Які ключі безпеки FIDO2 придбати у 2026 році

Ключі безпеки FIDO2 варто обирати не лише за характеристиками, а й за тим, наскільки зручно ними буде користуватися щодня: який у них розʼєм, чи є NFC, чи підійдуть вони для ноутбука та смартфона, а також чи підтримують їх ваша пошта, біржа, GitHub або менеджер паролів. Головне — визначити, який рівень захисту вам потрібен, які сервіси ви хочете захистити та з якими пристроями працюватимете.

Сьогодні під U2F / FIDO-ключами найчастіше мають на увазі сучасні ключі з підтримкою FIDO2 та WebAuthn. Саме ці стандарти лежать в основі passkeys, апаратного захисту від фішингу та автентифікації без пароля. Старий протокол U2F працює лише як другий фактор після пароля, тоді як FIDO2 може повністю замінити пароль. У 2026 році ми радимо орієнтуватися саме на моделі з FIDO2, оскільки U2F-only пристрої вже належать до попереднього покоління.

У цій статті ми розберемо, на що звертати увагу перед покупкою, які моделі справді мають сенс і який ключ краще підійде під конкретний сценарій. Ми переглянули актуальні моделі та звірили їхні специфікації, щоб зібрати в одному матеріалі варіанти, які мають практичний сенс для реального використання.

Якщо ви вже обрали ключ і хочете перейти до практичного налаштування, у нас є окремий гайд — Ключ безпеки FIDO2: як захистити Google та інші сервіси. У ньому ми показуємо, як використовувати апаратний ключ для захисту Google та інших сумісних акаунтів.

Перше правило: одразу купуйте два ключі

Почнемо з найважливішої поради в цій статті. Один ключ — це мінімум, але ми не радимо на цьому зупинятися. Якщо єдиний ключ загубиться або вийде з ладу в невдалий момент, доведеться відновлювати доступ через резервні методи входу. Набагато надійніша схема — одразу мати два ключі.

Один використовуйте як основний, а другий зберігайте вдома, у сейфі або в іншому безпечному місці. Зареєструйте обидва ключі на всіх важливих акаунтах. Якщо основний загубиться або зламається, резервний дасть змогу продовжити роботу без складного відновлення доступу.

Ми радимо брати два однакові ключі або принаймні моделі з однієї серії. Так менше шансів зіткнутися з неприємними нюансами сумісності. Якщо основний ключ підтримує NFC, FIDO2 та потрібні вам сценарії входу, резервний має підтримувати те саме. Це особливо важливо, якщо ви використовуєте додаткові функції на кшталт OATH/TOTP. Саме тому Yubico рекомендує обирати резервний ключ із тієї самої лінійки.

Для Apple Account підхід ще жорсткіший: Apple вимагає щонайменше два ключі безпеки під час реєстрації.

Для більшості користувачів ми радимо два однакові Security Key C NFC. Якщо потрібен мультипротокольний сценарій — дві однакові YubiKey 5C NFC або дві YubiKey 5C, якщо NFC вам не потрібен. Два однакові ключі зазвичай дають найбільш передбачуваний досвід використання.

Як обрати ключі безпеки FIDO2

Багато гайдів починають вибір із розʼєму: USB-C чи USB-A. Це важливо, але спочатку краще визначити ваш сценарій використання і потрібний набір функцій, а вже після цього обирати форм-фактор.

1. Визначте свій сценарій

FIDO-only: passkeys + 2FA. Якщо ключ потрібен вам насамперед для входу в акаунти, passkeys і захисту від фішингу, FIDO-only моделі часто повністю закривають ці потреби. Серія Security Key від Yubico або Google Titan підтримує FIDO2/WebAuthn і U2F та працює з Google, Apple, Microsoft, GitHub, менеджерами паролів і більшістю сучасних сервісів.

Мультипротокольний ключ: FIDO2 + OTP + PIV + OpenPGP. Якщо вам також потрібні TOTP через Yubico Authenticator, смарт-карта, OpenPGP або корпоративні сценарії, варто дивитися на YubiKey 5 серії або Nitrokey 3. Такі ключі підтримують більше функцій, але коштують дорожче та потребують кращого розуміння їхніх можливостей.

Security Key чи YubiKey 5: у чому різниця

Security Key серія — це FIDO-only ключі з підтримкою FIDO2/WebAuthn і U2F. Вони не підтримують Yubico OTP, OATH-TOTP/HOTP, PIV, OpenPGP, Yubico Authenticator і Yubico Personalisation Tool. Це прості ключі для passkeys і 2FA без додаткових протоколів.

YubiKey 5 серія — мультипротокольні ключі. Окрім FIDO2 та U2F, вони підтримують Yubico OTP, OATH-TOTP/HOTP — до 64 слотів на прошивці 5.7+, PIV Smart Card — до 24 сертифікатів, OpenPGP і роботу з Yubico Authenticator.

Якщо вам потрібні лише passkeys і 2FA, базовий рівень FIDO-захисту в обох серіях однаковий. Відрізняються вони насамперед кількістю підтримуваних протоколів і сценаріїв.

2. Біометрія

Біометричні ключі цікаві, але потрібні далеко не всім. Сам криптографічний протокол FIDO2 залишається тим самим, проте відбиток пальця додає окремий рівень локального захисту. PIN можна підглянути, випадково повідомити іншій людині або розкрити під тиском; з відбитком пальця такий сценарій складніший.

Якщо хтось отримає звичайний ключ і знає його PIN, це може дати доступ до захищених акаунтів. У Bio-моделі самого володіння ключем недостатньо: потрібен ваш відбиток пальця. Після трьох невдалих спроб ключ усе одно переходить до введення PIN. Bio-серія найбільш логічна для регулярної роботи за компʼютером, тоді як для частого використання зі смартфоном модель із NFC часто виявляється практичнішою.

3. Розʼєм і наявність NFC

Розʼєм. Якщо у вас сучасний ноутбук або планшет, найімовірніше, зручнішим буде USB-C. USB-A має сенс, якщо ви переважно користуєтеся стаціонарним ПК, старішим ноутбуком або робочою технікою, де цей порт досі є стандартом. Ключ, який щоразу потребує перехідника, швидко стає незручним.

NFC. Якщо ви хоча б іноді входите в сервіси зі смартфона, NFC суттєво спрощує використання ключа. Для більшості користувачів звʼязка USB-C + NFC сьогодні виглядає найпрактичніше.

Технічна сторона: що всередині ключа і чому це важливо

Ключі безпеки FIDO2 відрізняються не лише форм-фактором. Якщо ви хочете зрозуміти різницю між моделями на технічному рівні, звертайте увагу на кілька параметрів.

Протоколи і стандарти

• FIDO2 / WebAuthn — основний стандарт для passkeys і входу без пароля. Ключ генерує пару криптографічних ключів: приватний залишається на пристрої, а публічний передається сервісу. Під час входу сервіс надсилає challenge, ключ підписує його приватним ключем, а сервіс перевіряє підпис. Фішинг не працює, оскільки підпис привʼязаний до конкретного домену.
• FIDO U2F — попередній стандарт, який працює лише як другий фактор після пароля. Сучасні FIDO2-ключі зворотно сумісні з U2F.
• CTAP 2.1 — протокол взаємодії ключа з клієнтом, наприклад браузером або операційною системою. Версія 2.1 додала керування складністю PIN, примусову зміну PIN та функції для корпоративного середовища. Ключі YubiKey із прошивкою 5.7+ підтримують CTAP 2.1.
• PIV (FIPS 201) — стандарт смарт-карт. Дає змогу зберігати сертифікати X.509 і використовувати ключ для VPN, підпису документів та входу до Windows за допомогою смарт-карти. У межах моделей із цього огляду PIV доступний у YubiKey 5 серії та Nitrokey 3.
• OpenPGP — використовується для шифрування пошти, підпису Git-комітів і роботи з GPG. Приватний ключ зберігається на апаратному токені й не покидає його. У межах моделей із цього огляду функція доступна в YubiKey 5 серії та Nitrokey 3.
• OATH-TOTP / HOTP — генерація одноразових паролів. На YubiKey 5 серії з прошивкою 5.7+ можна зберігати до 64 OATH-слотів і керувати ними через Yubico Authenticator. Security Key серія цього не підтримує.

Зберігання passkeys

Кількість passkeys, які зберігаються безпосередньо на ключі (discoverable credentials), стає дедалі важливішою, оскільки все більше сервісів переходять на passkeys. У моделях із цього огляду цифри відрізняються суттєво: YubiKey із прошивкою 5.7+ підтримує до 100 passkeys, Google Titan v2 — до 250, Token2 T2F2 — до 300, Nitrokey Passkey — понад 100, а Nitrokey 3C NFC — до 35. Для Google Titan v2 також варто враховувати, що окремий passkey після створення видалити не можна.

FIDO Certification Level

Сертифікація FIDO Alliance показує, наскільки ретельно перевірено реалізацію стандартів.

• Level 1 — базова перевірка.
• Level 2 — підтверджена апаратна ізоляція ключів і захист від фізичних атак.

YubiKey 5 серія та Security Key серія з прошивкою 5.7+ мають FIDO Level 2. Google Titan v2 має FIDO Level 1. Для більшості сценаріїв Level 1 достатньо, але в корпоративному середовищі або для виконання вимог відповідності Level 2 може бути обовʼязковим.

Підтримка пристроями та сервісами

• Windows, macOS, Linux. FIDO2-ключі працюють через USB у сучасних браузерах Chrome, Firefox, Edge і Safari. На Windows ключ інтегрується з Windows Hello. На macOS та iOS, починаючи з iOS 16.3, Apple підтримує ключі безпеки для Apple Account. На Linux підтримка працює через браузер і libfido2.
• Android та iOS. Ключі підключаються через NFC або USB-C, а для старіших iPhone — через Lightning. Android підтримує FIDO2-ключі нативно в Chrome та багатьох застосунках. iOS підтримує роботу з ключами через Safari, NFC або USB-C. Якщо ви часто входите в сервіси зі смартфона, NFC значно спрощує використання.
• Сервіси. Google, Apple, Microsoft, GitHub, GitLab, Cloudflare, AWS, Facebook, X, Coinbase, Binance, Kraken і багато менеджерів паролів, зокрема 1Password, Bitwarden та KeePassXC, підтримують FIDO2-ключі. Конкретна реалізація може відрізнятися: одні сервіси використовують ключ лише для 2FA, інші підтримують повноцінний вхід без пароля.

Перед покупкою перевірте налаштування безпеки саме тих акаунтів, якими ви користуєтеся. Це особливо важливо для бірж і криптосервісів: десь доступний повноцінний FIDO2, десь лише U2F, а десь — тільки TOTP.

Огляд ключів

Security Key C NFC by Yubico — найкращий старт

Якщо потрібно назвати один ключ, із якого логічно почати більшості користувачів, ми обрали б саме його. USB-C для сучасних ноутбуків і NFC для смартфона роблять цю модель зручною для щоденного використання, а зайвих функцій тут немає.

Серія Security Key від Yubico підтримує лише FIDO-протоколи: FIDO2/WebAuthn і FIDO U2F. Якщо вам не потрібні PIV, OpenPGP, OTP та інші корпоративні або технічні функції, ви отримуєте саме те, що потрібно для passkeys і захисту входу.

На прошивці 5.7+ ключ зберігає до 100 passkeys, підтримує CTAP 2.1 і має сертифікацію FIDO Level 2. Для Google, Apple, Microsoft, GitHub, менеджерів паролів та інших сучасних сервісів це збалансований варіант за свої гроші.

Кому підійде: якщо вам потрібен практичний FIDO2-ключ за помірні гроші для сучасного ноутбука та смартфона.

Що варто врахувати: якщо згодом знадобляться OTP, смарт-карта, OpenPGP або ширші корпоративні сценарії, доведеться переходити на YubiKey 5 серії.

Security Key NFC by Yubico — той самий підхід для USB-A

За логікою це майже та сама модель, що й Security Key C NFC, але з USB-A. Вона добре підходить для стаціонарних ПК, старіших ноутбуків і корпоративної техніки, де USB-A досі широко використовується.

USB-A вже не є найуніверсальнішим варіантом на майбутнє, але в реальних робочих сценаріях він усе ще поширений. Якщо ваш основний компʼютер має саме такий порт, ця модель виконує ту саму FIDO-функцію, що й C NFC: до 100 passkeys на прошивці 5.7+, FIDO Level 2 і CTAP 2.1.

Кому підійде: якщо у вас ПК або ноутбук з USB-A, але ви також хочете NFC для смартфона.

Що варто врахувати: для нових ультрабуків і MacBook без USB-A знадобиться перехідник. Якщо ж USB-C вам майже не потрібен, це не стане суттєвим недоліком.

YubiKey 5C NFC — універсальний мультипротокольний варіант

YubiKey 5C NFC має сенс, якщо ви хочете придбати ключ із запасом на майбутнє й не обмежуватися лише FIDO2. Окрім FIDO2/WebAuthn і U2F, він підтримує Yubico OTP, OATH-TOTP/HOTP, PIV, OpenPGP та інші сценарії, які можуть знадобитися в роботі, адмініструванні або розширеному використанні.

Якщо ви не впевнені, що FIDO-only ключа буде достатньо, ми радимо дивитися саме на цю модель. Вона особливо доречна, коли один ключ має закривати особисті акаунти, робочі доступи, VPN, менеджери паролів і технічні задачі.

Поєднання USB-C + NFC робить 5C NFC одним із найзручніших мультипротокольних варіантів для сучасних пристроїв.

Технічно: на прошивці 5.7+ — 100 passkeys, до 64 OATH-слотів, до 24 PIV-сертифікатів, CTAP 2.1, FIDO Level 2, підтримка RSA-3072/4096, Ed25519 та X25519. Yubico також перейшла на власну криптографічну бібліотеку, що дає компанії повний контроль над реалізацією.

Кому підійде: якщо вам потрібен універсальний ключ із запасом на робочі та технічні сценарії.

Що варто врахувати: багатьом користувачам значна частина можливостей 5C NFC так і не знадобиться, тому доплата не завжди виправдана.

YubiKey 5 NFC — універсальний варіант для USB-A

За можливостями YubiKey 5 NFC дуже близький до 5C NFC, але використовує USB-A. Набір протоколів той самий: FIDO2, U2F, OTP, OATH, PIV та OpenPGP. Основна різниця — тип розʼєму.

Ми радимо цю модель тим, кому потрібна YubiKey 5 серія, але основна техніка все ще використовує USB-A. Для стаціонарних ПК і багатьох робочих ноутбуків це зручний варіант без перехідників. Технічні характеристики відповідають 5C NFC: 100 passkeys, 64 OATH, 24 PIV, CTAP 2.1 і FIDO Level 2.

Кому підійде: якщо вам потрібен універсальний YubiKey 5 серії для техніки з USB-A.

Що варто врахувати: якщо вся ваша техніка вже перейшла на USB-C, модель 5C NFC буде логічнішою.

YubiKey Bio / YubiKey C Bio — коли потрібен відбиток пальця

Біометрія в цій серії додає зручність і окремий рівень локального захисту. Замість звичайного дотику до ключа ви підтверджуєте вхід відбитком пальця. Такий сценарій особливо зручний, якщо ви регулярно входите в робочі акаунти з одного ноутбука або ПК.

Головна особливість Bio-серії в тому, що самого володіння ключем недостатньо для підтвердження входу. Це може бути корисно для робочих акаунтів, корпоративного доступу та інших сценаріїв, де потрібен жорсткіший локальний контроль. Водночас для частого використання зі смартфоном і різними пристроями моделі з NFC зазвичай практичніші.

Bio варто обирати тоді, коли вам справді підходить саме такий спосіб входу, а не лише через наявність біометрії.

Технічно: Bio-серія підтримує лише FIDO-протоколи — FIDO2 + U2F. Після трьох невдалих спроб розпізнавання відбитка використовується PIN. На прошивці 5.7+ доступно 100 passkeys. NFC немає — лише USB.

Кому підійде: якщо вам потрібна біометрична перевірка для робочих або особливо важливих акаунтів і ви переважно користуєтеся ноутбуком чи ПК.

Що варто врахувати: Bio-серія дорожча й менш універсальна, ніж моделі з NFC. Для багатьох користувачів звичайний NFC-ключ буде практичнішим.

YubiKey 5 Nano / 5C Nano — для постійного підключення до ноутбука

Форм-фактор Nano розрахований на те, щоб ключ майже постійно залишався в ноутбуці. Це зручно, якщо ви не хочете носити його окремо та щоразу підключати вручну. При цьому зберігаються основні можливості 5 серії: FIDO2, U2F, OTP, OATH, PIV, OpenPGP, 100 passkeys, CTAP 2.1 і FIDO Level 2.

Через компактний розмір Nano-моделі менш зручні, якщо ключ потрібно часто переставляти між різними пристроями. Як єдиний ключ ми їх також не радимо: це насамперед формат для сценарію, де ключ більшість часу залишається в одному ноутбуці.

Кому підійде: якщо ви плануєте майже постійно тримати ключ у ноутбуці й хочете, щоб він мінімально виступав із порту.

Що варто врахувати: це не найзручніший формат для щоденного перемикання між різними пристроями.

YubiKey 5C — USB-C без NFC

YubiKey 5C — логічний варіант, якщо вам потрібен повноцінний YubiKey 5 у форматі USB-C, але NFC не потрібен. Ви отримуєте той самий набір можливостей серії: FIDO2, U2F, OTP, PIV, OpenPGP та інші сценарії, але в простішому форм-факторі для роботи переважно з ноутбуком або ПК.

Ця модель добре підходить для сучасного компʼютера з USB-C, якщо ключ не потрібно часто використовувати зі смартфоном через NFC.

Технічно: 100 passkeys, 64 OATH, 24 PIV, CTAP 2.1, FIDO Level 2.

Кому підійде: якщо вам потрібен YubiKey 5 з USB-C без NFC для ноутбука або ПК.

Що варто врахувати: якщо NFC і робота зі смартфоном для вас важливі, краще дивитися на 5C NFC.

YubiKey 5Ci — специфічний варіант для техніки з Lightning

Сьогодні це вже не масова модель, але вона все ще має сенс, якщо ви користуєтеся iPhone або iPad з Lightning і хочете апаратний ключ без перехідників.

Для більшості користувачів ми не ставили б 5Ci серед основних рекомендацій: зараз практичніше дивитися на USB-C або NFC. Але якщо вам потрібні Lightning + USB-C в одному корпусі, ця модель зберігає повний набір протоколів YubiKey 5 серії.

Кому підійде: якщо ви все ще користуєтеся Lightning-пристроями Apple і хочете апаратний ключ без перехідників.

Що варто врахувати: для більшості користувачів це вже дуже специфічний сценарій.

Google Titan Security Key — альтернатива від Google

Google Titan v2 — FIDO-only ключі у варіантах USB-C + NFC або USB-A + NFC. Їхня головна перевага — до 250 passkeys, що є одним із найбільших показників серед FIDO2-ключів. Прошивку розробляє Google, а самі ключі виробляє Feitian. Сертифікація — FIDO Level 1.

Titan працює з екосистемою Google та іншими FIDO-сумісними сервісами. Водночас є нюанси: passkeys не можна видалити з ключа після створення, а Microsoft Entra Passwordless офіційно не підтримує Titan без додаткових налаштувань на стороні адміністратора. Для базового FIDO2 / 2FA-сценарію це сильна альтернатива з великим запасом слотів.

Кому підійде: якщо вам потрібен FIDO2-ключ із великим запасом слотів для passkeys, ви працюєте в екосистемі Google або шукаєте альтернативу Yubico.

Що варто врахувати: FIDO Level 1 замість Level 2 у Yubico з прошивкою 5.7+, немає OTP, PIV і OpenPGP, а окремі passkeys не видаляються.

Nitrokey — open-source підхід

Nitrokey 3C NFC — мультипротокольний ключ із USB-C + NFC, open-source прошивкою, підтримкою FIDO2, U2F, OpenPGP і PIV, підтримка якого ще розвивається. Secure Element має EAL 6+ і працює при підключенні через USB; через NFC він не використовується. Ключ виробляють у Німеччині, а прошивку можна оновлювати користувачем — це суттєва відмінність від Yubico, де вона фіксується на етапі виробництва.

Nitrokey Passkey — бюджетний USB-A ключ для FIDO2/U2F. Він підтримує понад 100 passkeys, має компактний форм-фактор, але не оснащений NFC і Secure Element.

Кому підійде: якщо для вас важливі open-source підхід, прозорість прошивки та можливість її оновлення.

Що варто врахувати: у Nitrokey 3C NFC менше слотів для passkeys, програмна екосистема менш зріла, ніж у Yubico, а PIV-підтримка ще розвивається.

OnlyKey FIDO2 — нішевий варіант із апаратним PIN

OnlyKey відрізняється від класичних ключів у стилі Yubico. На самому пристрої є шість кнопок для введення локального PIN і керування збереженими слотами. Це не лише FIDO2/U2F-ключ для входу в акаунти: він також може зберігати логіни, паролі, TOTP та інші дані, наближаючись за логікою до апаратного менеджера паролів. Для частини користувачів важливим буде й open-source підхід.

Ця модель має сенс для тих, кому потрібен більший контроль і ширші можливості в одному пристрої. Після 10 неправильних спроб введення PIN дані на ключі повністю стираються.

Якщо вам потрібен максимально простий ключ безпеки, YubiKey зазвичай буде зрозумілішим вибором. OnlyKey цікавіший тоді, коли від пристрою потрібне щось більше, ніж лише підтвердження входу.

Кому підійде: якщо ви цінуєте open-source, хочете апаратний PIN і додаткові можливості поза базовим FIDO-сценарієм.

Що варто врахувати: поріг входу вищий, ніж у звичайних YubiKey, доступний лише USB-A, а додаткові функції потрібні не всім.

Token2 — бюджетна альтернатива зі Швейцарії

Token2 T2F2-PIN+ — ключ із USB-C + NFC та підтримкою FIDO2 + TOTP. Він підтримує до 300 passkeys — це найбільший показник серед моделей у цьому огляді. Для TOTP потрібен окремий застосунок Token2. Ключ виробляють у Швейцарії та також підтримує примусову складність PIN, що рідко зустрічається серед бюджетних моделей.

Кому підійде: якщо ви шукаєте бюджетний FIDO2-ключ із великим запасом слотів і NFC.

Що варто врахувати: екосистема менш відома, а PIV і OpenPGP не підтримуються.

Ключі безпеки FIDO2: порівняльна таблиця

Де такі ключі реально працюють

Google підтримує security keys і passkeys; Apple дає змогу додавати ключі безпеки до Apple Account; Microsoft використовує security key як повноцінний спосіб входу; GitHub активно підтримує passkeys як спосіб, що може замінити пароль і 2FA в одному кроці.

У криптосервісах ситуація менш однорідна. Частина бірж підтримує апаратні ключі як другий фактор (2FA), але конкретна реалізація відрізняється від сервісу до сервісу. Перед покупкою перевірте налаштування безпеки саме вашої біржі або криптосервісу.

Тому ми не радимо купувати ключ «наосліп». Краще пройтися по своїх сервісах — Google, Apple, Microsoft, GitHub, менеджеру паролів, біржі та робочих доступах — і вже під них обрати потрібний форм-фактор і набір функцій.

Висновок

Якщо потрібна проста рекомендація, то для більшості користувачів ми радимо два однакові Security Key C NFC by Yubico. Це зрозумілий FIDO2-варіант із USB-C та NFC без переплати за функції, які можуть ніколи не знадобитися.

Якщо ви хочете придбати ключ із запасом на робочі та більш технічні сценарії, ми рекомендуємо два однакові YubiKey 5C NFC. Якщо ваша основна техніка використовує USB-A, дивіться на відповідні моделі без «C» у назві.

Якщо для вас важлива велика кількість слотів для passkeys або потрібна альтернатива Yubico, варто подивитися на Google Titan. Якщо пріоритетом є open-source — на Nitrokey. Якщо потрібні апаратний PIN і функції менеджера паролів — на OnlyKey. Якщо шукаєте бюджетний варіант із великим запасом слотів — на Token2.

Bio, Nano та 5Ci ми радимо лише тоді, коли їхній конкретний форм-фактор або функція відповідає вашому сценарію. Ключі безпеки FIDO2 варто обирати під свої пристрої, сервіси та звички — ці критерії важливіші за ціну або кількість додаткових функцій.

І останнє правило: якщо акаунт для вас справді важливий, одразу купуйте два ключі. Резервний ключ — базова частина нормальної схеми захисту.