YubiKey est actuellement le moyen le plus puissant pour contrer les attaques de phishing, offrant un niveau de sécurité supérieur au TOTP de Google Authenticator. Cela est dû au protocole FIDO2 / WebAuthn sur lequel elle repose : la signature est liée au domaine. Même si vous saisissez par erreur vos identifiants sur binance-login.com (un faux domaine), le navigateur refusera de libérer la signature. Binance prend en charge YubiKey dans son Centre de sécurité comme méthode complémentaire de 2FA. Avant la configuration, connectez-vous sur le Site officiel de Binance. Sur mobile, vous pouvez utiliser la version NFC après avoir installé l' App officielle Binance. Cet article traite de la sélection, du déballage, de l'enregistrement FIDO2, de la liaison NFC, de la connexion Passkey, de la redondance, des procédures d'urgence et des questions fréquentes.
I. Sélection de votre YubiKey
Comparaison des principales clés de sécurité matérielles
| Modèle | Prix | Protocoles | Interface | NFC | Recommandation |
|---|---|---|---|---|---|
| YubiKey 5C NFC | 55 $ | FIDO2/U2F/OTP/OpenPGP/PIV | USB-C | ✅ | ⭐ Choix principal |
| YubiKey 5 NFC | 50 $ | Identique | USB-A | ✅ | Pour PC avec USB-A |
| YubiKey 5Ci | 75 $ | Identique | USB-C + Lightning | ❌ | iPhone filaire |
| YubiKey Bio (FIDO) | 85 $ | FIDO2/U2F (avec empreinte) | USB-C | ❌ | Expérience sans mot de passe |
| YubiKey 5 Nano | 55 $ | Identique au 5C | USB-A (ultra petite) | ❌ | Pour laisser sur PC |
| Google Titan Security Key | 30 $ | FIDO2/U2F | USB-C/Bluetooth | ✅ (ver. BT) | Pour petit budget |
| SoloKey v2 | 55 $ | FIDO2/U2F | USB-C | ❌ | Amateurs d'Open Source |
| Token2 Molto-1 | 50 $ | FIDO2/U2F | USB-C | ✅ | Utilisateurs européens |
Combinaison recommandée : Une YubiKey 5C NFC (usage quotidien) + une YubiKey 5 NFC (secours, dans un coffre-fort). Avoir deux clés évite une défaillance unique.
Pourquoi est-ce plus fort que le TOTP ?
| Dimension | TOTP (Authenticator) | FIDO2 (YubiKey) |
|---|---|---|
| Anti-phishing | ❌ (Un faux site peut vous faire saisir le code à 6 chiffres) | ✅ (Navigateur lié au vrai domaine) |
| Utilisable hors ligne | ✅ | ✅ |
| Dépendance appareil | Téléphone | Clé matérielle |
| Difficulté de sauvegarde | Copier la clé de 16 caractères | Acheter une deuxième clé matérielle |
| Coût du vol | Moyen (vol du tel + déverrouillage) | Très élevé (possession physique + code PIN) |
| Impact du SIM Swap | Aucun | Aucun |
II. Déballage et vérification
Les emballages achetés sur le site officiel de Yubico comportent des scellés de sécurité. À la réception :
- Vérifiez l'intégrité de l'emballage extérieur.
- Insérez la clé dans le port USB de l'ordinateur → un voyant vert fixe pendant 5 secondes doit apparaître.
- Allez sur yubico.com/verify et saisissez le numéro de série pour vérifier l'authenticité officielle.
- Impératif : définissez un code PIN FIDO2 avant la première utilisation :
- Ouvrez le logiciel YubiKey Manager sur PC.
- Applications → FIDO2 → Set PIN.
- Règle PIN : 4 à 63 caractères (mélange chiffres/lettres).
- Mémorisez ce PIN : après 8 erreurs consécutives, le module FIDO2 de la YubiKey se verrouille et nécessite une réinitialisation complète.
III. Étapes d'enregistrement FIDO2 sur Binance
Prérequis
- Navigateur : Chrome 120+ / Edge 120+ / Firefox 115+ / Safari 16.4+.
- Possession physique de la YubiKey avec code PIN configuré.
- Google Authenticator 2FA déjà activé (comme méthode de secours).
Processus d'enregistrement
- Connectez-vous sur binance.com → Centre de sécurité.
- Trouvez Authentification à deux facteurs → section Clé de sécurité (FIDO2) → Cliquez sur Activer.
- Saisissez votre mot de passe + code dynamique Google Authenticator.
- Le navigateur affiche une invite système « Utilisez votre clé de sécurité ».
- Insérez la YubiKey → Touchez le cercle métallique pendant 5 secondes.
- Saisissez le PIN de la YubiKey (première utilisation).
- Touchez à nouveau pour confirmer.
- Nommez votre clé :
YubiKey 5C NFC Principale. - Une fois confirmé, elle apparaît dans la liste.
Détails du protocole WebAuthn
Le Challenge généré par le backend de Binance :
{
"publicKey": {
"challenge": "base64url-encoded-32-bytes-random",
"rp": {
"id": "binance.com",
"name": "Binance"
},
"user": {
"id": "uid-123456789",
"name": "[email protected]",
"displayName": "Votre Nom"
},
"pubKeyCredParams": [
{"type": "public-key", "alg": -7}, // ES256
{"type": "public-key", "alg": -257} // RS256
],
"timeout": 60000,
"authenticatorSelection": {
"userVerification": "required"
},
"attestation": "direct"
}
}
Le champ crucial est rp.id = binance.com : le navigateur vérifie le domaine actuel avant la signature. Si vous êtes sur un faux site (ex: blnance.com), WebAuthn refuse catégoriquement la signature. C'est là que réside la magie anti-phishing.
IV. Liaison NFC avec smartphone
La YubiKey 5 NFC peut être approchée du dos du téléphone pour valider la connexion.
Sur Android
- Connectez-vous à binance.com via Chrome pour Android.
- Sur la page 2FA, choisissez Clé de sécurité.
- Le système propose « Utiliser une clé de sécurité NFC ».
- Plaquez la YubiKey contre le dos du téléphone sur la zone NFC (généralement près de la caméra).
- Le téléphone vibre et émet un son, la validation est faite.
Sur iPhone
- iOS 13.3+ (iPhone 7 et supérieur).
- Connectez-vous à binance.com via Safari.
- Sur la page 2FA, choisissez Clé de sécurité.
- L'iPhone lance automatiquement le scan NFC.
- Approchez la YubiKey du sommet de l'iPhone (l'antenne est en haut).
- Terminé.
Sur iOS, l'App Binance prend également en charge la YubiKey 5Ci via le port Lightning ou la 5C NFC via le NFC.
V. Connexion sans mot de passe Passkey
Les Passkeys sont des identifiants basés sur FIDO2, stockables sur YubiKey ou dans le trousseau iCloud/Google Password Manager.
Activer Passkey sur Binance
Centre de sécurité → Passkey → Créer un Passkey → Choisissez l'emplacement :
- YubiKey : Identifiant stocké sur le matériel, utilisable sur n'importe quel appareil avec la clé.
- iCloud Keychain : Synchronisé dans l'écosystème Apple.
- Google Password Manager : Synchronisé dans l'écosystème Google.
- Gestionnaire de mots de passe (1Password/Bitwarden, etc.).
Processus de connexion après création :
- Saisissez votre e-mail.
- Cliquez sur Se connecter avec un Passkey.
- Insérez la YubiKey + touchez.
- Connexion réussie, sans saisir de mot de passe ni de code 2FA.
Passkey fusionne l'étape du mot de passe et du 2FA pour une meilleure expérience, mais nécessite que vos appareils habituels puissent accéder à l'identifiant.
VI. Configuration de la redondance
N'avoir qu'une seule YubiKey = risque de catastrophe en cas de perte. La configuration standard prévoit deux clés.
Enregistrer deux clés
Centre de sécurité → Clé de sécurité → Ajouter une autre clé → Répétez le processus et nommez la clé de secours YubiKey de Secours (Coffre-fort).
Stratégie de stockage
| Clé | Emplacement | Fréquence d'utilisation |
|---|---|---|
| Principale | Porte-clés / Bureau | Quotidienne |
| Secours n°1 | Coffre-fort à domicile | Test trimestriel |
| Secours n°2 (opt) | Coffre à la banque | Récupération après sinistre |
Insérez votre clé de secours une fois par trimestre dans un ordinateur pour vérifier qu'elle fonctionne toujours. Bien que la durée de vie théorique soit de plus de 10 ans, un test régulier est indispensable.
VII. Procédure d'urgence en cas de perte
Étape 1 : Révoquer la YubiKey perdue
- Connectez-vous à binance.com à l'aide de votre clé de secours.
- Centre de sécurité → Clé de sécurité → Trouvez la clé perdue → Supprimer.
- Validez avec le 2FA → Effet immédiat.
Étape 2 : Commander une nouvelle clé
Allez sur yubico.com. La livraison prend généralement 3 à 7 jours.
Étape 3 : Réajustement
À la réception de la nouvelle clé :
- Passez l'ancienne clé de secours en clé principale pour l'usage quotidien.
- Définissez la nouvelle clé comme secours et placez-la dans votre coffre-fort.
- Enregistrez et nommez la nouvelle clé dans le Centre de sécurité.
Si la clé principale ET la clé de secours sont perdues
Dans ce cas extrême, contactez le service client Binance pour réinitialiser votre 2FA (voir tutoriel Reset 2FA), ce qui implique une période de réflexion de 7 jours et une authentification vidéo avec votre pièce d'identité.
VIII. Stratégie de sécurité combinée
Niveau maximal de sécurité pour votre compte Binance :
Connexion : Mot de passe + YubiKey (Passkey)
Retrait : YubiKey + E-mail + Liste blanche + Délai de 6 heures
Création d'API : YubiKey + E-mail + Liste blanche d'IP
Modification du compte : YubiKey + E-mail + SMS
Stockage à long terme : Transfert vers un cold wallet Ledger
Chaque étape oblige l'attaquant à obtenir simultanément votre mot de passe + clé physique + accès e-mail + code anti-phishing, ce qui est quasi impossible en pratique.
Questions fréquentes FAQ
Q1 : Puis-je activer YubiKey et Google Authenticator en même temps ?
R : Oui. Binance permet la coexistence du TOTP et du FIDO2. Vous pourrez choisir l'un ou l'autre lors de la connexion. Il est conseillé d'activer les deux pour servir de secours mutuel.
Q2 : Que faire si j'oublie le code PIN de ma YubiKey ?
R : Après 8 erreurs, le FIDO2 se verrouille. Il faut alors faire un Reset FIDO via YubiKey Manager. Cela effacera TOUS les identifiants FIDO stockés sur la clé. Vous devrez ensuite vous réenregistrer sur chaque site (Binance, GitHub, Google, etc.). Il est donc crucial de choisir un PIN mémorable.
Q3 : Combien de comptes peut-on lier à une seule YubiKey ?
R : La série YubiKey 5 peut stocker 25 identifiants résidents (Resident Keys) pour FIDO2. Pour les identifiants non résidents (basés sur le nom d'utilisateur + domaine), le nombre est illimité. Binance utilise le mode non résident, vous pouvez donc lier des dizaines de comptes Binance à une seule clé sans problème.
Q4 : YubiKey fonctionne-t-elle sur l'application mobile ?
R : Oui. Les applications iOS/Android de Binance prennent en charge le NFC de la YubiKey. Sur iPhone, vous pouvez utiliser la 5Ci en Lightning ; sur Android, vous pouvez brancher la 5C NFC directement sur le port USB-C.
Q5 : Les clés Google Titan et YubiKey fonctionnent-elles toutes deux sur Binance ?
R : Oui. Toute clé matérielle respectant les standards FIDO2/U2F est compatible (Google Titan, YubiKey, SoloKey, Token2, Nitrokey). YubiKey est généralement recommandée pour sa durabilité et sa compatibilité optimale.
Pour aller plus loin : retournez à la Navigation par catégorie et accédez à la catégorie « Sécurité » pour les tutoriels sur la sauvegarde 2FA, Passkey, etc.