Test & Avis Expert
Yubico Authenticator est une application de codes à usage unique (TOTP et HOTP) éditée par Yubico. Elle est gratuite, publiée sous Apache-2.0, et disponible pour Windows, macOS, Linux, Android et iOS. La version 7.4.2 a été publiée le 9 septembre 2026. Sa particularité est que les secrets ne sont pas stockés sur l’appareil : ils résident dans l’applet OATH de l’élément sécurisé d’une clé YubiKey.
Comment ça marche
Une application d’authentification ordinaire conserve les secrets partagés dans le stockage du téléphone. Quiconque obtient une copie de ce stockage — image du téléphone, sauvegarde en nuage, logiciel malveillant disposant des droits suffisants — peut générer les codes indéfiniment, sans que la victime s’en aperçoive.
Ici, le secret est écrit dans l’élément sécurisé de la clé et l’éditeur indique qu’il ne peut pas en être extrait. L’application ne fait que demander à la clé de calculer un code et l’afficher : sans la clé branchée en USB ou approchée en NFC, aucun code ne s’affiche. Un téléphone compromis ou une sauvegarde exfiltrée n’exposent donc pas les secrets. L’application sert aussi à administrer d’autres fonctions de la clé, dont les certificats PIV.
Ce que ça ne protège pas
Le TOTP reste du TOTP. Le code affiché est hameçonnable : un site contrefait qui demande le code au moment où l’utilisateur le lit peut le rejouer dans la seconde. Le matériel protège le secret, il ne protège pas contre la transmission volontaire du code à un faux site. Seule l’authentification FIDO2 ou WebAuthn, qui vérifie le domaine, traite ce problème — et la même clé YubiKey en est capable, par un mécanisme distinct de cette application.
La dépendance matérielle est l’autre coût. Perdre la clé, c’est perdre l’accès à tous les comptes qui en dépendent : il faut impérativement enregistrer une seconde clé en parallèle, ou conserver les codes de secours de chaque service, ce qui suppose d’acheter deux clés. La capacité de l’applet OATH est par ailleurs limitée, ce qui borne le nombre de comptes stockables sur une même clé.
Enfin, l’ensemble repose sur un fournisseur unique et sur un micrologiciel fermé, non modifiable après fabrication.
Face aux alternatives
Aegis et Ente Auth stockent les secrets sur l’appareil dans une base chiffrée et permettent des sauvegardes exportables, ce que cette application interdit par conception. KeePassXC intègre le TOTP dans la même base que les mots de passe, avec le risque de concentration que cela implique. Pour le hameçonnage, la réponse n’est pas une meilleure application de TOTP mais le passage à FIDO2, avec une YubiKey ou une Yubico Security Key.
