YubiKey 5C NFC pour la 2FA WordPress : choix, installation, erreurs
La YubiKey 5C NFC transforme la connexion WordPress en une simple pression sur une petite clé : branchée en USB-C sur l’ordinateur, posée contre le téléphone en NFC en déplacement. Ce guide montre comment l’enregistrer comme second facteur avec ReportedIP Hive, ce que les propriétaires de site doivent activer, que faire en cas de perte d’une clé et ce que signifient les messages d’erreur.
Nous nous connectons chaque jour à nos propres sites WordPress avec exactement cette clé : les étapes et messages ci-dessous sont donc ceux que vous verrez sur une installation Hive à jour. L’interface de Hive est en anglais, les libellés et messages cités restent donc en anglais.
Peut-on utiliser une YubiKey avec WordPress ?
Oui. WordPress n’a pas de second facteur intégré, mais une extension de sécurité compatible WebAuthn transforme toute clé de la série YubiKey 5 ou de la série Security Key, moins chère, en seconde étape après le mot de passe. La clé ne signe une connexion que pour le domaine sur lequel elle a été enregistrée, une page d’hameçonnage n’a donc rien à réutiliser. Avec ReportedIP Hive, une clé par compte est gratuite, et une seule clé fonctionne sur autant de sites que vous le souhaitez.
Qu’est-ce que la YubiKey 5C NFC ?
La YubiKey 5C NFC est une clé de sécurité matérielle fabriquée par Yubico. Elle conserve ses clés privées dans une puce sécurisée, signe une demande de connexion quand vous la touchez et ne transmet jamais de secret à l’ordinateur. Elle n’a ni batterie, ni écran, ni connexion réseau : rien à recharger, à mettre à jour ou à hameçonner.
| Caractéristique | YubiKey 5C NFC |
|---|---|
| Connecteurs | USB-C et NFC |
| Standards de connexion | FIDO2 / WebAuthn et FIDO U2F |
| Autres fonctions | Carte à puce (PIV), OpenPGP, codes OATH, Yubico OTP |
| Stockage de passkeys | Jusqu’à 100 à partir du firmware 5.7, moins sur les clés plus anciennes |
| Fabrication | Résistante à l’eau et à la poussière (IP68), sans batterie |
La fiche technique complète se trouve sur la page produit de Yubico. Pour WordPress, une seule ligne compte : la clé parle WebAuthn, le standard du W3C que les navigateurs utilisent pour les passkeys et les clés de sécurité.
Quelle YubiKey faut-il pour WordPress ?
La connexion WordPress n’utilise que la partie FIDO de la clé, des modèles moins chers que la 5C NFC suffisent donc. Prix de la boutique Yubico pour l’Allemagne au 29 octobre 2026, TVA comprise :
| Modèle | Connecteurs | Normes | Prix |
|---|---|---|---|
| Security Key C NFC | USB-C et NFC | FIDO2, U2F | 34,51 € |
| Security Key NFC | USB-A et NFC | FIDO2, U2F | 34,51 € |
| YubiKey 5C NFC | USB-C et NFC | FIDO2, U2F, OTP, PIV, OpenPGP | 69,02 € |
| YubiKey 5 NFC | USB-A et NFC | FIDO2, U2F, OTP, PIV, OpenPGP | 69,02 € |
| YubiKey 5Ci | USB-C et Lightning | FIDO2, U2F, OTP, PIV, OpenPGP | 101,15 € |
| YubiKey C Bio (FIDO Edition) | USB-C | FIDO2, U2F, empreinte digitale | 116,62 € |
- Pour WordPress seul, la Security Key C NFC fait le même travail que la 5C NFC pour moitié prix.
- La série YubiKey 5 se justifie si vous voulez aussi utiliser la clé pour SSH ou des commits signés avec OpenPGP, pour une connexion par carte à puce avec PIV ou pour des codes à usage unique.
- La 5Ci ajoute un connecteur Lightning pour les iPhone sans USB-C et n’a pas de NFC.
- Les modèles Bio lisent une empreinte digitale. Comme second facteur après le mot de passe, une pression suffit, le capteur apporte donc peu pour WordPress.
Quel que soit le modèle, achetez-en deux : une pour l’usage quotidien, une de réserve. Le coût pour une équipe est indiqué plus bas.
Pourquoi une clé matérielle pour les administrateurs WordPress
Un compte administrateur WordPress peut installer des extensions, et une extension peut exécuter n’importe quel code sur le serveur. Perdre ce compte, c’est perdre le site. Les codes à usage unique d’une application ou par e-mail protègent contre le vol de mot de passe, mais une page d’hameçonnage bien faite peut aussi demander le code et le relayer en quelques secondes.
| Second facteur | Protège du vol de mot de passe | Protège des pages d’hameçonnage | Nécessite un téléphone |
|---|---|---|---|
| Code par e-mail | Oui | Non | Non |
| Application d’authentification | Oui | Non | Oui |
| YubiKey 5C NFC | Oui | Oui | Non |
La clé ne signe que pour le vrai domaine de votre site. Sur un domaine imité, elle n’a tout simplement aucune connexion correspondante, un attaquant n’a donc rien à relayer. Le guide des passkeys explique ce mécanisme et quand une passkey sur le téléphone ou l’ordinateur est préférable à une clé séparée.
Les données de notre propre réseau montrent pourquoi un mot de passe seul ne suffit pas. Entre le 29 septembre et le 28 octobre 2026, les sites et honeypots du réseau ReportedIP ont signalé 26 179 attaques par mot de passe contre des connexions WordPress (wp-login.php, wp-admin et XML-RPC), venant de 8 795 adresses IP.
- 4 700 de ces adresses (53 %) n’ont essayé qu’une seule fois en 30 jours.
- 7 103 adresses (81 %) ont essayé trois fois au plus.
- L’adresse la plus active a fait 211 tentatives.
Un blocage après cinq échecs ne se déclenche jamais pour une adresse qui essaie une fois puis passe à autre chose. Réparties sur des milliers d’adresses, les tentatives ressemblent pour le site à de simples fautes de frappe. Un second facteur bloque la connexion même quand l’un de ces mots de passe est juste.
Ce que disent les autorités de sécurité sur les clés matérielles
Les recommandations officielles placent ce type de connexion au premier rang :
- NIST SP 800-63B-4 (2025) : au niveau AAL2, un service doit proposer au moins une option résistante à l’hameçonnage, et au niveau AAL3 l’authentificateur doit avoir une clé privée non exportable et résister à l’hameçonnage. Une clé matérielle FIDO2 correspond à cette description. directive du NIST
- La CISA, l’agence américaine de cybersécurité, qualifie le MFA résistant à l’hameçonnage de référence absolue et cite FIDO/WebAuthn comme sa seule forme largement disponible. fiche de la CISA
- Le BSI, l’office fédéral allemand de la sécurité informatique, considère les passkeys et les clés FIDO2 liées à un appareil comme résistantes à l’hameçonnage courant. Dans sa comparaison, les codes par e-mail, les SMS et les applications d’authentification ne protègent pas contre l’hameçonnage en temps réel, et pour FIDO2 il prévoit deux jetons matériels par compte pour la récupération. comparaison du BSI
En France, l’ANSSI traite le sujet dans ses recommandations sur l’authentification multifacteur (version 2.0, octobre 2021).
Ce qui se passe dans la clé lors d’une connexion WordPress
WebAuthn, la norme du W3C derrière les clés de sécurité, répartit le travail entre la clé et le site. Trois choix de conception dans Hive déterminent le comportement de la YubiKey :
- Le site conserve l’identifiant. Hive enregistre un identifiant non découvrable : la clé emballe tout ce dont elle a besoin dans un ID que WordPress garde et lui renvoie à chaque connexion. C’est pourquoi aucun emplacement de passkey n’est occupé et une seule clé couvre autant de sites que vous voulez.
- Une pression suffit. Le mot de passe est déjà le premier facteur, et la pression prouve qu’une personne se trouve devant la clé. Si vous voulez aussi le PIN FIDO2, un développeur peut régler Hive pour exiger la vérification de l’utilisateur ; la clé demande alors son PIN à chaque connexion.
- Un compteur repère les copies. La clé augmente un compteur de signatures à chaque connexion. Si la valeur reçue par Hive recule, une clé clonée est utilisée : Hive refuse la connexion et prévient l’utilisateur.
Ce qu’il vous faut avant de commencer
- Une version à jour de ReportedIP Hive avec l’authentification à deux facteurs activée pour le site.
- HTTPS. Les navigateurs n’autorisent les clés de sécurité que sur des pages chiffrées.
- Un navigateur récent : Chrome, Edge, Firefox ou Safari sur ordinateur, Chrome sur Android ou Safari sur iOS pour le NFC.
- Aucun code PIN sur la clé. Hive ne demande qu’une pression, vous n’avez donc pas à définir de PIN FIDO2 au préalable.
L’enregistrement auprès d’un site WordPress n’occupe aucun des emplacements de passkeys de la YubiKey. Les données de connexion sont conservées par le site, une clé fonctionne donc sur autant de sites WordPress que vous le souhaitez.
Configurer la YubiKey étape par étape
Étape 1 : ouvrir votre profil
Connectez-vous et ouvrez Comptes > Profil. Dans la section Two-Factor Authentication, vous trouvez la ligne Passkey or security key avec la zone Security keys & passkeys.
Étape 2 : nommer la clé
Cliquez sur Add security key et donnez à la clé un nom que vous reconnaîtrez plus tard, par exemple « YubiKey bureau ». Le nom compte dès que vous gérez plus d’une clé.
Étape 3 : l’enregistrer
Cliquez sur Security key (USB / NFC). Le navigateur ouvre sa fenêtre pour les clés de sécurité. Branchez la YubiKey sur le port USB-C et touchez le contact doré quand il clignote. Sur un téléphone, tenez la clé à plat contre le dos de l’appareil. Hive confirme avec « Security key registered. » et la clé apparaît dans la liste avec le type Security key.
Lors de la première activation de l’authentification à deux facteurs, Hive crée aussi dix codes de récupération. Imprimez-les ou rangez-les dans un gestionnaire de mots de passe maintenant, pas une fois la clé perdue.
Comment se passe la connexion avec la clé
Après le mot de passe, Hive affiche la page Verification required avec l’onglet Passkey. Cliquez sur Use passkey or security key, puis touchez la clé. Sur ordinateur, c’est une pression sur la clé branchée. Sur un téléphone, tenez la clé à plat contre le dos ; sur la plupart des appareils Android, l’antenne NFC se trouve dans le tiers supérieur, sur un iPhone au bord supérieur. Si le NFC est désactivé dans les réglages rapides du téléphone, le navigateur propose un QR code au lieu du NFC, et il suffit d’activer le NFC.
Hive laisse deux minutes à cette étape, assez pour sortir la clé de sa poche et la poser contre le téléphone. Avec Trust this device for 30 days, un ordinateur personnel se passe de la clé pendant un moment.
Réglages pour les propriétaires de site
Tous les réglages 2FA se trouvent sous ReportedIP Hive > Protection, dans la carte Two-Factor Authentication. Le plus rapide est de passer par le Quickstart et son interrupteur 2FA for administrators.
| Réglage | Valeur par défaut | Effet |
|---|---|---|
| Two-factor authentication enabled | Désactivé | Interrupteur principal pour tout le site. |
| Allowed 2FA methods | Clé de sécurité autorisée | Méthodes que les utilisateurs peuvent choisir. |
| Roles required to use 2FA | Administrateur | Rôles qui doivent configurer un second facteur. |
| 2FA grace period (days) | 7 | Délai accordé pour configurer la 2FA. |
| Trusted device lifetime (days) | 30 | Durée de « faire confiance à cet appareil ». |
La vue simple n’affiche que l’interrupteur principal et les rôles. Les autres champs, dont Allowed 2FA methods, apparaissent dès que vous activez l’Expert mode sur la page Protection.
Une clé de sécurité par compte est gratuite dans toutes les formules. Une seconde clé de secours, la détection automatique du modèle et les e-mails lors de l’ajout ou du retrait d’une clé font partie de la formule Business. L’e-mail d’alerte en cas de connexion suspecte avec une clé est inclus dans toutes les formules : si le compteur de signatures d’une clé recule, ce qui trahit une clé copiée, Hive refuse la connexion et prévient l’utilisateur par e-mail.
Dans les boutiques WooCommerce, les clients se connectent avec leur clé via la connexion WordPress habituelle. La seconde étape aux couleurs de la boutique fait partie de la formule Professional, voir le guide 2FA pour WooCommerce.
Que faire en cas de perte d’une clé
Toute clé matérielle finit un jour par se perdre. Prévoyez-le dès l’enregistrement de la première :
- Codes de récupération. Chacun des dix codes remplace la clé une seule fois. Choisissez Recovery sur la page de connexion.
- Une seconde méthode. Une application d’authentification en plus de la clé vous garde l’accès si la clé n’est pas sous la main.
- Une clé de secours. Avec la formule Business, enregistrez une seconde YubiKey et gardez-la en lieu sûr.
- Réinitialisation par un administrateur. Un administrateur ouvre Comptes, survole le compte et choisit Reset 2FA. Hive demande une confirmation, journalise la réinitialisation et prévient l’utilisateur par e-mail.
Une fois de retour, retirez la clé perdue de votre profil avec Remove. Elle cesse aussitôt de fonctionner. Hive refuse de retirer votre dernière clé si c’est votre seule méthode et que votre rôle impose la 2FA : vous ne pouvez donc pas vous bloquer par erreur.
Sites de préproduction, sous-domaines et plusieurs sites
Une clé de sécurité est liée au domaine sur lequel elle a été enregistrée. C’est ce qui la rend insensible à l’hameçonnage, avec trois conséquences pratiques :
- Copies de préproduction : une clé enregistrée sur le site en production ne fonctionne pas sur une copie de préproduction sous un autre domaine. Enregistrez-y la clé séparément ou utilisez une autre méthode.
- Réseaux en sous-domaines : une clé de shop.example.com ne fonctionne pas sur blog.example.com. Pour les réseaux multisite en sous-domaines, un développeur peut lier toutes les clés au domaine principal commun. Faites-le avant le déploiement, car les clés enregistrées plus tôt devront ensuite être ajoutées à nouveau.
- Plusieurs sites indépendants : enregistrez la même YubiKey sur chacun d’eux. Elle fonctionne partout et n’occupe aucun stockage sur la clé.
Déployer des YubiKey dans une équipe ou sur des sites clients
Pour une agence qui gère plusieurs sites clients, la clé elle-même est la partie facile. L’organisation se joue dans les détails :
- Deux clés par personne. Trois administrateurs avec deux Security Key C NFC chacun, cela fait six clés pour 207,06 € au total. Avec la formule Business, enregistrez les deux clés sur chaque site ; avec les autres formules, une clé plus une application d’authentification comme seconde méthode.
- Une clé pour tous les sites clients. Enregistrez la même clé sur chaque site. Elle n’occupe aucun espace sur la clé, il n’y a donc pas de limite.
- Des noms qui disent où est la clé. « YubiKey bureau » et « YubiKey coffre » indiquent d’un coup d’œil quelle clé retirer quand l’une disparaît.
- Une liste des clés. Notez qui possède quelle clé et sur quels sites elle est enregistrée. Quand quelqu’un quitte l’équipe, retirez ses clés de chacun de ces sites ou supprimez le compte.
- Tester d’abord sur un site. Essayez le déploiement sur un site et sa copie de préproduction avant d’imposer la 2FA à tous les administrateurs.
Le guide des passkeys explique comment imposer la 2FA à toute une équipe avec un délai de grâce.
Messages d’erreur fréquents et leur signification
| Message | Cause | Solution |
|---|---|---|
| The request timed out or was cancelled. | La clé n’a pas été touchée à temps, la fenêtre a été fermée ou la clé tenue au mauvais endroit du téléphone. | Réessayer et toucher la clé quand elle clignote. |
| The domain of this page does not match the key registration. | La page tourne sous une autre adresse, par exemple avec ou sans www. | Se connecter à l’adresse où la clé a été enregistrée. |
| This key is already registered on this account. | La même YubiKey a été ajoutée une seconde fois. | Rien à faire, la clé fonctionne déjà. |
| Unknown security key. | La clé appartient à un autre compte ou a été retirée. | Utiliser la bonne clé ou une autre méthode. |
| Security keys are not available on this site. | Le propriétaire n’a pas autorisé la méthode. | L’autoriser dans Allowed 2FA methods en Expert mode. |
| Multiple security keys per account require the Business plan. | Une seconde clé dans une formule inférieure. | Garder une clé ou passer à Business. |
| Too many registration attempts. Please wait a few minutes. | De nombreux essais d’enregistrement d’affilée. | Patienter un peu, puis réessayer. |
Un symptôme n’est pas du tout une erreur : une suite de caractères commençant par cccc dans le champ du mot de passe. C’est un code Yubico OTP, tapé par la clé parce qu’elle a été touchée alors qu’un champ de texte était actif. Videz le champ et lancez plutôt la connexion avec le bouton. Les problèmes plus généraux, comme l’absence de HTTPS, sont traités dans le guide des passkeys.
Questions sur la YubiKey et WordPress
La YubiKey 5C NFC fonctionne-t-elle avec un iPhone ?
La YubiKey 5C NFC fonctionne avec un iPhone de deux façons : en NFC, en tenant la clé contre le bord supérieur du téléphone, ou branchée sur le port USB-C des modèles récents. Safari affiche alors une fenêtre système. La connexion WordPress avec Hive se déroule comme sur ordinateur.
Faut-il une formule payante pour une YubiKey ?
Une clé de sécurité par compte est gratuite dans toutes les formules Hive, y compris l’alerte en cas de clé copiée. La formule Business ajoute une seconde clé de secours, la détection du modèle et des e-mails lors des changements de clés. La seconde étape aux couleurs de la boutique WooCommerce fait partie de la formule Professional.
L’enregistrement d’un site occupe-t-il de la place sur la YubiKey ?
L’enregistrement d’un site WordPress avec Hive n’occupe aucun stockage de passkeys sur la YubiKey, car c’est le site qui conserve les données de connexion. Une clé peut donc protéger autant de sites WordPress que vous le voulez. Le stockage de la clé ne sert qu’aux services qui y enregistrent directement une passkey.
Que se passe-t-il si je perds ma seule YubiKey ?
Connectez-vous avec l’un des dix codes de récupération ou une seconde méthode comme une application d’authentification, puis retirez la clé perdue de votre profil. Sans l’un ni l’autre, un administrateur peut réinitialiser votre authentification à deux facteurs dans Comptes. Hive journalise cette réinitialisation et vous prévient par e-mail.
La Security Key, moins chère, suffit-elle pour WordPress ?
Oui. La Security Key C NFC gère FIDO2 et U2F, et la connexion WordPress avec Hive n’utilise rien d’autre. Elle coûte 34,51 € dans la boutique Yubico pour l’Allemagne (29 octobre 2026), moitié moins que la YubiKey 5C NFC. La série 5 ne vaut le surcoût que si vous avez aussi besoin d’OTP, de PIV ou d’OpenPGP.
La YubiKey a-t-elle besoin d’un PIN pour la connexion WordPress ?
Non. Hive ne demande qu’une pression, car le mot de passe est déjà le premier facteur. Le PIN FIDO2 de la clé reste inutilisé tant qu’un développeur ne configure pas le site pour exiger la vérification de l’utilisateur.
À lire ensuite
- Passkeys pour la connexion WordPress
- Toutes les méthodes 2FA de Hive
- 2FA WooCommerce dans votre thème
La documentation de Hive détaille les clés matérielles et l’authentification à deux facteurs. Toutes les autres fonctions sont expliquées dans les guides de ReportedIP Hive.