--- locale: "fr" updated_at: "2026-11-12T14:39:45.455Z" canonical: "https://www.isdecisions.com/fr/userlock/docs/support/faq/cles-securite-fido2" --- # Clés de sécurité FIDO2 Trouvez des réponses sur les clés de sécurité FIDO2 dans UserLock : Bureau à distance, code PIN, connexion hors ligne, clés perdues ou volées. ## Quelles clés de sécurité FIDO2 les utilisateurs peuvent-ils enrôler ? Toute clé de sécurité FIDO2 (CTAP2), comme les clés YubiKey, Token2, SoloKeys ou Feitian, utilisée en USB ou avec un lecteur NFC. La clé doit être protégée par un code PIN : si elle n’en a pas, l’utilisateur en crée un lors de l’enrôlement. Voir [Enrôler les utilisateurs avec une clé de sécurité FIDO2](/userlock/docs/guides/inscription-utilisateurs-mfa/fido2-cle-securite). ## Où les utilisateurs peuvent-ils se connecter avec une clé de sécurité FIDO2 ? - Sessions Windows, en local et via le Bureau à distance - Demandes d’élévation UAC - RD Gateway, RD Web Access et RemoteApp - Applications IIS - Applications SaaS via le SSO UserLock ## Quels hôtes de session et clients prennent en charge les clés de sécurité via le Bureau à distance et RemoteApp ? La clé reste sur l’ordinateur client : Windows la redirige dans la session grâce à la redirection WebAuthn, qui nécessite un hôte de session et un client pris en charge. #### Prérequis de l’hôte de session L’agent Station UserLock 13.1 ou ultérieur, et l’un de ces systèmes : | OS de l’hôte de session | Build minimum | | --- | --- | | Windows Server 2025 | Toutes les builds | | Windows Server 2022 | 20348.1070 | | Windows 11 22H2 ou ultérieur | 22621 | | Windows 10 21H2 | 19044.2075 | | Windows Server 2019 et versions antérieures | ❌ **Non pris en charge** | #### Client Bureau à distance Clients pris en charge : - ✅ Connexion Bureau à distance (`mstsc.exe`), - ✅ Windows App, - ✅ VMConnect Hyper-V en mode session améliorée. Non pris en charge : - ❌ VMConnect en session de base, - ❌ l’application « Bureau à distance » du Microsoft Store, - ❌ la plupart des clients tiers. ## Comment autoriser la redirection WebAuthn sur les hôtes de session ? La redirection WebAuthn est autorisée par défaut. Si les clés de sécurité ne fonctionnent pas via le Bureau à distance, vérifiez deux paramètres sur les hôtes de session : - **Stratégie de groupe** : la stratégie **Ne pas autoriser la redirection WebAuthn** doit être **Non configuré** ou **Désactivé**. Elle se trouve dans : `Configuration ordinateur > Modèles d'administration > Composants Windows > Services Bureau à distance > Hôte de la session Bureau à distance > Redirection de périphérique et de ressource` - **Fichiers RDP** : les fichiers .rdp et les programmes RemoteApp que vous publiez ne doivent pas contenir `redirectwebauthn:i:0`. Si l’un de ces paramètres bloque la redirection, les clés de sécurité ne fonctionnent pas. La redirection fonctionne avec un Active Directory sur site : la jonction à Microsoft Entra n’est pas nécessaire. ## La fenêtre de la clé de sécurité ne s’affiche pas dans une session Bureau à distance. Que dois-je vérifier ? - L’utilisateur se connecte avec `mstsc.exe`, Windows App ou VMConnect en mode session améliorée. - L’hôte de session exécute un système et une build pris en charge. Windows Server 2019 n’est pas pris en charge. - La redirection WebAuthn n’est bloquée ni par une GPO, ni par le fichier .rdp. - L’hôte de session exécute l’agent Station UserLock 13.1 ou ultérieur. Voir [Quels hôtes de session et clients prennent en charge les clés de sécurité via le Bureau à distance et RemoteApp ?](/userlock/docs/support/faq/cles-securite-fido2#4b33f93f-9ecc-4d44-8481-54d485e23e83) ## Les utilisateurs peuvent-ils enrôler une clé de sécurité depuis une session Bureau à distance ? Oui, si l’hôte de session et le client Bureau à distance prennent en charge la redirection des clés de sécurité. Voir [Quels hôtes de session et clients prennent en charge les clés de sécurité via le Bureau à distance et RemoteApp ?](/userlock/docs/support/faq/cles-securite-fido2#4b33f93f-9ecc-4d44-8481-54d485e23e83) ## Comment exiger le code PIN à chaque connexion ? Par défaut, lors d’une connexion en ligne, les utilisateurs se contentent de toucher leur clé ou de l’approcher du lecteur NFC. Le code PIN est toujours demandé lors de l’enrôlement et pour la connexion hors ligne. Pour exiger le code PIN de la clé à chaque connexion : 1. Allez dans ⚙ **Paramètres serveur** ▸ **[Paramètres avancés](/userlock/docs/reference/parametres-serveur/parametres-avances)**. 2. Dans la catégorie **Authentification multifacteur**, passez **Vérification utilisateur FIDO2** de **Déconseillée** (par défaut) à **Requise**. 3. Sélectionnez **Sauvegarder**. Avec PowerShell : ``` Set-UserLockServerConfiguration MfaFido2UserVerification Required ``` Le code PIN est toujours demandé lors de l’enrôlement et pour la connexion hors ligne, quel que soit ce paramètre. **⚠️ Les paramètres avancés peuvent affecter la stabilité et la sécurité de UserLock. Ne modifiez que ****Vérification utilisateur FIDO2****.** ## Les utilisateurs peuvent-ils se connecter avec une clé de sécurité lorsque leur ordinateur est hors ligne ? Oui, sur un ordinateur où ils se sont déjà connectés en ligne avec cette clé. L’enrôlement compte comme première connexion en ligne sur l’ordinateur où il a lieu. Les utilisateurs qui travaillent sur plusieurs ordinateurs doivent se connecter une fois en ligne sur chacun d’eux. La connexion hors ligne demande toujours le code PIN de la clé. Pour exiger la MFA lorsque les ordinateurs ne peuvent pas joindre le serveur UserLock, voir [Exiger la MFA quand l’agent ne peut pas joindre UserLock](/userlock/docs/guides/implementation-mfa/comment-mettre-en-place-la-mfa#exiger-la-mfa-quand-lagent-ne-peut-pas-joindre-userlock). ## Quelles méthodes de secours les utilisateurs peuvent-ils associer à une clé de sécurité ? Une seconde clé de sécurité ou une application d’authentification (TOTP), ainsi que des codes de récupération si vous les activez. Chaque utilisateur peut enrôler deux clés de sécurité, ou une clé et une autre méthode. Un utilisateur ne peut pas associer une clé de sécurité aux notifications Push ni aux clés USB (HOTP). La possibilité d’enregistrer une méthode de secours dépend du paramètre **Méthode MFA alternative**. Voir [Configurer vos méthodes MFA](/userlock/docs/guides/implementation-mfa/configure-your-mfa-methods). ## Comment remplacer une clé de sécurité FIDO2 perdue ou volée ? La réinitialisation de la configuration MFA de l’utilisateur supprime toutes ses méthodes MFA, y compris une clé de secours qui n’a pas été perdue. 1. Réinitialisez la configuration MFA de l’utilisateur. Voir [Aider les utilisateurs bloqués par la MFA](/userlock/docs/guides/implementation-mfa/comment-mettre-en-place-la-mfa#aider-les-utilisateurs-bloqus-par-la-mfa). 2. Si l’utilisateur ne peut pas se connecter avant de recevoir une nouvelle clé, désactivez temporairement la MFA pour lui, pendant la durée la plus courte possible. 3. Demandez à l’utilisateur de s’enrôler à sa prochaine connexion avec la clé de remplacement, et avec sa clé de secours s’il en a une. La réinitialisation supprime toutes ses clés de sécurité. **⚠️** **Un ordinateur n’applique la réinitialisation qu’à son prochain contact avec le serveur UserLock.** D’ici là, la clé perdue peut encore servir à se connecter hors ligne sur cet ordinateur, avec son code PIN. ## Puis-je modifier le Relying Party ID (RP ID) après l’enrôlement des utilisateurs ? Oui, mais tous les utilisateurs enrôlés avec FIDO2 doivent s’enrôler de nouveau, car chaque clé est liée au RP ID défini lors de l’enrôlement. Contactez le support IS Decisions avant de le modifier. 1. Réinitialisez la configuration MFA de chaque utilisateur enrôlé avec FIDO2. Pour les afficher, cliquez sur le nombre d’utilisateurs inscrits sur la carte **Clés de sécurité FIDO2**. 2. Dans ⚙️ **Paramètres serveur** ▸ **MFA**, cliquez sur l’icône de modification à côté du RP ID, sur la carte **Clés de sécurité FIDO2**. Cette action nécessite l’autorisation complète sur les paramètres serveur. 3. Définissez le nouveau RP ID, puis sélectionnez **Continuer** et **Sauvegarder**. Les utilisateurs enrôlent de nouveau leurs clés à leur prochaine connexion. Si un utilisateur est encore enrôlé, l’icône de modification ouvre à la place la fenêtre **Désinscrivez les utilisateurs FIDO2 pour changer le RPID**. ## Quel est le RP ID sur un serveur de terminal indépendant ? Le nom de la machine. Sur un serveur de terminal indépendant, l’activation de FIDO2 n’ouvre aucune fenêtre : UserLock définit automatiquement le RP ID, et vous ne pouvez pas le modifier. ## Que deviennent les clés enrôlées si je désactive les clés de sécurité FIDO2 ? Les utilisateurs déjà enrôlés peuvent toujours se connecter avec leur clé, mais les nouveaux utilisateurs ne peuvent plus s’enrôler avec FIDO2. UserLock conserve le RP ID : les clés enrôlées continuent de fonctionner lorsque vous réactivez FIDO2. Tant qu’au moins un utilisateur est enrôlé, le RP ID et le domaine de l’URL publique de l’application MFA IIS restent verrouillés.