YubiKey et passkeys pour un artisan : guide concret

Pour un artisan, la première question n’est pas « quelle YubiKey acheter » mais « quels comptes méritent un passkey lié au matériel ». Un passkey est une technologie d’authentification ; la YubiKey est l’un des supports possibles, le seul qui soit réellement non copiable. Je détaille ici la différence, les prix des deux niveaux de protection et la mise en place sur des comptes professionnels.

La confusion entre les deux termes est normale : le mot « passkey » a été popularisé par Apple en 2021, et les clés Yubico existent depuis bien plus longtemps. Ce guide pose d’abord la base technique, puis la décision d’achat, puis l’ordre de mise en place que je recommande à un artisan.

Ce qu’est un passkey, en deux minutes

Un passkey est un credential d’authentification basé sur les standards FIDO2/WebAuthn, lié au compte d’un utilisateur sur un site ou une application. L’utilisateur s’authentifie par le même geste qu’il utilise pour déverrouiller son appareil : biométrie, PIN ou schéma. C’est la définition que donne la FIDO Alliance sur sa page dédiée aux passkeys.

Le terme désigne précisément les credentials WebAuthn dits discoverable (anciennement « resident keys »), ceux qui permettent une expérience 100 % sans mot de passe. Le mot « passkey » a été popularisé par Apple à la WWDC 2021 avec sa fonction « Passkeys in iCloud Keychain », puis repris par l’ensemble de l’industrie.

La mécanique cryptographique mérite d’être comprise parce qu’elle explique tout le reste. Lors de l’enregistrement, la clé ou l’appareil génère une paire de clés ; la clé privée est générée dans l’élément sécurisé et ne quitte jamais le dispositif. L’authentification consiste à signer un challenge envoyé par le site, que la documentation Yubico appelle le « relying party ». Aucun secret partagé n’est transmis, aucune clé privée ne circule sur le réseau.

C’est cette conception qui rend le passkey résistant au phishing. Le credential est lié au domaine (le relying party ID) : si le navigateur se connecte à un site imposteur, la clé ne signe rien pour ce domaine. Un mot de passe volé se retape n’importe où ; un passkey ne fonctionne que sur le domaine exact pour lequel il a été créé.

Enfin, un passkey combine deux facteurs : « quelque chose que vous avez » (le passkey lui-même) et « quelque chose que vous savez ou êtes » (PIN ou biométrie). Il peut donc remplacer à la fois le mot de passe et le second facteur (SMS, notification push, code TOTP). C’est le point qui change la donne pour un compte professionnel.

Deux familles de passkeys, et c’est là que tout se joue

Tous les passkeys ne sont pas égaux. La terminologie officielle de Yubico distingue deux familles : les passkeys « copyable » ou synchronisés et les passkeys « device-bound » ou liés au matériel.

La première famille stocke les passkeys dans le compte cloud du fournisseur de l’appareil : Apple, Google et Microsoft ont ajouté le support des passkeys à partir de début 2023, synchronisés via leurs comptes cloud. Les gestionnaires de mots de passe ont suivi. La copie automatique est un confort, mais c’est aussi le mécanisme de récupération : perdre son téléphone ne fait pas perdre les passkeys, un autre appareil connecté au même compte les retrouve.

La seconde famille garde les passkeys dans le matériel. Les passkeys d’une YubiKey ne sont pas copiables, et la gamme 5 Series sait en stocker 100 au maximum, support présent depuis la sortie de la série mi-2018. La contrepartie est directe : sans la clé, pas d’accès. La récupération passe par une deuxième clé de secours ou par les codes de récupération conservés pour chaque compte. Cette règle des deux clés n’est pas un argument commercial : c’est la conséquence logique de la non-copiabilité.

Ce que la YubiKey apporte en plus

La gamme YubiKey 5 Series est « multi-protocol » : elle réunit FIDO2/WebAuthn (passkey lié au matériel), FIDO U2F, Yubico OTP, OATH-TOTP, OATH-HOTP, Smart Card (PIV) et OpenPGP. C’est ce qui la distingue de l’entrée de gamme, la Security Key, réservée à FIDO2/WebAuthn et U2F.

La YubiKey 5 NFC est vendue 69,60 € TTC sur la boutique officielle Yubico France, dont 11,60 € de TVA, avec un firmware 5.8, en USB-A plus NFC, fabriquée en Suède. La version 5C NFC passe en USB-C au même prix. Le revendeur officiel français affiche les mêmes tarifs pour les deux modèles.

Le choix USB-A ou USB-C se fait sur le parc d’appareils : un PC fixe s’enfiche en USB-A, un MacBook ou une tablette en USB-C. La puce NFC sert au smartphone, par tap. Le fabricant annonce une compatibilité avec les comptes Google et Microsoft, les gestionnaires de mots de passe et « des centaines » d’autres services, sur Windows, macOS, ChromeOS et Linux.

Le troisième apport est l’attestation matérielle : lors de l’enregistrement, la clé peut attester de son fabricant et de ses certifications. C’est le seul élément du tableau que les passkeys synchronisés ne peuvent pas fournir, puisqu’ils vivent dans un compte cloud. Le revendeur officiel avance une réduction de 92 % des incidents liés aux mots de passe avec une YubiKey : je le cite comme allégation du revendeur, pas comme un fait établi.

Enfin, la YubiKey exige un PIN pour les opérations FIDO2 : la clé refuse de signer sans ce code, défini à la première utilisation. C’est la partie « quelque chose que vous savez » du passkey.

Pour un artisan, quels comptes protéger en premier

Un artisan ne gère pas vingt comptes personnels, il gère des comptes professionnels dont la compromission bloque l’activité : messagerie principale, gestionnaire de mots de passe, banque pro, fournisseurs, assurances et plateformes administratives. Si vous êtes auto-entrepreneur, une partie des démarches passe par des comptes en ligne dont le mot de passe est le seul verrou.

La logique de priorisation tient en trois niveaux. La messagerie principale est la clé de voûte : c’est par elle que passent les réinitialisations de mot de passe de tous les autres services. Le gestionnaire de mots de passe concentre toutes les clés du métier. La banque pro concentre les flux d’argent. Ces trois comptes méritent le niveau le plus élevé, c’est-à-dire la YubiKey.

• Messagerie principale : le point d’entrée de toutes les réinitialisations.
• Gestionnaire de mots de passe : protégé par la YubiKey, il protège tout le reste.
• Banque pro et comptes de paiement : le niveau le plus élevé disponible.
• Plateformes administratives et fiscales : double authentification activée si proposée.
• Fournisseurs et négoce en ligne : passkeys synchronisés ou TOTP, selon ce que le site accepte.

Le risque n’est pas théorique. Les mots de passe sont responsables de 80 % des brèches selon la FIDO Alliance, et 77 % des brèches liées au hacking impliquent des credentials volés selon Verizon, cité par la même source. Derrière ces chiffres se cache le piratage à distance de comptes, souvent sans aucune intrusion physique.

La mise en place pas à pas

L’ordre compte plus que le matériel. J’installe la protection par paliers, en commençant par ce qui ne coûte rien.

Le PIN de la YubiKey se définit au premier usage et reste exigé pour chaque opération FIDO2. Sans PIN, la clé ne signe rien : c’est la moitié « savoir » du facteur double, l’autre moitié étant la possession physique de la clé.

La récupération se prépare au même moment que l’enregistrement. Deux clés, une principale et une de secours, s’enregistrent sur les mêmes comptes critiques, et les codes de récupération se conservent pour chaque compte, hors de la boîte mail principale. Je range les deux clés à des endroits différents : la logique de la non-copiabilité veut qu’une seule pièce ne contienne pas les deux exemplaires.

Le remplacement des SMS se fait au fil des services, sans calendrier contraint. Certains sites n’acceptent encore que le TOTP : la YubiKey 5 le couvre via Yubico Authenticator, la Security Key ne le couvre pas. Si un compte critique n’accepte que le TOTP, c’est un argument pour choisir la 5 plutôt que la Security Key.

Ce que dit le cadre officiel français

La recommandation de la CNIL, publiée le 14 octobre 2022, tranche le débat sur le mot de passe seul : il constitue « un niveau de sécurité faible bien que généralement acceptable », et « l’authentification à double facteur ou les certificats électroniques offrent davantage de sécurité ». La CNIL recommande la double authentification Recommandation CNIL — Mots de passe : recommandations pour maîtriser sa sécurité sur les comptes sensibles, et sa recommandation est complétée par le guide de l’ANSSI sur l’authentification multifacteur et les mots de passe.

Les chiffres publiés par la CNIL justifient le niveau d’attention. 81 % des violations de données mondiales sont liées aux mots de passe (étude Verizon 2021), et environ 60 % des notifications reçues par la CNIL en 2021 concernaient du piratage. La CNIL rappelle aussi que l’ANSSI a adopté en 2021 une nouvelle position sur le renouvellement périodique des mots de passe.

Cette position change une habitude ancienne : le renouvellement périodique des mots de passe est abandonné pour les comptes standards, et maintenu pour les comptes à privilèges de type administrateur. À la place, la CNIL met en avant la notion d’entropie : un niveau minimal générique de 80 bits sans mesure complémentaire, plutôt qu’une longueur brute de caractères.

La même logique de facteurs multiples protège aujourd’hui les actifs numériques les plus visés : les mécanismes décrits dans mon guide sur les protections contre le homejacking crypto reposent sur les mêmes principes de credential lié à un appareil et de clé privée jamais partagée.

Les limites à connaître avant d’acheter

La non-copiabilité a un prix, et je préfère le dire avant l’achat. Perdre l’unique YubiKey, c’est perdre l’accès aux passkeys qu’elle contient : aucune copie ne dort dans un cloud. C’est exactement l’inverse du réflexe habituel, où la sauvegarde est automatique. La règle des deux clés n’est pas une option, c’est la condition d’usage.

Avec un iPhone, le tap NFC ne suffit pas toujours : le dialogue passe par une application type Yubico Authenticator. Les détails précis d’utilisation varient selon les versions, et je préfère les vérifier avant de promettre un fonctionnement sans configuration.

Certains services restent en TOTP seul : la YubiKey 5 le prend en charge via Yubico Authenticator, la Security Key non. Vérifiez les comptes que vous jugez critiques avant de choisir le modèle d’entrée de gamme.

Enfin, la gamme 5 Series plafonne à 100 passkeys. C’est large pour un artisan, mais si vous enregistrez la clé sur des dizaines de services, le plafond se rapproche plus vite qu’on ne le croit.

Le parallèle avec la serrure physique aide à décider : la YubiKey est un double de clé que l’on ne peut pas copier, au prix d’une gestion manuelle du backup. C’est la même logique que celle que j’explique quand il s’agit de sécuriser sa maison contre les cambriolages : le niveau de protection se choisit selon ce qu’il y a à perdre, pas selon le catalogue.

Pour les comptes secondaires, les passkeys synchronisés suffisent. Quand j’installe de la domotique chez un client, chaque équipement ouvre un compte cloud avec un mot de passe : c’est exactement le type de compte que les passkeys synchronisés protègent bien, sans matériel supplémentaire. Les alarmes connectées fonctionnent de la même manière, avec une application et un compte client dont le vol d’identifiants ouvrirait la porte du domicile.

Les erreurs que je vois le plus souvent

La première, c’est le mot de passe réutilisé entre comptes professionnels et comptes personnels : une seule fuite chez un service secondaire suffit à ouvrir tout le reste, parce que l’identifiant et le mot de passe sont identiques partout.

La deuxième, c’est la conservation des codes de récupération dans la messagerie principale. Compromettre la boîte mail, c’est compromettre les codes qui devaient servir de filet de secours. Les codes se rangent hors ligne, ou dans un support distinct.

La troisième, c’est la clé unique, sans secours ni codes. La perte ou la casse d’une seule clé se transforme en perte d’accès définitive, exactement ce que la deuxième clé et les codes de récupération évitent.

La quatrième, c’est le SMS conservé comme seul second facteur sur les comptes critiques alors que le service propose déjà des passkeys. Le passkey est plus simple à l’usage et il se gère sur le même geste que le déverrouillage de l’appareil.

La cinquième, c’est d’acheter la clé avant d’activer la double authentification partout. Le matériel ne protège que les comptes où il est enregistré : sans le premier palier, la clé reste un porte-clés coûteux.

• Mot de passe réutilisé entre comptes pro et comptes perso.
• Codes de récupération rangés dans la messagerie principale.
• Clé unique sans deuxième exemplaire ni codes de secours.
• SMS conservé comme seul second facteur sur les comptes critiques.
• Clé achetée avant l’activation de la double authentification partout.

Quel budget pour démarrer

Une sécurité « suffisante » démarre à 35 €. La Security Key NFC à 34,80 € couvre le besoin « passkey pur » : FIDO2/WebAuthn et U2F, rien d’autre. C’est le bon choix si tous vos comptes critiques acceptent les passkeys et que vous n’avez pas besoin de TOTP sur la clé.

La YubiKey 5 NFC à 69,60 € ajoute le TOTP, le PIV et OpenPGP : c’est le choix si un service critique reste en TOTP, ou si vous voulez un seul support pour plusieurs usages. Comptez deux clés pour la sécurité : 69,60 € en Security Key, 139,20 € en 5 NFC, plus les frais de port éventuels.

Le coût se compare à celui d’un dépannage : une compromission de boîte mail pro coûte plus cher en heures perdues que le prix de deux clés. C’est le même calcul que pour un outillage : le matériel de sécurité se paie avant l’incident, pas après. Et quand on commande de l’outillage en ligne, le compte marchand mérite au minimum un passkey synchronisé, car ces sites sont des cibles de masse pour le vol d’identifiants.

FAQ