La plupart des clés de sécurité sont livrées sans code PIN, et les sites web le demandent rarement

Une clé de sécurité accrochée à votre trousseau de clés semble offrir une sécurité maximale. Un dispositif matériel que personne ne peut voler à distance. L’agence américaine de cybersécurité CISA qualifie la connexion résistante au phishing de « référence absolue » dans sa fiche d’information d’octobre 2022 et désigne FIDO et WebAuthn comme « les seules méthodes d’authentification résistantes au phishing largement disponibles ».

Ce que peu de gens savent : sur bon nombre de ces clés, un simple effleurement suffit dès la sortie de l’emballage. Pas de code PIN, pas d’empreinte digitale, rien. Quiconque détient l’objet est, aux yeux du service qui le gère, le propriétaire légitime.

Il ne s’agit ni d’une omission ni d’un problème lié à un produit bon marché ; cela figure dans les manuels. Yubico le précise dans son manuel technique sous forme de note en marge : « Par défaut, aucun code PIN n’est défini. » Et un paragraphe plus loin : les identifiants stockés « peuvent être laissés déverrouillés et utilisés pour une authentification forte à un seul facteur ».

Un seul facteur, en d’autres termes. Exactement ce que les clés d’accès étaient censées remplacer.

Appuyez ou prouvez-le, voilà toute la différence

La norme FIDO2 comporte deux niveaux, qui portent tous deux le même label de certification. La « présence de l’utilisateur » signifie uniquement qu’un être humain était présent et a touché la clé. La clé ne vérifie pas qui l’a touchée. La « vérification de l’utilisateur » signifie que cet être humain a prouvé son identité, par code PIN ou empreinte digitale.

C’est le premier niveau qui est le plus superficiel, comme le documentent tous les fabricants, y compris Nitrokey. Le guide Nitrokey FIDO2 précise : « La première opération FIDO est automatiquement acceptée dans les deux secondes suivant la connexion de la Nitrokey FIDO2. » Le simple fait de la brancher vaut preuve de présence. La même page ajoute que les opérations de configuration et de réinitialisation ne sont pas acceptées de cette manière. Le guide du Nitrokey Passkey reprend la même phrase sans cette restriction, et pour le Nitrokey 3, le fabricant ne documente pas du tout ce comportement.

Sur les modèles BioPass K26, K27 et K45 de Feitian, la LED vous met la puce à l’oreille : un clignotement vert lent signifie « appuyez », tandis qu’un clignotement rapide signifie « placez votre doigt ». Un seul appareil, deux niveaux de sécurité, distingués par la fréquence de clignotement.

C'est généralement le site web qui détermine votre code PIN

Deuxième point délicat : même si un code PIN est défini, cela ne signifie pas qu’il vous sera demandé.

Token2 l’explique plus clairement que n’importe quel autre éditeur : « La décision d’authentifier ou non à l’aide d’une clé de sécurité avec ou sans code PIN revient à chaque site web ou service d’authentification. » Lors de la connexion, le service définit un paramètre appelé « userVerification », qui peut prendre trois valeurs. Avec la valeur « discouraged », aucun code PIN n’est demandé. Avec la valeur « preferred » (cas par défaut), il ne le demande que si un code PIN a été défini. Seule la valeur « required » rend le code PIN obligatoire, et le service vous oblige alors à en définir un lors de l’inscription.

Pour vous, cela signifie que si aucun code PIN n’est défini, même la valeur « preferred » ne vous le demandera pas. Et même si vous disposez d’un code PIN, le service ne vous le demandera pas s’il envoie la valeur « discouraged ». Il existe un moyen de contourner cela, nous y reviendrons dans un instant.

Ce qui frappe, c’est la taille réduite du groupe des produits qui exigent un code PIN dès la sortie de l’emballage : la gamme Enhanced PIN de Yubico et le PIN+ de Token2 équipé du micrologiciel R3.3. Tous les autres sont livrés sans. La deuxième partie du tableau montre ce qui se passe lorsque le code PIN ne convient finalement pas.

Comment reconnaître un produit de qualité lors de l’achat

Les chiffres du tableau ne donnent aucune indication sur la qualité de fabrication d’une clé. C’est à cela que servent les niveaux de certification de la FIDO Alliance, qui figurent dans la fiche technique de chaque fabricant. Il en existe cinq : L1, L1+, L2, L3 et L3+.

Le niveau L1 constitue le seuil minimal de protection contre le phishing et les violations de sécurité chez le fournisseur de services. Il peut s’agir d’un logiciel pur et est vérifié au moyen d’un questionnaire. Le niveau L2 exige en outre un environnement d’exécution cloisonné au niveau matériel, afin qu’un système d’exploitation compromis ne puisse pas accéder aux clés. À partir du niveau L3, l’appareil doit également résister aux altérations physiques, et le niveau L3+ étend cette protection au niveau de la puce. À partir du niveau L2, un laboratoire accrédité procède à des tests, comprenant notamment l’accès au code source et des tests d’intrusion.

Pour la plupart des particuliers, le niveau L2 constitue le seuil minimal raisonnable. Token2 le met en avant pour la série PIN+, mais sur le modèle biométrique Bio3, la certification ne couvre que le micrologiciel. La certification du module d’empreintes digitales est toujours en cours, précise le fabricant.

Le paramètre qui prend le pas sur le site web

Il existe une solution, appelée « alwaysUV », abréviation de « always require user verification » (exiger systématiquement la vérification par l’utilisateur). Lorsqu’elle est activée, la clé exige un code PIN, quelle que soit la demande du service. Token2 décrit cet effet ainsi : « Ce paramètre impose la demande d’un code PIN dans tous les cas, que le RP (fournisseur de services) le demande ou non. » Elle s’applique donc également lorsqu’un service envoie une demande non recommandée.

Accéder à ce commutateur est une autre affaire. Token2 le fournit activé à partir de la version R3.3 du micrologiciel. Au 5 août 2026, le modèle PIN+ Bio3 fonctionnait encore sous la version R3.2 et, selon le fabricant, il ne passera jamais à la version R3.3, mais passera directement à la version R3.4, où la fonction « alwaysUV » est également activée par défaut. Yubico l’active sur la gamme Enhanced PIN et la série Bio. Sur une YubiKey 5 standard, vous devez l’activer vous-même, et cette fonctionnalité n’est documentée que pour l’outil en ligne de commande ykman. Concernant OnlyKey, Feitian et Google, la fonction « alwaysUV » n’apparaît absolument pas dans la documentation que nous avons consultée, et pour Nitrokey, elle n’est mentionnée que dans une version candidate datant de juin 2026, et non dans la documentation destinée aux utilisateurs.

Il subsiste toutefois un bémol. Token2 a signalé que la combinaison de la fonction « alwaysUV » et de l’option « discouraged » provoquait des blocages sur les anciennes versions de Windows, l’écran basculant sans cesse entre les messages « Touchez votre clé de sécurité » et « Saisissez votre code PIN ». D’après son tableau de tests, Windows 10 22H2 et les premières versions de Windows 11 étaient concernées. À partir de Windows 11 23H3, Token2 indique que le problème a été résolu.

Un cas particulier illustre à quel point il est facile de se tromper. OnlyKey vante la saisie du code PIN sur l’appareil plutôt que sur l’ordinateur. Si cela vaut pour le code PIN de l’appareil, ce n’est pas le cas pour le code PIN FIDO2 : celui-ci est « saisi via le clavier », précise OnlyKey dans sa propre documentation d’utilisation. Il s’effectue donc sur le clavier de l’ordinateur, comme partout ailleurs. Au moins, les deux codes PIN sont en série : un OnlyKey verrouillé n’effectue aucune opération FIDO2. Plus frappant encore : la dernière version du micrologiciel d’OnlyKey date de décembre 2022, tandis que Yubico a commercialisé la version 5.8 en juillet 2026.

Huit tentatives infructueuses d’affilée, et vous perdez l’accès à votre compte

Le code PIN a un coût, et presque personne n’en parle. Yubico, Token2 et Nitrokey indiquent tous un seuil de huit tentatives infructueuses. La norme FIDO CTAP fixe ce seuil à huit, mais depuis la version CTAP 2.1, les fabricants peuvent autoriser un nombre inférieur. Yubico ajoute que la clé doit être débranchée puis réinsérée après trois saisies erronées. Important : il s’agit bien de huit saisies erronées consécutives ; une seule saisie correcte remet le compteur à zéro. Toute personne ayant véritablement oublié son code PIN dispose exactement de ces huit tentatives.

Après cela, « la fin » a des conséquences plus lourdes que ce à quoi la plupart s’attendent. Yubico précise : « La réinitialisation de la clé supprimera le code PIN, mais détruira également toutes les informations d’identification U2F et FIDO2 stockées sur la YubiKey, qu’elles soient détectables ou non. » Chaque service auprès duquel la clé a été enregistrée devra être reconfiguré. Nitrokey et Token2 décrivent le même principe.

Un bon code PIN dont vous pouvez réellement vous souvenir est donc plus important qu’un code extrêmement compliqué. Token2 impose des règles que la norme n’exige pas : au moins six chiffres sur les modèles PIN+, huit sur le micrologiciel Octo, ou dix caractères alphanumériques. Pas de séquences ascendantes ou descendantes, pas de palindromes, pas plus de trois chiffres identiques.

En ce qui concerne les capteurs d’empreintes digitales, les fabricants divergent considérablement. Yubico et Token2 reviennent au code PIN après trois échecs. Feitian indique quinze échecs pour les modèles K26, K27 et K45, après quoi la clé est verrouillée et, selon le manuel, seule une réinitialisation d’usine entraînant une perte de données permet de la débloquer. Pour les modèles plus récents K49 et K50, référencés par Feitian sous le nom de BioPass FIDO2 Plus, ce chiffre n’est pas indiqué. La YubiKey Bio est particulièrement capricieuse : avec une connexion U2F standard, il n’y a pas de code PIN de secours, et après trois échecs, la clé passe directement à l’état « biométrie bloquée ». Yubico lui-même, dans une note destinée aux développeurs, qualifie la série Bio de mauvais choix pour ce type d’outils de connexion.

Ce que vous devez faire maintenant

Définissez un code PIN. Cette étape permet de passer d’une authentification à un facteur à une authentification à deux facteurs. Sur Yubico, dans l’application Yubico Authenticator ; sur la Nitrokey 3, via l’application Nitrokey App 2 ou nitropy ; sur l’ancienne Nitrokey FIDO2, directement dans le navigateur lors de la première inscription, car l’application ne prend pas en charge ce modèle. Sur Token2, via l’outil interne.

Vérifiez si la fonction « alwaysUV » est disponible. Sur Yubico via les commandes « ykman fido info » et « ykman fido config toggle-always-uv », sur Token2, cette fonction est déjà active à partir de la version R3.3. Pour les autres fabricants, il est conseillé de contacter le service d’assistance, car la documentation ne fournit aucune indication à ce sujet.

Enregistrez une deuxième clé. Huit saisies erronées d’affilée et tous vos enregistrements sont perdus. Une deuxième clé dans votre tiroir est la seule garantie.

Ne vous fiez pas aux chiffres fournis par un seul fabricant. Le manuel technique de Yubico indique 25 clés d’accès pour la série 5 à un endroit et 100 dans la matrice des capacités. Token2 mentionne la certification de la puce sur une seule et même page à la fois comme EAL5+ et comme EAL6+. Vérifiez sur votre propre appareil.

Surveillez le micrologiciel et la certification. Sur Token2 et Yubico, le micrologiciel des modèles certifiés ne peut pas être mis à jour, et cela est délibéré. Ce que l’appareil est capable de faire au moment de l’achat, il le fera pour toujours. Le micrologiciel 5.8 de Yubico, datant de juillet 2026, permet de renforcer la sécurité de la réinitialisation, par exemple en la bloquant via NFC ou en exigeant un contact de cinq secondes. Il s’agit toutefois d’options d’usine définies lors de la programmation. Sur une clé achetée dans le commerce, ces options sont désactivées.