Какие ключи безопасности FIDO2 купить в 2026 году

Ключи безопасности FIDO2 стоит выбирать не только по характеристикам, но и по тому, насколько удобно ими будет пользоваться каждый день: какой у них разъём, есть ли NFC, подходят ли они для ноутбука и смартфона, а также поддерживают ли их ваша почта, биржа, GitHub или менеджер паролей. Главное — понять, какой уровень защиты вам нужен, какие сервисы вы хотите защитить и с какими устройствами будете работать.

Сегодня под U2F / FIDO-ключами чаще всего подразумевают современные ключи с поддержкой FIDO2 и WebAuthn. Именно эти стандарты лежат в основе passkeys, аппаратной защиты от фишинга и беспарольной аутентификации. Старый протокол U2F работает только как второй фактор после пароля, тогда как FIDO2 может полностью заменить пароль. В 2026 году мы рекомендуем ориентироваться именно на модели с FIDO2, поскольку устройства только с U2F уже относятся к предыдущему поколению.

В этой статье мы разберём, на что обращать внимание перед покупкой, какие модели действительно имеют смысл и какой ключ лучше подойдёт под конкретный сценарий. Мы просмотрели актуальные модели и сверили их характеристики, чтобы собрать в одном материале варианты, которые действительно удобны в реальном использовании.

Если вы уже выбрали ключ и хотите перейти к практической настройке, у нас есть отдельный гайд — Ключ безопасности FIDO2: как защитить Google и другие сервисы. В нём мы показываем, как использовать аппаратный ключ для защиты Google и других совместимых аккаунтов.

Первое правило: сразу покупайте два ключа

Начнём с самого важного совета в этой статье. Один ключ — это минимум, но мы не рекомендуем на этом останавливаться. Если единственный ключ потеряется или выйдет из строя в неподходящий момент, придётся восстанавливать доступ через резервные способы входа. Гораздо надёжнее сразу иметь два ключа.

Один используйте как основной, а второй храните дома, в сейфе или другом безопасном месте. Зарегистрируйте оба ключа во всех важных аккаунтах. Если основной потеряется или сломается, резервный позволит продолжить работу без сложного восстановления доступа.

Мы рекомендуем брать два одинаковых ключа или хотя бы модели из одной серии. Так меньше шансов столкнуться с неприятными нюансами совместимости. Если основной ключ поддерживает NFC, FIDO2 и нужные вам сценарии входа, резервный должен поддерживать то же самое. Это особенно важно, если вы используете дополнительные функции вроде OATH/TOTP. Именно поэтому Yubico рекомендует выбирать резервный ключ из той же линейки.

Для Apple Account требования ещё строже: при настройке Apple требует как минимум два ключа безопасности.

Для большинства пользователей мы рекомендуем два одинаковых Security Key C NFC. Если нужен мультипротокольный вариант — два одинаковых YubiKey 5C NFC или два YubiKey 5C, если NFC вам не нужен. Два одинаковых ключа обычно дают наиболее предсказуемый опыт использования.

Как выбрать ключи безопасности FIDO2

Многие гайды начинают выбор с разъёма: USB-C или USB-A. Это важно, но сначала лучше определить ваш сценарий использования и нужный набор функций, а уже затем выбирать форм-фактор.

1. Определите свой сценарий

FIDO-only: passkeys + 2FA. Если ключ нужен вам прежде всего для входа в аккаунты, passkeys и защиты от фишинга, FIDO-only модели часто полностью закрывают эти задачи. Серия Security Key от Yubico и ключи Google Titan поддерживают FIDO2/WebAuthn и U2F и работают с Google, Apple, Microsoft, GitHub, менеджерами паролей и большинством современных сервисов.

Мультипротокольный ключ: FIDO2 + OTP + PIV + OpenPGP. Если вам также нужны TOTP через Yubico Authenticator, смарт-карта, OpenPGP или корпоративные сценарии, стоит смотреть на серию YubiKey 5 или Nitrokey 3. Такие ключи поддерживают больше функций, но стоят дороже и требуют лучшего понимания их возможностей.

Security Key или YubiKey 5: в чём разница

Серия Security Key — это FIDO-only ключи с поддержкой FIDO2/WebAuthn и U2F. Они не поддерживают Yubico OTP, OATH-TOTP/HOTP, PIV, OpenPGP, Yubico Authenticator и Yubico Personalisation Tool. Это простые ключи для passkeys и 2FA без дополнительных протоколов.

Серия YubiKey 5 — это мультипротокольные ключи. Помимо FIDO2 и U2F, они поддерживают Yubico OTP, OATH-TOTP/HOTP — до 64 слотов на прошивке 5.7+, PIV Smart Card — до 24 сертификатов, OpenPGP и работу с Yubico Authenticator.

Если вам нужны только passkeys и 2FA, базовый уровень FIDO-защиты в обеих сериях одинаков. Разница прежде всего в количестве поддерживаемых протоколов и сценариев.

2. Биометрия

Биометрические ключи интересны, но нужны далеко не всем. Сам криптографический протокол FIDO2 остаётся тем же, однако отпечаток пальца добавляет отдельный уровень локальной защиты. PIN можно подсмотреть, случайно сообщить другому человеку или раскрыть под давлением; с отпечатком пальца такой сценарий сложнее.

Если кто-то получит обычный ключ и знает его PIN, это может дать доступ к защищённым аккаунтам. В Bio-модели одного владения ключом недостаточно: нужен ваш отпечаток пальца. После трёх неудачных попыток ключ всё равно переходит к вводу PIN. Bio-серия наиболее логична для регулярной работы за компьютером, тогда как для частого использования со смартфоном модель с NFC обычно практичнее.

3. Разъём и наличие NFC

Разъём. Если у вас современный ноутбук или планшет, скорее всего, удобнее будет USB-C. USB-A имеет смысл, если вы в основном пользуетесь стационарным ПК, более старым ноутбуком или рабочей техникой, где этот порт всё ещё является стандартом. Ключ, для которого каждый раз нужен переходник, быстро становится неудобным.

NFC. Если вы хотя бы иногда входите в сервисы со смартфона, NFC заметно упрощает использование ключа. Для большинства пользователей сочетание USB-C + NFC сегодня выглядит самым практичным.

Техническая сторона: что внутри ключа и почему это важно

Ключи безопасности FIDO2 отличаются не только форм-фактором. Если вы хотите понять разницу между моделями на техническом уровне, обращайте внимание на несколько параметров.

Протоколы и стандарты

• FIDO2 / WebAuthn — основной стандарт для passkeys и беспарольного входа. Ключ генерирует пару криптографических ключей: приватный остаётся на устройстве, а публичный передаётся сервису. При входе сервис отправляет challenge, ключ подписывает его приватным ключом, а сервис проверяет подпись. Фишинг не работает, поскольку подпись привязана к конкретному домену.
• FIDO U2F — предыдущий стандарт, который работает только как второй фактор после пароля. Современные FIDO2-ключи обратно совместимы с U2F.
• CTAP 2.1 — протокол взаимодействия ключа с клиентом, например браузером или операционной системой. Версия 2.1 добавила управление требованиями к PIN, принудительную смену PIN и функции для корпоративной среды. Ключи YubiKey с прошивкой 5.7+ поддерживают CTAP 2.1.
• PIV (FIPS 201) — стандарт смарт-карт. Позволяет хранить сертификаты X.509 и использовать ключ для VPN, подписи документов и входа в Windows с помощью смарт-карты. Среди моделей из этого обзора PIV доступен в серии YubiKey 5 и Nitrokey 3.
• OpenPGP — используется для шифрования почты, подписи Git-коммитов и работы с GPG. Приватный ключ хранится на аппаратном токене и не покидает его. Среди моделей из этого обзора функция доступна в серии YubiKey 5 и Nitrokey 3.
• OATH-TOTP / HOTP — генерация одноразовых паролей. На ключах серии YubiKey 5 с прошивкой 5.7+ можно хранить до 64 OATH-слотов и управлять ими через Yubico Authenticator. Серия Security Key этого не поддерживает.

Хранение passkeys

Количество passkeys, которые хранятся непосредственно на ключе (discoverable credentials), становится всё важнее, поскольку всё больше сервисов переходят на passkeys. У моделей из этого обзора цифры заметно различаются: YubiKey с прошивкой 5.7+ поддерживает до 100 passkeys, Google Titan v2 — до 250, Token2 T2F2 — до 300, Nitrokey Passkey — более 100, а Nitrokey 3C NFC — до 35. Для Google Titan v2 также важно учитывать, что отдельный passkey после создания удалить нельзя.

FIDO Certification Level

Сертификация FIDO Alliance показывает, насколько тщательно проверена реализация стандартов.

• Level 1 — базовая проверка.
• Level 2 — подтверждённая аппаратная изоляция ключей и защита от физических атак.

Серия YubiKey 5 и Security Key с прошивкой 5.7+ имеют FIDO Level 2. Google Titan v2 имеет FIDO Level 1. Для большинства сценариев Level 1 достаточно, но в корпоративной среде или для соблюдения требований соответствия Level 2 может быть обязательным.

Поддержка устройств и сервисов

• Windows, macOS, Linux. FIDO2-ключи работают через USB в современных браузерах Chrome, Firefox, Edge и Safari. В Windows ключ интегрируется с Windows Hello. В macOS и iOS, начиная с iOS 16.3, Apple поддерживает ключи безопасности для Apple Account. В Linux поддержка работает через браузер и libfido2.
• Android и iOS. Ключи подключаются через NFC или USB-C, а к более старым iPhone — через Lightning. Android нативно поддерживает FIDO2-ключи в Chrome и многих приложениях. iOS поддерживает работу с ключами через Safari, NFC или USB-C. Если вы часто входите в сервисы со смартфона, NFC заметно упрощает использование.
• Сервисы. Google, Apple, Microsoft, GitHub, GitLab, Cloudflare, AWS, Facebook, X, Coinbase, Binance, Kraken и многие менеджеры паролей, включая 1Password, Bitwarden и KeePassXC, поддерживают FIDO2-ключи. Конкретная реализация может отличаться: одни сервисы используют ключ только для 2FA, другие поддерживают полноценный беспарольный вход.

Перед покупкой проверьте настройки безопасности именно тех аккаунтов, которыми вы пользуетесь. Это особенно важно для бирж и криптосервисов: где-то доступен полноценный FIDO2, где-то только U2F, а где-то — лишь TOTP.

Обзор ключей

Security Key C NFC by Yubico — лучший вариант для начала

Если нужно назвать один ключ, с которого логично начать большинству пользователей, мы выбрали бы именно его. USB-C для современных ноутбуков и NFC для смартфона делают эту модель удобной для повседневного использования, при этом здесь нет лишних функций.

Серия Security Key от Yubico поддерживает только FIDO-протоколы: FIDO2/WebAuthn и FIDO U2F. Если вам не нужны PIV, OpenPGP, OTP и другие корпоративные или технические функции, вы получаете именно то, что нужно для passkeys и защиты входа.

На прошивке 5.7+ ключ хранит до 100 passkeys, поддерживает CTAP 2.1 и имеет сертификацию FIDO Level 2. Для Google, Apple, Microsoft, GitHub, менеджеров паролей и других современных сервисов это сбалансированный вариант за свои деньги.

Кому подойдёт: если вам нужен практичный FIDO2-ключ по умеренной цене для современного ноутбука и смартфона.

Что стоит учитывать: если позже понадобятся OTP, смарт-карта, OpenPGP или более широкие корпоративные сценарии, придётся переходить на серию YubiKey 5.

Security Key NFC by Yubico — тот же подход для USB-A

По сути, это почти та же модель, что и Security Key C NFC, только с USB-A. Она хорошо подходит для стационарных ПК, более старых ноутбуков и корпоративной техники, где USB-A всё ещё широко используется.

USB-A уже нельзя назвать самым универсальным вариантом на будущее, но в реальных рабочих сценариях он по-прежнему распространён. Если у вашего основного компьютера именно такой порт, эта модель выполняет ту же FIDO-функцию, что и C NFC: до 100 passkeys на прошивке 5.7+, FIDO Level 2 и CTAP 2.1.

Кому подойдёт: если у вас ПК или ноутбук с USB-A, но вы также хотите использовать NFC со смартфоном.

Что стоит учитывать: для новых ультрабуков и MacBook без USB-A понадобится переходник. Если USB-C вам почти не нужен, это не станет существенным недостатком.

YubiKey 5C NFC — универсальный мультипротокольный вариант

YubiKey 5C NFC имеет смысл, если вы хотите купить ключ с запасом на будущее и не ограничиваться только FIDO2. Помимо FIDO2/WebAuthn и U2F, он поддерживает Yubico OTP, OATH-TOTP/HOTP, PIV, OpenPGP и другие сценарии, которые могут понадобиться в работе, администрировании или более продвинутом использовании.

Если вы не уверены, что FIDO-only ключа будет достаточно, мы рекомендуем смотреть именно на эту модель. Она особенно уместна, когда один ключ должен закрывать личные аккаунты, рабочие доступы, VPN, менеджеры паролей и технические задачи.

Сочетание USB-C + NFC делает 5C NFC одним из самых удобных мультипротокольных вариантов для современных устройств.

Технически: на прошивке 5.7+ — 100 passkeys, до 64 OATH-слотов, до 24 PIV-сертификатов, CTAP 2.1, FIDO Level 2, поддержка RSA-3072/4096, Ed25519 и X25519. Yubico также перешла на собственную криптографическую библиотеку, что даёт компании полный контроль над реализацией.

Кому подойдёт: если вам нужен универсальный ключ с запасом на рабочие и технические сценарии.

Что стоит учитывать: многим пользователям значительная часть возможностей 5C NFC так и не понадобится, поэтому доплата не всегда оправданна.

YubiKey 5 NFC — универсальный вариант для USB-A

По возможностям YubiKey 5 NFC очень близок к 5C NFC, но использует USB-A. Набор протоколов тот же: FIDO2, U2F, OTP, OATH, PIV и OpenPGP. Основная разница — тип разъёма.

Мы рекомендуем эту модель тем, кому нужна серия YubiKey 5, но основная техника всё ещё использует USB-A. Для стационарных ПК и многих рабочих ноутбуков это удобный вариант без переходников. Технические характеристики соответствуют 5C NFC: 100 passkeys, 64 OATH, 24 PIV, CTAP 2.1 и FIDO Level 2.

Кому подойдёт: если вам нужен универсальный ключ серии YubiKey 5 для техники с USB-A.

Что стоит учитывать: если вся ваша техника уже перешла на USB-C, модель 5C NFC будет логичнее.

YubiKey Bio / YubiKey C Bio — когда нужен отпечаток пальца

Биометрия в этой серии добавляет удобство и отдельный уровень локальной защиты. Вместо обычного касания ключа вы подтверждаете вход отпечатком пальца. Такой сценарий особенно удобен, если вы регулярно входите в рабочие аккаунты с одного ноутбука или ПК.

Главная особенность Bio-серии в том, что одного владения ключом недостаточно для подтверждения входа. Это может быть полезно для рабочих аккаунтов, корпоративного доступа и других сценариев, где нужен более строгий локальный контроль. При этом для частого использования со смартфоном и разными устройствами модели с NFC обычно практичнее.

Bio стоит выбирать, когда вам действительно подходит именно такой способ входа, а не просто из-за наличия биометрии.

Технически: Bio-серия поддерживает только FIDO-протоколы — FIDO2 + U2F. После трёх неудачных попыток распознавания отпечатка используется PIN. На прошивке 5.7+ доступно 100 passkeys. NFC нет — только USB.

Кому подойдёт: если вам нужна биометрическая проверка для рабочих или особенно важных аккаунтов и вы в основном пользуетесь ноутбуком или ПК.

Что стоит учитывать: Bio-серия дороже и менее универсальна, чем модели с NFC. Для многих пользователей обычный NFC-ключ будет практичнее.

YubiKey 5 Nano / 5C Nano — для постоянного подключения к ноутбуку

Форм-фактор Nano рассчитан на то, чтобы ключ почти постоянно оставался в ноутбуке. Это удобно, если вы не хотите носить его отдельно и каждый раз подключать вручную. При этом сохраняются основные возможности серии YubiKey 5: FIDO2, U2F, OTP, OATH, PIV, OpenPGP, 100 passkeys, CTAP 2.1 и FIDO Level 2.

Из-за компактного размера Nano-модели менее удобны, если ключ нужно часто переставлять между разными устройствами. В качестве единственного ключа мы их тоже не рекомендуем: это прежде всего формат для сценария, в котором ключ большую часть времени остаётся в одном ноутбуке.

Кому подойдёт: если вы планируете почти постоянно держать ключ в ноутбуке и хотите, чтобы он минимально выступал из порта.

Что стоит учитывать: это не самый удобный формат для ежедневного переключения между разными устройствами.

YubiKey 5C — USB-C без NFC

YubiKey 5C — логичный вариант, если вам нужен полноценный YubiKey 5 с USB-C, но NFC не требуется. Вы получаете тот же набор возможностей серии: FIDO2, U2F, OTP, PIV, OpenPGP и другие сценарии, но в более простом форм-факторе для работы преимущественно с ноутбуком или ПК.

Эта модель хорошо подходит для современного компьютера с USB-C, если ключ не нужно часто использовать со смартфоном через NFC.

Технически: 100 passkeys, 64 OATH, 24 PIV, CTAP 2.1, FIDO Level 2.

Кому подойдёт: если вам нужен YubiKey 5 с USB-C без NFC для ноутбука или ПК.

Что стоит учитывать: если NFC и работа со смартфоном для вас важны, лучше смотреть на 5C NFC.

YubiKey 5Ci — специфичный вариант для техники с Lightning

Сегодня это уже не массовая модель, но она всё ещё имеет смысл, если вы пользуетесь iPhone или iPad с Lightning и хотите аппаратный ключ без переходников.

Для большинства пользователей мы не стали бы включать 5Ci в основные рекомендации: сейчас практичнее смотреть на USB-C или NFC. Но если вам нужны Lightning + USB-C в одном корпусе, эта модель сохраняет полный набор протоколов серии YubiKey 5.

Кому подойдёт: если вы всё ещё пользуетесь устройствами Apple с Lightning и хотите аппаратный ключ без переходников.

Что стоит учитывать: для большинства пользователей это уже очень специфичный сценарий.

Google Titan Security Key — альтернатива от Google

Google Titan v2 — FIDO-only ключи в вариантах USB-C + NFC или USB-A + NFC. Их главное преимущество — до 250 passkeys, что является одним из самых высоких показателей среди FIDO2-ключей. Прошивку разрабатывает Google, а сами ключи производит Feitian. Сертификация — FIDO Level 1.

Titan работает с экосистемой Google и другими FIDO-совместимыми сервисами. При этом есть нюансы: passkeys нельзя удалять с ключа после создания, а Microsoft Entra Passwordless официально не поддерживает Titan без дополнительных настроек со стороны администратора. Для базового сценария FIDO2 / 2FA это сильная альтернатива с большим запасом слотов.

Кому подойдёт: если вам нужен FIDO2-ключ с большим запасом слотов для passkeys, вы работаете в экосистеме Google или ищете альтернативу Yubico.

Что стоит учитывать: FIDO Level 1 вместо Level 2 у Yubico с прошивкой 5.7+, нет OTP, PIV и OpenPGP, а отдельные passkeys нельзя удалить.

Nitrokey — подход с открытым исходным кодом

Nitrokey 3C NFC — мультипротокольный ключ с USB-C + NFC и прошивкой с открытым исходным кодом. Он поддерживает FIDO2, U2F и OpenPGP; поддержка PIV всё ещё развивается. Secure Element имеет уровень EAL 6+ и работает при подключении через USB, но не используется через NFC. Ключ производят в Германии, а пользователь может обновлять прошивку — это существенное отличие от Yubico, где она фиксируется на этапе производства.

Nitrokey Passkey — бюджетный USB-A ключ для FIDO2/U2F. Он поддерживает более 100 passkeys, имеет компактный форм-фактор, но не оснащён NFC и Secure Element.

Кому подойдёт: если для вас важны открытый исходный код, прозрачность прошивки и возможность её обновления.

Что стоит учитывать: у Nitrokey 3C NFC меньше слотов для passkeys, программная экосистема менее зрелая, чем у Yubico, а поддержка PIV всё ещё развивается.

OnlyKey FIDO2 — нишевый вариант с аппаратным PIN

OnlyKey отличается от классических ключей в стиле Yubico. На самом устройстве есть шесть кнопок для ввода локального PIN и управления сохранёнными слотами. Это не только FIDO2/U2F-ключ для входа в аккаунты: он также может хранить логины, пароли, TOTP и другие данные, по логике приближаясь к аппаратному менеджеру паролей. Для части пользователей важен и подход с открытым исходным кодом.

Эта модель имеет смысл для тех, кому нужны больший контроль и более широкие возможности в одном устройстве. После 10 неправильных попыток ввода PIN данные на ключе полностью стираются.

Если вам нужен максимально простой ключ безопасности, YubiKey обычно будет понятнее. OnlyKey интереснее, когда от устройства требуется больше, чем просто подтверждение входа.

Кому подойдёт: если вы цените открытый исходный код, хотите аппаратный PIN и дополнительные возможности помимо базового FIDO-сценария.

Что стоит учитывать: порог входа выше, чем у обычных YubiKey, доступен только USB-A, а дополнительные функции нужны не всем.

Token2 — бюджетная альтернатива из Швейцарии

Token2 T2F2-PIN+ — ключ с USB-C + NFC и поддержкой FIDO2 + TOTP. Он поддерживает до 300 passkeys — это самый высокий показатель среди моделей в этом обзоре. Для TOTP требуется отдельное приложение Token2. Ключ производят в Швейцарии; он также поддерживает принудительные требования к сложности PIN, что редко встречается среди бюджетных моделей.

Кому подойдёт: если вы ищете бюджетный FIDO2-ключ с большим запасом слотов и NFC.

Что стоит учитывать: экосистема менее известна, а PIV и OpenPGP не поддерживаются.

Ключи безопасности FIDO2: сравнительная таблица

Где такие ключи реально работают

Google поддерживает security keys и passkeys; Apple позволяет добавлять ключи безопасности в Apple Account; Microsoft использует security key как полноценный способ входа; GitHub активно поддерживает passkeys, которые могут заменить пароль и 2FA за один шаг.

В криптосервисах ситуация менее однородная. Часть бирж поддерживает аппаратные ключи как второй фактор (2FA), но конкретная реализация отличается от сервиса к сервису. Перед покупкой проверьте настройки безопасности именно вашей биржи или криптосервиса.

Поэтому мы не рекомендуем покупать ключ вслепую. Лучше пройтись по своим сервисам — Google, Apple, Microsoft, GitHub, менеджеру паролей, бирже и рабочим системам — и уже под них выбрать нужный форм-фактор и набор функций.

Вывод

Если нужна простая рекомендация, то для большинства пользователей мы советуем два одинаковых Security Key C NFC by Yubico. Это понятный FIDO2-вариант с USB-C и NFC без переплаты за функции, которые могут никогда не понадобиться.

Если вы хотите купить ключ с запасом на рабочие и более технические сценарии, мы рекомендуем два одинаковых YubiKey 5C NFC. Если ваша основная техника использует USB-A, смотрите на соответствующие модели без «C» в названии.

Если для вас важно большое количество слотов для passkeys или нужна альтернатива Yubico, стоит посмотреть на Google Titan. Если приоритет — открытый исходный код, на Nitrokey. Если нужны аппаратный PIN и функции менеджера паролей — на OnlyKey. Если ищете бюджетный вариант с большим запасом слотов — на Token2.

Bio, Nano и 5Ci мы рекомендуем только тогда, когда их конкретный форм-фактор или функция действительно соответствуют вашему сценарию. Ключи безопасности FIDO2 стоит выбирать под свои устройства, сервисы и привычки — эти критерии важнее цены или количества дополнительных функций.

И последнее правило: если аккаунт для вас действительно важен, сразу покупайте два ключа. Резервный ключ — базовая часть нормальной схемы защиты.