YubiKey 5 : avis et guide d’utilisation

La YubiKey 5 est la clé de sécurité matérielle multi-protocole de Yubico : elle protège des comptes contre le phishing, sans batterie et sans connexion réseau. Mon avis tient en une phrase : c’est un excellent achat si vous utilisez ses fonctions avancées (TOTP, PIV, OpenPGP), et un achat inutilement cher si vous ne voulez que des passkeys.

J’ai rédigé un guide séparé sur les passkeys pour artisan qui couvre la différence entre passkey synchronisé et passkey lié au matériel. Ici, je m’arrête sur la gamme 5 elle-même : les modèles, les prix officiels, les 8 protocoles supportés, le piège du firmware et les limites à connaître avant d’acheter.

Ce texte est documentaire : je m’appuie sur les pages officielles Yubico, le manuel technique et les tests Wirecutter mis à jour le 22 juillet 2026. Je n’ai pas reçu de clé pour essai, et je le dis clairement plutôt que de prétendre le contraire.

Mon avis sur la YubiKey 5 en deux minutes

La gamme 5 Series est présentée par Yubico comme « le choix n° 1 des entreprises ». C’est une allégation commerciale, mais elle reflète une réalité technique : la 5 est la seule gamme grand public qui combine l’authentification web et les protocoles de type carte à puce.

La distinction centrale de mon avis est la suivante. La Security Key, gamme d’entrée à environ moitié prix, ne fait que du FIDO U2F et du FIDO2 (WebAuthn et passkeys). La YubiKey 5 ajoute le TOTP, la carte à puce PIV et OpenPGP. Si vous ne savez pas ce que sont ces protocoles, la réponse la plus honnête est souvent : prenez la moins chère.

Je recommande la 5 à ceux qui veulent remplacer leur application d’authentification par un facteur matériel, se connecter à un poste Windows avec un certificat PIV, ou signer et chiffrer avec OpenPGP. Pour le reste, la Security Key fait le travail à moitié prix, et c’est aussi le choix des testeurs de Wirecutter.

Ce qu’est la YubiKey 5

La YubiKey 5 est une clé de sécurité matérielle fabriquée par Yubico, société cotée au NASDAQ sous le code YUBICO, dont les clés sont « fabriquées en Suède » et revendues dans 160 pays via notamment le revendeur officiel français EISN.

Techniquement, elle assure une authentification résistante au phishing grâce au standard FIDO2/WebAuthn et à la cryptographie à clé publique. Elle n’a ni batterie ni connexion réseau : le secret ne quitte jamais la clé, et rien ne peut être intercepté à distance.

La gamme Yubico se décline en trois familles. La Security Key, réservée à FIDO, la 5 Series, multi-protocole, et la 5 FIPS, certifiée et réservée aux environnements réglementés. C’est cette troisième famille qui porte les certifications les plus strictes, et elle se distingue nettement de la 5 standard que l’on trouve chez les revendeurs.

La gamme 5 Series et les prix officiels

Les prix ci-dessous sont relevés sur la boutique officielle Yubico en euros TTC. Ils sont stables depuis plusieurs années, chaque modèle ayant une plage de commercialisation longue.

La fiche produit de la 5C NFC précise le détail de la TVA : 69,60 € TTC dont 11,60 € de TVA, soit 58 € HT. La livraison est gratuite dans l’Union européenne à partir de 100 € HT, et les retours consommateurs sont acceptés pendant 45 jours. Le GTIN de référence du modèle 5C NFC est 5060408462331.

Le revendeur officiel français EISN affiche les mêmes prix TTC, avec la 5 NFC et la 5C NFC à 69,60 €, et les présente comme ses best-sellers 2026. Il propose aussi les alternatives FIDO-only à 34,80 € en USB-A NFC et 36 € en USB-C NFC.

Connectique et NFC : le choix du modèle

Le choix du modèle dépend d’abord de l’écosystème, et trois pièges de nomenclature reviennent souvent dans les discussions. Les modèles Nano n’ont pas de NFC. La 5 NFC est USB-A uniquement, il n’existe pas de version USB-C de ce modèle. La 5C, elle, n’a pas de NFC : seul le modèle 5C NFC combine USB-C et NFC.

Concrètement, pour un usage mixte PC portable et smartphone, le bon choix est presque toujours la 5C NFC : USB-C pour un MacBook ou une tablette, et NFC pour le tap sur un téléphone Android ou un iPhone.

Pour un PC fixe de bureau, la 5 NFC en USB-A suffit et coûte le même prix. Pour une clé que l’on laisse branchée en permanence sur un portable, les versions Nano sont les plus discrètes, mais elles renoncent au NFC et sont légèrement plus chères. La 5Ci avec Lightning ne se justifie que pour un parc Apple ancien sans USB-C.

Les 8 protocoles : ce qui distingue la 5

Tous les modèles de la série 5 supportent 8 protocoles, listés sur la page officielle « Identifying your YubiKey » : Secure Static Passwords, Yubico OTP, OATH-HOTP, OATH-TOTP, Smart Card (compatible PIV), OpenPGP, FIDO U2F et FIDO2.

La série Security Key, moins chère, ne supporte que FIDO U2F et FIDO2. C’est la différence qui justifie l’écart de prix, et elle change l’usage possible.

Cette différence de protocoles a des conséquences pratiques. La 5 peut remplacer un token TOTP (via l’application Yubico Authenticator), une carte à puce PIV pour le login Windows et les certificats, et un porte-clés OpenPGP pour la signature et le chiffrement. La Security Key ne fait que du WebAuthn et des passkeys.

Wirecutter résume bien la question dans son test : la 5C NFC « vaut son prix si vous utilisez ses fonctions avancées, comme la signature et le chiffrement OpenPGP ». Si vous n’envisagez ni PIV ni OpenPGP, cette phrase dit tout.

Yubico Authenticator : le TOTP hors ligne

Le cas d’usage TOTP est le plus accessible des protocoles avancés. Avec l’application Yubico Authenticator, la YubiKey 5 génère des codes à 6 chiffres sans réseau et sans batterie : la clé est le stockage, l’application ne fait qu’afficher.

C’est un avantage que peu de gens mesurent. Une application d’authentification classique stocke les secrets dans le téléphone, et un téléphone perdu, cassé ou volé emporte les codes avec lui. Avec la YubiKey, le secret reste dans la clé, et la même clé se branche sur un autre appareil pour retrouver ses codes.

Le fonctionnement hors ligne compte aussi : la génération des codes TOTP ne dépend ni d’Internet ni d’un service tiers. C’est un point rassurant quand on travaille sur des chantiers mal couverts, ou quand un compte doit être vérifié depuis un poste qui n’a pas de réseau.

Firmware : le piège que personne ne signale assez

Le point critique de mon avis concerne le firmware. Le firmware d’une YubiKey n’est pas mis à jour par l’utilisateur : seule l’achat d’une clé neuve apporte une version récente. Les testeurs le signalent : le stock d’un revendeur peut contenir des clés en firmware antérieur, et rien ne permet de le mettre à niveau soi-même.

La version 5.7, annoncée en mai 2024 par Yubico, a apporté des changements majeurs de capacité et de sécurité. Le stockage passe à 100 passkeys « device-bound » (contre 25 auparavant), 64 seeds OATH (contre 32), 24 certificats PIV et 2 seeds OTP, soit 190 credentials au total.

La 5.7 ajoute aussi les algorithmes RSA-3072, RSA-4096, Ed25519 et X25519, en cohérence avec le mémorandum du département de la Défense américain d’août 2023. Elle introduit le standard CTAP 2.1 avec Force PIN Change, Minimum PIN Length, Enterprise Attestation, Always Require UV et un stockage de blobs jusqu’à 4096 octets.

Les règles de PIN évoluent également : les PIN Unicode sont acceptés pour PIV et OpenPGP, et le PIN par défaut passe à 4 caractères minimum sur la 5 standard. Enfin, le NFC est désactivé pendant le transport pour limiter la manipulation, et s’active au premier branchement.

Sécurité et certifications

Côté certifications, la série 5 FIPS est certifiée FIPS 140-3 Security Level 2 et Physical Level 3, en firmware 5.7.4, avec le certificat CMVP du NIST #5291, selon le manuel technique Yubico. La page d’identification liste une nouvelle génération FIPS pour la période 2026 à aujourd’hui, les modèles FIPS 140-2 étant passés en « legacy » pour 2021 à 2026.

Toutes les YubiKey en firmware 5.7 et plus sont certifiées FIDO Level 2, un niveau reconnu pour l’usage e-government. C’est un argument si vous travaillez avec des administrations qui exigent des niveaux d’authentification précis.

Un point mérite la prudence : les modèles « YubiKey 5 CSPN » sont listés comme discontinués (2021 à 2024) sur la page d’identification Yubico. La certification française CSPN de l’ANSSI reste à recouper côté ANSSI : je n’ai pas consulté son registre au moment de la rédaction, donc je ne confirme pas le statut actuel [NON VÉRIFIÉ].

Ce que disent les tests de référence

Le test de référence sur le sujet est celui de Wirecutter (NYT), mis à jour le 22 juillet 2026, qui a évalué 13 clés. Son top pick est la Yubico Security Key C NFC à 29 dollars, jugée « abordable et compatible avec presque tous les sites ». Son upgrade pick est la YubiKey 5C NFC à 58 dollars, « impressionnante mais plus que ce que la plupart des gens n’ont besoin ».

Wirecutter a poussé les tests de durabilité loin : lavage en machine, séchage, passage de voiture sur les clés. Les YubiKey survivent à ces épreuves, ce qui valide la conception sans batterie ni pièce fragile.

Deux recommandations de ce test comptent pour l’achat. Achetez 2 clés, une principale et une de secours, car la perte de l’unique clé signifie la perte d’accès. Et rappelez-vous que les clés sont résistantes au phishing, contrairement aux SMS, vulnérables au SIM jacking, et aux codes d’applications récupérables par des attaques ciblées.

Les inconvénients cités par Wirecutter sont les mêmes que je relève : le coût, une acceptation encore partielle des sites, et la nécessité de conserver une application d’authentification en complément pour les services qui ne supportent pas FIDO2. Ce dernier point est important : la clé ne remplace pas tout du jour au lendemain.

Pourquoi un électricien ou un artisan y trouve son compte

Dans mon métier, la question des comptes professionnels est devenue quotidienne. Bureautique, fournisseurs, plateformes de négoce, télésurveillance, accès distants VPN : chaque compte de plus est une porte de plus, et une porte qui n’a qu’un mot de passe est une porte faible. Le phénomène de homejacking montre à quel point les attaquants visent les accès, pas seulement les murs.

Une YubiKey 5 se justifie particulièrement pour les comptes qui pilotent des équipements : le compte de la centrale d’alarme, celui des caméras de surveillance et l’interface des équipements domotiques. Ce sont des accès rarement protégés par une double authentification, alors qu’ils donnent accès au domicile.

Ceux qui pilotent leur maison via Home Assistant ajoutent un compte de plus, souvent le plus central de tous, puisqu’il agrège alarme, éclairage et chauffage. Je conseille dans tous les cas la même hiérarchie que dans mon guide passkeys : commencer par activer la double authentification partout, puis réserver la clé aux comptes critiques.

• Messagerie principale : la porte de toutes les réinitialisations de mot de passe.
• Gestionnaire de mots de passe : protégé, il protège tout le reste.
• Banque professionnelle : le niveau le plus élevé proposé par la banque.
• Compte de télésurveillance et caméras : un accès physique au domicile.
• Accès distants VPN et interfaces domotiques : rarement protégés, très exposés.

Les limites, dites honnêtement

Une clé de sécurité n’est pas une baguette magique, et je préfère poser les limites avant de conclure. Le coût d’abord : deux clés 5 NFC reviennent à environ 140 € TTC, et Wirecutter souligne que le top pick reste la Security Key à 29 dollars pour la majorité des usages.

L’acceptation partielle des sites est la deuxième limite. Tous les services ne supportent pas FIDO2/WebAuthn, et il faut conserver une application d’authentification pour ceux qui exigent encore des codes TOTP ou des SMS. La YubiKey 5 couvre le TOTP, mais il faut l’activer service par service.

La troisième limite est le firmware figé à l’achat. Une clé achetée en firmware 5.6 ne passera jamais en 5.7 ou 5.8 : les nouvelles capacités et algorithmes n’arrivent qu’avec une clé neuve. C’est un coût de renouvellement à intégrer si vous voulez rester sur les versions récentes.

• Coût : deux clés 5 NFC à environ 140 € TTC pour une sauvegarde sérieuse.
• Acceptation : tous les sites ne supportent pas encore FIDO2.
• Firmware : pas de mise à jour possible par l’utilisateur.
• Complément : une application d’authentification reste nécessaire pour certains services.
• Gestion : la perte de la clé exige des codes de récupération ou une seconde clé.

Je n’ai trouvé aucune durée de garantie constructeur dans les pages que j’ai ouvertes : je ne l’annonce donc pas. De même, la compatibilité des services publics français (impots.gouv.fr, FranceConnect, La Poste) avec FIDO2 n’est pas documentée dans mes sources, et je préfère ne rien affirmer sur ce point.

Comment choisir et utiliser sa YubiKey 5

La mise en place suit un ordre simple, et la première étape se fait avant l’achat : le choix du modèle.

Le PIN se définit à la première utilisation et reste exigé pour chaque opération FIDO2. C’est la partie « quelque chose que vous savez » du facteur double, la possession de la clé étant la partie « quelque chose que vous avez ».

Pour les services qui n’acceptent pas FIDO2, la 5 couvre le TOTP via Yubico Authenticator, ce que la Security Key ne fait pas. Si un compte critique n’accepte que des codes à 6 chiffres, c’est un argument direct pour choisir la 5 plutôt que l’entrée de gamme.

Mon avis final

La YubiKey 5 est un produit cohérent, bien documenté, avec des prix stables et une gamme claire. Elle est le bon achat si vous utilisez ses protocoles avancés, et un mauvais achat si vous n’avez besoin que de passkeys : dans ce cas, la Security Key à 34,80 € ou 36 € fait le même travail à moitié prix.

Le point qui guide ma recommandation est le firmware figé. Je conseille d’acheter une clé en version récente (5.7 au minimum, 5.8 si possible), de vérifier la version annoncée au moment de l’achat, et de prévoir le renouvellement comme un coût d’usage, pas comme un achat à vie.

La règle des 2 clés n’est pas du marketing : c’est la contrepartie de la sécurité. Une seule clé perdue, c’est l’accès perdu. Deux clés séparées, c’est la récupération sans drame.