La clé est sur ton porte-clés, entre celle de la boîte aux lettres et celle du garage. Tu la glisses dans le port USB, tu tapes un code à quatre chiffres, tu poses le doigt sur le disque métallique. Le site s'ouvre. La clé privée qui vient de signer n'a jamais quitté la puce, et aucune commande du protocole ne permet de l'en faire sortir.
On demande d'habitude laquelle est la plus sûre, de la clé physique ou de la clé d'accès synchronisée. Ce n'est pas là que ça mord. Les deux refusent le mauvais domaine, et ce qui les sépare tient dans une seule propriété : la clé physique ne sort pas de son objet. C'est ce qui fait sa valeur, et c'est exactement ce qui rend sa perte définitive.
D'où ça vient
Yubico est fondée à Stockholm en 2007. La première YubiKey sort en 2008, présentée sur le podcast Security Now : branchée en USB, elle se fait passer pour un clavier et tape un code à usage unique. Rien de cryptographique côté site, juste un secret partagé qu'aucun humain n'a besoin de retenir.
En 2012, Yubico et Google signent un contrat pour concevoir ensemble U2F. La FIDO Alliance publie les spécifications finales le 9 décembre 2014. U2F apporte la couche qui manquait au code à usage unique : une paire de clés par site, une signature au lieu d'un code recopiable, la vérification du domaine par l'objet lui-même.
Début 2017, Google impose la clé physique à tous ses employés, à la place des mots de passe et des codes à usage unique. En juillet 2018, un porte-parole déclare à Krebs on Security : « We have had no reported or confirmed account takeovers since implementing security keys at Google. » Plus de 85 000 personnes, aucun compte pris. Le même mois, Google annonce sa propre clé, Titan, à la conférence Cloud Next.
FIDO2 franchit le dernier pas, en associant WebAuthn côté navigateur à CTAP2 côté objet. La clé ne se contente plus d'arriver derrière un mot de passe, elle porte la connexion entière. C'est ce qui permet de retirer le mot de passe du compte.
Le problème que ça résout
La clé privée ne sort jamais. Elle est générée dans la puce et le protocole n'expose aucune commande pour l'exporter. Aucun réglage ne desserre cette contrainte, elle est dans le silicium. Le NIST SP 800-63B-4 appelle ça une clé non exportable et en fait la condition d'AAL3, son palier le plus élevé : un authentificateur cryptographique résistant à l'hameçonnage, dont la clé privée ne peut pas quitter son environnement matériel isolé.
La présence physique est exigée à chaque opération. Il faut toucher le disque, ou poser le doigt sur le lecteur d'empreinte des modèles qui en ont un. Un programme ne pose pas le doigt à ta place. C'est la différence pratique avec une clé synchronisée : les travaux publiés par Unit 42 le 3 août 2026 montrent qu'un logiciel installé sur un poste Windows peut obtenir une signature de Google Password Manager sans consentement ni biométrie. Sur une clé physique, la signature attend un geste humain.
Elle fonctionne sans réseau ni compte tiers. Pas de trousseau à suspendre, pas de plateforme qui décide un matin que ton compte est en infraction. La clé signe, le site vérifie, personne d'autre n'est dans la boucle.
Et comme toute clé d'accès, elle refuse de répondre sur un domaine autre que celui de l'inscription. La fausse page de connexion reste muette, la page relais n'a rien à relayer, le faux conseiller au téléphone n'a aucun code à se faire dicter.
Les problèmes que ça ajoute
Tout ça, une clé physique le tient, et c'est déjà beaucoup. Le prix se lit dans la colonne d'en face.
Ce qui ne sort pas ne se sauvegarde pas. Il n'existe aucune façon de copier une clé physique. Perdue, cassée, passée à la machine à laver ou bloquée, elle est irrécupérable, et les comptes qui ne connaissaient qu'elle le deviennent aussi. C'est la contrepartie exacte de la propriété qui fait sa valeur.
Huit codes PIN faux consécutifs bloquent l'application FIDO2. Sur une YubiKey, trois erreurs d'affilée obligent déjà à retirer puis réinsérer la clé. Au huitième échec, l'application est bloquée, et la seule sortie est une réinitialisation qui efface toutes les clés d'accès et toutes les empreintes enregistrées sur l'objet. La limite de huit vient de la spécification CTAP2 et ne se règle pas. Une saisie correcte remet le compteur à zéro.
Le coût. Quelques dizaines d'euros par clé selon le modèle et les connecteurs, et la règle en demande deux. Le simulateur chiffre l'effort à 6 unités pour une clé, 10 pour deux, contre 1 pour une clé d'accès synchronisée et 2 pour un code temporaire en application.
La friction sur quarante comptes. Chaque enrôlement est manuel, et il se fait deux fois, une par clé. Beaucoup de services n'acceptent toujours pas de clé physique, ou n'en acceptent qu'une seule, ce qui casse la règle des deux clés avant même de commencer.
Un proche qui a vu le code PIN. La clé exige un code ou une empreinte, ce qui la protège bien d'un voleur anonyme. Elle protège beaucoup moins de quelqu'un qui vit avec toi, qui sait où elle est rangée et qui t'a regardé taper. Le simulateur compte la clé physique volée à 0 pour l'opportuniste, 0,02 pour le ciblé, 0,06 pour le proche.
Elle ne protège que ce qu'elle garde. Un compte qui accepte encore la réinitialisation par email, les questions secrètes ou un appel au support garde ces chemins ouverts, et l'attaquant prend le moins cher. Le simulateur nomme ce défaut de structure : une porte de service plus faible que l'entrée principale annule l'effort mis sur l'entrée principale. Voir les portes de service.
Les niveaux
Pourquoi deux clés, plutôt qu'une seule bien rangée ? Parce qu'une clé ne se copie pas, et qu'un objet unique finit un jour par manquer. Le nombre de clés est la variable qui compte vraiment.
Une clé. Un point de panne unique, que tu as payé. La résistance est excellente et la récupérabilité s'effondre : dans le scénario « je perds ma clé », sans aucun filet, le compte est perdu. Le simulateur donne 0 à ce scénario et le pondère à 1 dans la récupérabilité, à côté du téléphone perdu qui pèse 3.
Deux clés. La règle. A reste sur toi, B dort ailleurs, les deux sont enrôlées sur chaque compte le même jour. Le même scénario passe de « compte perdu » à « tu rentres ». L'effort monte de 6 à 10, et c'est le meilleur rapport de toute la liste : quatre unités achètent la différence entre récupérable et définitif.
Trois clés. Pour le confort : une au bureau, une à la maison, une hors site. Le gain de résistance est nul. Le gain est de ne pas traverser la ville un dimanche pour aller chercher la clé de secours.
Le profil « durci » du simulateur (alias par service, aucun mot de passe, deux clés physiques, aucune récupération ouverte, codes papier hors site, trois appareils chiffrés) obtient 99 de résistance et 95 de récupérabilité, pour 27 unités d'effort. Le profil « prudent », qui s'arrête à la clé d'accès synchronisée et garde ses codes papier chez lui, obtient 83 de résistance mais 40 de récupérabilité : tout dort au même endroit, et rien n'est transmissible.