret que tu tapes toi-même. Sur une fausse page, l’escroc le récupère et s’en sert aussitôt sur le vrai site. La clé, elle, ne te demande rien à taper : la fausse page n’obtient rien d’utilisable, et ton mot de passe seul ne lui suffit plus.
Quelle clé, et combien ?
Quatre réponses. Le test te dit s'il te faut une clé, laquelle, et ce qu'il faut faire le jour où tu la reçois. Chaque réponse cite ses sources.
Prends-en deux, et enregistre-les le même jour
Yubico Security Key C NFC
FIDO2 et U2F, en USB-C et en NFC d’après Yubico : de quoi te connecter sur un ordinateur récent et sur un téléphone. La deuxième clé reste chez toi, en secours.
Voir la Security Key C NFC sur Amazon
Lien partenaire : ça ne change rien pour toi, mais ça aide GrosNoob à continuer
Une seule condition pour que ça tienne : ne tape jamais de code de secours sur une page qui te le demande à la place de ta clé. Une fausse page peut afficher « essaie une autre méthode » pour récupérer ce code. Si tu as ta clé sous la main et qu’une page te propose autre chose, ferme-la et retape l’adresse du site toi-même.
Ce n’est pas une opinion de vendeur. L’ANSSI, l’agence française de cybersécurité, écrit qu’une authentification qui repose sur un code reçu par SMS est « à proscrire », à cause des failles du réseau téléphonique et du détournement de ligne. La CISA, son homologue américaine, classe les méthodes de la plus solide à la plus faible : le standard FIDO en tête, seule protection résistante à l’hameçonnage largement disponible, puis l’appli à code, puis le SMS.
Une passkey sur ton téléphone ne suffit-elle pas ?
Souvent si : une passkey, ou clé d’accès, repose sur le même standard FIDO qu’une clé de sécurité, et elle résiste elle aussi à une fausse page de connexion. La FIDO Alliance, qui a écrit le standard, présente les passkeys comme toujours résistantes à l’hameçonnage. Si tu te connectes déjà à tes comptes importants avec une passkey, tu as l’essentiel de la protection sans rien acheter. On l’explique en détail dans notre guide des gestionnaires de mots de passe et des clés d’accès.
La clé physique garde deux avantages. Elle ne dépend pas de ton téléphone : s’il est perdu, volé ou en panne, tu te connectes quand même. Et ton secret ne quitte jamais un objet que tu tiens en main, ce que la FIDO Alliance présente comme le plus haut niveau d’assurance. C’est pour ça qu’elle sert souvent de méthode de secours, ou de protection pour les deux ou trois comptes dont tout dépend : ta boîte mail principale, ton gestionnaire de mots de passe, ton compte de travail.
Security Key ou YubiKey 5 : laquelle te faut-il ?
La Security Key de Yubico fait tout ce qui protège une connexion, FIDO2 et U2F, en USB et en NFC ; la YubiKey 5 ajoute des fonctions pour les profils techniques : OpenPGP pour GPG, la carte à puce PIV et les codes OTP. Pour te connecter à Google, Microsoft ou GitHub, la Security Key suffit. Choisis ensuite la prise qui correspond à ton ordinateur : USB-C, la petite prise ovale des ordinateurs récents, ou USB-A, la prise rectangulaire classique.
- Deux Security Key, pour te connecter : prévois moins de 80 € pour la paire.
- Une YubiKey 5 et une Security Key de secours, si tu utilises GPG ou une carte à puce : prévois nettement plus, la YubiKey 5 coûte bien plus cher qu’une Security Key.
| Ton besoin | Notre choix | Ce qu’annonce Yubico | À savoir |
|---|---|---|---|
| Te connecter, ordinateur en USB-A | Yubico Security Key NFC | FIDO2/WebAuthn et FIDO U2F ; USB-A et NFC | Prends-en deux. Pour une clé SSH sur GitHub, elle suffit aussi. |
| Te connecter, ordinateur en USB-C | Yubico Security Key C NFC | FIDO2/WebAuthn et FIDO U2F ; USB-C et NFC | Prends-en deux. Le NFC sert à te connecter sur un téléphone compatible. |
| GPG, carte à puce ou codes OTP | Yubico YubiKey 5C NFC | FIDO2, U2F, OTP, carte à puce PIV et OpenPGP ; USB-C et NFC | Inutile pour une simple connexion. Garde une Security Key en secours pour tes comptes. |
Le prix du jour s’affiche sur la fiche Amazon. Lien partenaire : ça ne change rien pour toi, mais ça aide GrosNoob à continuer
Même si tu codes, ne paie pas la YubiKey 5 par réflexe. GitHub accepte une clé SSH créée sur une clé de sécurité matérielle, avec la commande ssh-keygen -t ed25519-sk et un client SSH récent, et une Security Key FIDO2 fait l’affaire. La YubiKey 5 se justifie si tu signes tes commits avec GPG, si ton entreprise utilise des cartes à puce, ou si un service te demande des codes OTP Yubico. Dans ce cas, pense au secours de ces fonctions-là aussi : une Security Key ne peut pas porter ta clé GPG, donc garde une sauvegarde de ta clé privée hors ligne, ou une seconde YubiKey 5.
Tu signes avec GPG ou tu utilises une carte à puce ?
Yubico YubiKey 5C NFC
FIDO2, U2F, OTP, carte à puce PIV et OpenPGP dans une seule clé USB-C, avec le NFC pour ton téléphone. Garde une Security Key en secours pour tes connexions.
Voir la YubiKey 5C NFC sur Amazon
Lien partenaire : ça ne change rien pour toi, mais ça aide GrosNoob à continuer
Pourquoi faut-il acheter deux clés ?
Parce qu’une clé de sécurité ne se copie pas : si tu perds ta seule clé, tu restes enfermé dehors, et la seule parade est une deuxième clé enregistrée à l’avance sur chacun de tes comptes. Yubico le dit lui-même : la bonne pratique est d’avoir plus d’une clé, et une YubiKey ne se clone pas.
Le piège est dans le mot « à l’avance ». La clé de secours ne récupère rien toute seule : il faut l’ajouter à la main, compte par compte, comme la première. Yubico conseille de l’enregistrer en même temps que la principale. Le jour où tu reçois tes clés, fais les deux d’un coup sur chaque compte, puis range la seconde ailleurs que la première, chez toi plutôt que sur ton trousseau. Google conseille aussi de garder une clé supplémentaire en lieu sûr.
Sur quels comptes l’activer en premier ?
Commence par les comptes qui permettent de récupérer tous les autres : ta boîte mail principale, ton compte Microsoft ou Google, puis ton gestionnaire de mots de passe et, si tu codes, GitHub. Celui qui prend ta boîte mail peut souvent réinitialiser tes autres mots de passe, puisque les liens de réinitialisation y arrivent.
- Google : toute clé FIDO1 ou FIDO2 peut servir de seconde étape, et une clé FIDO2 peut aussi porter une clé d’accès, d’après l’aide Google.
- Microsoft : dans les options de sécurité avancées du compte, tu peux enregistrer ta clé d’accès dans une clé de sécurité physique.
- GitHub : la clé s’ajoute une fois la double authentification activée avec une appli à code ou par SMS, et elle compte comme second facteur.
- Ton gestionnaire de mots de passe : regarde dans ses réglages de sécurité si une clé est proposée, puisque c’est lui qui garde tout le reste.
Si tu développes une appli et que tu te demandes comment proposer ce genre de connexion à tes propres utilisateurs, notre comparatif Clerk, Auth0 et Supabase Auth t’aide à choisir le service qui gère les comptes de tes utilisateurs ; vérifie ensuite dans sa documentation qu’il propose les passkeys.
Que faire si tu perds ta clé ?
Si tu perds une clé, connecte-toi avec ta clé de secours ou une autre méthode, supprime la clé perdue de chaque compte, puis enregistre une nouvelle clé : c’est la procédure que décrit Google. Sans aucune autre méthode, il reste la récupération du compte, et Google prévient que la vérification peut prendre de trois à cinq jours ouvrés.
C’est pour éviter ce scénario que chaque compte doit garder au moins deux portes : ta deuxième clé, et une autre méthode comme des codes de secours imprimés et rangés chez toi. Et dès que tu constates la perte, supprime la clé perdue de tes comptes, sans attendre.
Une clé de sécurité protège-t-elle tes cryptos ?
Elle protège ton compte sur une plateforme d’échange contre une fausse page de connexion, mais pas des cryptos que tu gardes toi-même : ça, c’est le rôle d’un portefeuille matériel et de sa phrase de récupération. Les deux objets se ressemblent, une petite clé USB, mais ils ne font pas le même travail.
Les fausses pages de plateformes crypto sont parmi les arnaques crypto les plus courantes, et une clé de sécurité les rend inutiles pour la connexion. Si tu gardes tes cryptos hors plateforme, lis plutôt notre comparatif des Ledger : là, c’est la phrase de récupération qui compte, pas la clé.
En résumé : choisir sa clé de sécurité
Un code par SMS ou par appli se recopie sur une fausse page ; une clé de sécurité FIDO ne répond qu’au vrai site, à condition de ne jamais taper de code de secours sur une page qui te le réclame à sa place, et c’est la protection que la CISA place en tête, quand l’ANSSI juge le SMS à proscrire. Si tu te connectes déjà avec des passkeys, tu as l’essentiel. Sinon, prends deux Security Key dans la prise de ton ordinateur, USB-C ou USB-A, et la YubiKey 5 seulement si tu utilises GPG, une carte à puce ou des codes OTP. Enregistre les deux clés le même jour sur chaque compte, en commençant par ta boîte mail, et garde une autre méthode de secours.
Questions fréquentes sur les clés de sécurité
À quoi sert une clé de sécurité ?
À te connecter à tes comptes sans qu’une fausse page puisse se servir de ce qu’elle t’a pris. La clé utilise le standard FIDO : elle ne répond qu’au site sur lequel tu l’as enregistrée, alors qu’un code reçu par SMS ou par appli se recopie sur n’importe quelle page. Seule condition : ne jamais taper de code de secours sur une page qui te le demande à la place de ta clé.
Faut-il vraiment acheter deux clés de sécurité ?
Oui. Une clé de sécurité ne se copie pas : si tu perds ta seule clé, tu restes enfermé dehors. Yubico recommande d’avoir plus d’une clé et d’enregistrer la clé de secours en même temps que la principale, compte par compte.
Quelle différence entre une Security Key et une YubiKey 5 ?
La Security Key de Yubico fait FIDO2 et U2F, ce qui suffit pour se connecter à Google, Microsoft ou GitHub. La YubiKey 5 ajoute OpenPGP pour GPG, la carte à puce PIV et les codes OTP, utiles à des profils techniques.
Une passkey remplace-t-elle une clé de sécurité ?
Souvent, oui : une passkey repose sur le même standard FIDO et résiste elle aussi aux fausses pages. La clé physique garde l’avantage de ne pas dépendre de ton téléphone, ce qui en fait une bonne méthode de secours.
Que faire si je perds ma clé de sécurité ?
Connecte-toi avec ta deuxième clé ou une autre méthode, supprime la clé perdue de chaque compte, puis enregistre une nouvelle clé. Sans aucune autre méthode, il reste la récupération du compte, qui peut prendre de trois à cinq jours ouvrés chez Google.
Le code par SMS est-il dangereux ?
Il vaut mieux que rien, mais il se recopie sur une fausse page et il peut être intercepté. L’ANSSI juge à proscrire une authentification qui repose sur un code reçu par SMS, et la CISA le classe tout en bas des méthodes de double authentification.