YubiKey : Clé de sécurité matérielle pour le chiffrement et l’authentification multifacteur.

Une petite languette métallique que l'on touche du bout du doigt a accompli ce qu'aucun mot de passe n'avait jamais réussi à faire : mettre fin aux piratages de comptes dans l'une des entreprises les plus attaquées au monde. Après que Google a distribué une YubiKey à plus de 85 000 employés , le nombre de comptes d'employés piratés avec succès est tombé à zéro et s'y est maintenu depuis début 2017. C'est tout l'intérêt d'une clé de sécurité matérielle. Ce n'est ni un antivirus ni un dispositif de stockage de cryptomonnaie. C'est un objet physique qui prouve votre identité et il est quasiment impossible à tromper.

Ce guide explique ce qu'est une YubiKey, comment elle fonctionne, pourquoi elle est supérieure aux SMS et aux applications d'authentification , et comment l'utiliser pour sécuriser les comptes de cryptomonnaies que les voleurs ciblent en priorité.

Qu'est-ce qu'une YubiKey et pourquoi est-elle importante ?

Imaginez une YubiKey comme une clé de maison pour vos comptes, sauf que celle-ci est impossible à copier. C'est une petite clé de sécurité matérielle de Yubico, l'entreprise suédo-américaine qui les fabrique depuis 2007. Sans pile ni écran, c'est juste un petit boîtier en plastique et métal, de la taille d'une clé USB, qui se branche sur un port USB ou se connecte à votre téléphone via NFC, grâce à un disque doré que l'on presse du bout du doigt.

Ce simple effleurement du doigt est la clé du succès. Un mot de passe, c'est quelque chose que vous connaissez, et tout ce que vous connaissez peut être volé, divulgué ou deviné, souvent les trois à la fois. Une YubiKey, c'est un objet que vous possédez, et on ne peut pas dérober un objet physique dans la poche de quelqu'un. Elle devient donc un second facteur d'authentification à deux facteurs, et un facteur particulièrement résistant. Elle ne stocke ni vos cryptomonnaies ni vos fichiers. À la connexion, elle répond à une seule question, puis se tait : « Est-ce bien le propriétaire légitime qui est ici ? » Un simple effleurement suffit pour se connecter. Sinon, la session s'interrompt, aussi parfait que puisse paraître le mot de passe volé.

Comment une YubiKey protège contre le phishing

Le secret ne réside pas dans le matériel, mais dans une signature liée au domaine qu'un faux site web ne pourra jamais extraire de l'appareil.

Un secret qui ne disparaît jamais

Enregistrez une YubiKey auprès d'un service, et celui-ci génère discrètement une nouvelle paire de clés, une publique et une privée, grâce à la cryptographie à clé publique. La clé privée est gravée dans une puce sécurisée et n'en ressort jamais. Ni par USB, ni avec l'appareil en main, jamais. Seule la clé publique est transmise au serveur. Ensuite, chaque connexion se résume à un échange rapide : le site envoie un défi aléatoire, la clé le signe avec la clé privée (illisible par tous), et le serveur vérifie cette signature en la comparant à la clé publique qu'il a conservée. C'est le principe de la norme FIDO2 et WebAuthn, basée sur l'ancienne norme U2F, et c'est pourquoi vos identifiants ne peuvent pas être extraits de l'appareil.

Pourquoi le phishing ne fonctionne pas

Voici maintenant la partie qui neutralise véritablement le phishing. Lors de cet échange, le navigateur indique également à la clé le domaine sur lequel vous vous trouvez. La YubiKey le compare au site sur lequel elle s'est enregistrée initialement. Sur une page frauduleuse, le domaine est incorrect ; la clé refuse donc de signer. Vous pouvez être totalement dupé par le faux site, mais le matériel, lui, ne l'est pas, et c'est bien le matériel qui compte. Ajoutez à cela le contact physique qui prouve la présence d'un humain, et vous obtenez ce que les agences de sécurité appellent une authentification résistante au phishing. Un mot de passe peut être saisi dans un champ factice. Une signature liée à un domaine, non.

Mots de passe à usage unique (OTP), cartes à puce et clés d'accès

La YubiKey, modèle phare, parle plusieurs langages, et non un seul. Elle peut générer un mot de passe à usage unique Yubico, un code de 44 caractères qui s'ajoute aux codes à six chiffres affichés par une application. Elle prend également en charge les mots de passe à usage unique basés sur le temps, le même standard TOTP utilisé par votre application d'authentification. Elle sert de carte à puce pour les connexions d'entreprise et gouvernementales. Enfin, elle stocke des clés d'accès pour une authentification entièrement sans mot de passe, où la clé est l'identifiant principal et non une solution de secours. Cette dernière solution se développe rapidement : selon la FIDO Alliance , près de la moitié des 100 principaux sites web acceptent déjà les clés d'accès.

Pourquoi une YubiKey est meilleure que les SMS et les applications d'authentification

N'importe quel autre facteur d'authentification courant peut être transmis en temps réel à un site frauduleux. Ce n'est pas le cas d'une YubiKey, et c'est précisément cette faille qui permet le vol de cryptomonnaies.

Le SMS est le maillon faible.

Recevoir un code par SMS semble pratique, mais c'est la pire option courante. Le code est envoyé à votre numéro de téléphone, et ce dernier peut être volé. Lors d'un échange de carte SIM, un pirate convainc votre opérateur de transférer votre numéro sur sa carte SIM, puis intercepte directement vos codes. Ce n'est pas un cas isolé. Au Royaume-Uni, la fraude par échange de carte SIM a explosé de plus de 1 055 % en 2024. C'est pourquoi la CISA et le FBI refusent de considérer les SMS comme une méthode d'authentification multifacteur (MFA) résistante au phishing. Pour un compte bancaire, faire confiance aux SMS est une erreur, et c'est précisément cette faiblesse qui rend la clé matérielle indispensable pour un détenteur de cryptomonnaies.

Même les applications d'authentification présentent une faille de sécurité en matière de phishing.

Les applications d'authentification représentent une nette amélioration par rapport aux SMS et constituent une authentification à deux facteurs robuste, en complément d'un code texte. Cependant, elles conservent une faille. Il est toujours judicieux d'activer l'authentification multifacteur (MFA) ; Microsoft a constaté qu'elle bloque 99,9 % des attaques automatisées. Néanmoins, le type d'authentification détermine si un humain parvient à pénétrer le système. Le code à six chiffres affiché par une application n'est qu'un simple nombre, et un nombre peut être saisi dans un champ frauduleux. Une page d'hameçonnage moderne vous demande votre code et le transmet au service légitime dans un délai de 30 secondes. Une YubiKey élimine cette faille, car sa signature est liée au domaine légitime et ne peut être réutilisée. Ce n'est pas une simple théorie. C'est pourquoi les 85 000 employés de Google ont cessé d'être victimes d'hameçonnage le jour où les clés matérielles ont remplacé tous les autres moyens d'authentification.

Utiliser une YubiKey pour sécuriser vos cryptomonnaies

Voici l'avantage pour tous les utilisateurs de cryptomonnaies : une YubiKey verrouille précisément les comptes ciblés en priorité par les échanges de carte SIM et les vols de portefeuilles. La plupart des grandes plateformes d'échange prennent désormais en charge une clé de sécurité matérielle pour la protection des comptes, et plusieurs permettent une authentification FIDO2 ou par code d'accès, notamment Coinbase , Binance, Gemini, OKX, Bybit, Crypto.com et KuCoin. Kraken et Bitfinex acceptent une clé matérielle comme deuxième facteur d'authentification. Activer cette option signifie qu'un voleur possédant votre mot de passe et votre numéro de téléphone ne pourra toujours pas accéder à votre compte sans la clé physique.

Ne vous arrêtez pas à votre plateforme d'échange. Le compte le plus important est votre messagerie : c'est le moyen de récupération pour tout le reste. Commencez donc par y installer une clé. Ajoutez-en ensuite une à votre gestionnaire de mots de passe, puis à votre plateforme d'échange et à tout service de portefeuille compatible. L'objectif est simple : supprimer toute connexion dépendant d'un code qu'un escroc peut voler ou intercepter. Cette même clé sécurise ensuite vos autres services en ligne grâce à une simple habitude. De plus, comme cette technologie a été conçue spécifiquement pour contrer les attaques de phishing, elle neutralise l'étape précise sur laquelle repose une arnaque au vidage de portefeuille ou une fausse page d'airdrop. Pour tous ces comptes en ligne, la YubiKey devient le seul identifiant impossible à copier à distance, ce qui bloque discrètement les échanges de carte SIM et les arnaques au vidage de portefeuille.

Modèles de YubiKey et comment les choisir

Le catalogue de Yubico paraît plus intimidant qu'il n'y paraît. Trois questions suffisent pour faire un choix : de quels ports sont équipés vos appareils, souhaitez-vous la technologie NFC pour votre téléphone et un lecteur d'empreintes digitales ?

Pour la plupart des gens, la solution idéale est la YubiKey 5 NFC, aux alentours de 58 $. Elle prend en charge tous les protocoles mentionnés et offre une connectivité USB-A et NFC. Vos appareils sont tous en USB-C ? La YubiKey 5C NFC est la même clé, mais dans un format différent. Vous souhaitez dépenser moins ? La Security Key, à environ 29 $, est plus simple et ne prend en charge que FIDO2 et U2F, ce qui est largement suffisant pour les transactions cryptographiques et les connexions quotidiennes. Vous préférez une empreinte digitale ? La YubiKey Bio Series, aux alentours de 98 $, intègre un capteur biométrique pour une utilisation sans code PIN, et une version FIPS est disponible pour les environnements de travail réglementés. Quel que soit votre choix, achetez-en deux. La seconde vous servira de secours, et vous serez bien content de l'avoir le jour où la première rendra l'âme.

Configuration et utilisation d'une YubiKey

L'installation prend environ dix minutes par compte. Ce dont personne ne parle, c'est la sauvegarde.

Enregistrement de votre clé

Commencez par la page de configuration officielle, choisissez un service et ouvrez ses paramètres d'authentification à deux facteurs ou par clé d'accès. Choisissez ensuite l'une des trois options pour configurer la clé : l'enregistrer comme clé de sécurité, y associer une clé d'accès ou l'ajouter à l'emplacement prévu pour une application d'authentification. Appuyez sur la touche indiquée et le tour est joué. La plupart des utilisateurs finissent par avoir deux clés YubiKey et plusieurs options d'authentification sur chaque compte, ce qui leur permet de continuer à accéder à leurs comptes même en cas de perte d'un appareil. La même clé fonctionne sous Windows, macOS, Linux, Android et iOS, protégeant ainsi votre ordinateur portable et votre téléphone. Configurez d'abord votre messagerie, puis votre gestionnaire de mots de passe, et enfin votre plateforme d'échange. Ces trois services couvrent la majeure partie de vos risques.

Le hic : des sauvegardes et des limites honnêtes

Une YubiKey n'est pas magique, et il est important d'en connaître les inconvénients. Si vous enregistrez une seule clé, que vous la perdez, vous risquez de vous retrouver bloqué. Il est donc essentiel d'enregistrer une clé de rechange ou de conserver vos codes de récupération en lieu sûr. Tous les services ne prennent pas encore en charge les clés matérielles, même si la liste s'allonge chaque année. Il faut également prendre en compte le coût initial, environ 58 $. De plus, le matériel a connu des bugs : une faille de 2017 appelée ROCA et un problème lié à Infineon en 2024, nécessitant tous deux un accès physique et corrigés dans les mises à jour du firmware. Ce ne sont que des détails, pas des obstacles rédhibitoires. Aucun de ces inconvénients ne prime sur l'essentiel : empêcher toute prise de contrôle de compte à distance.

La YubiKey est-elle un bon investissement pour les utilisateurs de cryptomonnaies ?

Pour tout détenteur de cryptomonnaies, la réponse est un oui sans hésitation. Une YubiKey représente un achat unique, environ 58 $ plus une clé de secours, sans abonnement. Comparez cela au risque d'un simple changement de carte SIM ou d'une page de phishing qui vide un compte d'échange, et le calcul est vite fait : la différence est flagrante. Un mot de passe et une application d'authentification renforcent la sécurité ; l'authentification multifacteur (MFA) YubiKey la rend totalement inaccessible aux pirates informatiques. Si vous possédez ne serait-ce que de l'argent sur vos comptes en ligne, c'est l'assurance la plus économique que vous puissiez vous offrir.

Une YubiKey transforme votre doigt en mot de passe

Si l'on fait abstraction des protocoles et des numéros de modèle, une YubiKey excelle dans un domaine : elle fait de l'élément le plus sûr de votre connexion un objet physique que vous tenez en main et que vous touchez. Le phishing peut copier un mot de passe et transmettre un code, mais il est impossible de copier une clé dans votre poche, ni de falsifier le clic de votre doigt. C'est précisément pour cette raison qu'elle fonctionne là où toutes les autres solutions échouent. Installez-en une sur votre messagerie et votre compte Exchange principal cette semaine, et prévoyez une copie de secours. La seule question qui demeure est donc d'ordre pratique : quel compte contenant vos fonds protégez-vous encore avec un code qu'un inconnu pourrait hameçonner dès aujourd'hui ?

Elisabeth McGowan

A freelance writer passionate about celebrities, net worth stories, athletes, and political figures. She transforms facts into engaging narratives. A true cheese lover and cycling enthusiast, she finds inspiration in motion and flavor.