Bezpečnostní klíče FIDO2 (YubiKey, Titan) – jak fungují, jak je nastavit a proč mít dva

Bezpečnostní klíč FIDO2 je malé fyzické zařízení (podobné USB flash disku či přívěšku), které potvrzuje přihlášení dotykem či přiložením. Patří k nejsilnějším formám ověření, jaké jsou běžným uživatelům k dispozici: je odolný vůči phishingu, nedá se zachytit ani zkopírovat jako SMS kód a bez klíče se do chráněného účtu nepřihlásí ani útočník, který zná heslo. Známé jsou například YubiKey (od firmy Yubico) či Titan Security Key (Google). Používají ho novináři, administrátoři, ale i běžní uživatelé, kteří chtějí maximálně chránit klíčové účty, například e-mail.

V tomto článku vysvětlujeme, jak bezpečnostní klíče fungují, čím se liší od ověřovací aplikace a passkeys, jak je nastavit a proč je správné mít dva klíče, jak se rozhodnout mezi USB a NFC, co je program Advanced Protection u Googlu a jaké jsou nevýhody a rizika. Informace vycházejí z oficiální nápovědy, například z Google: Program Advanced Protection a z přehledu Yubico YubiKey – průvodce pro jednotlivce (anglicky). Kroky se mohou měnit podle služby a modelu, proto je vždy ověřte v aktuální nápovědě.

Další návody najdete v kategorii Hesla a přihlašování, například Passkeys, Dvoufaktorová autentizace a Správce hesel.

Aktualizováno: listopad 2026.

Jak bezpečnostní klíč funguje

Klíč obsahuje čip s uloženým soukromým klíčem, který z něj nikdy neodejde. Při přihlášení služba vyšle „výzvu“, klíč ji podepíše po vašem potvrzení (dotyk na tlačítko, někdy PIN či biometrie) a služba podpis ověří. Důležité je, že klíč kontroluje, ke které službě se přihlašujete: pokud jste na podvodné stránce s podobnou adresou, klíč podpis neposkytne. Phishing tak nefunguje ani tehdy, když uživatel stránce uvěří. Používají se standardy FIDO2/WebAuthn (podrobnosti na passkeys.dev) (u starších klíčů také U2F). Klíč nepotřebuje baterii a funguje po zasunutí do USB nebo přiložení k telefonu (NFC).

Orientační postup nastavení bezpečnostního klíče FIDO2 – vlastní infografika

Dva klíče: proč je záloha nutná

Oficiální nápověda Google doporučuje mít dva klíče: hlavní, který používáte denně a který funguje na telefonech i počítačích, a záložní, který je uložen na bezpečném místě. Klíč lze ztratit, rozbít nebo zapomenout, a pokud je to jediná cesta do účtu, může vás zamknout. Proto při nastavování zaregistrujte oba klíče do každého účtu ve stejné chvíli, dokud je máte u sebe. Záložní klíč neponechávejte v tašce s hlavním, ale uložte jej odděleně (například v trezoru či u důvěryhodné osoby). Zvažte i další záložní metody účtu: záložní kódy, druhý typ ověření (pokud to služba umožní) a aktuální obnovovací e-mail a telefon. Při ztrátě klíče jej v účtu odeberte a zaregistrujte nový.

PIN a ochrana klíče

Některé klíče podporují FIDO2 PIN, který je třeba pro použití klíče u služeb, které jej vyžadují. Podle průvodce Yubico se PIN nastavuje předem pomocí dodávaného nástroje (například Yubico Authenticator či YubiKey Manager). PIN zvolte jedinečný a nesdílený, nepoužívejte datum narození ani jednoduché sekvence a nezapisujte jej na klíč. Při několika neúspěšných zadáních se funkce může zablokovat, proto si PIN uložte do správce hesel. Fyzický klíč chraňte jako klíče od domova: nenechávejte jej trvale zapojený ve sdíleném počítači a nepůjčujte jej. Pokud klíč ztratíte, okamžitě jej odeberte z důležitých účtů z jiného zařízení.

USB nebo NFC: jak vybrat model

Při výběru dbejte na konektory a podporu NFC: modely existují s USB-A, USB-C, případně Lightning či NFC. Pro telefon s Androidem či iPhone se hodí NFC (přiložení), pro starší počítače USB-A, pro novější USB-C. Cena se obvykle pohybuje od několika set do více než tisíce korun podle modelu. Před koupí zjistěte, jaké konektory mají vaše zařízení, a zda klíč podporuje FIDO2 (nikoli jen starší U2F), protože ne všechny služby jej přijmou. Klíč kupujte jen u výrobce či autorizovaných prodejců; padělané klíče z neověřených zdrojů mohou být nebezpečné. Pokud používáte Apple, ověřte kompatibilitu s konkrétním modelem iPhonu či Macu.

Program Advanced Protection od Googlu

Google nabízí program rozšířené ochrany (Advanced Protection) pro uživatele s vysokým rizikem (novináři, politici, aktivisté, správci). Podle dostupných zdrojů vyžaduje jako druhý krok fyzický bezpečnostní klíč nebo přístupový klíč a omezuje slabší metody, například SMS či ověřovací aplikace; také omezuje přístup aplikací třetích stran k účtu. Doporučuje se mít dva klíče. Program zvyšuje bezpečnost, ale snižuje pohodlí: některé starší aplikace či služby nemusí fungovat. Zvažte jej, pokud jste ohroženi cíleným útokem, a ujistěte se, že rozumíte důsledkům. Pro běžného uživatele často stačí zapnuté ověření ve dvou krocích s ověřovací aplikací či passkeys.

Klíč, passkeys a ověřovací aplikace

Bezpečnostní klíč je jedna z forem přístupového klíče, ale na rozdíl od passkeys uložených ve vašem telefonu je vázaný na fyzické zařízení. Ověřovací aplikace (kódy) jsou praktické, ale mohou být vyzrazeny na falešné stránce; klíč nikoli. Pro výběr zvažte: maximální bezpečnost a ochranu před phishingem (klíč), pohodlí (passkeys v telefonu) a univerzální podporu (aplikace s kódy). Mnoho lidí kombinuje: klíč pro nejdůležitější účty, aplikaci pro ostatní a správce hesel pro hesla; viz Passkeys a Dvoufaktorová autentizace.

Kontrolní seznam pro bezpečný fyzický klíč – vlastní infografika

Nevýhody a rizika

Fyzické klíče mají omezení:

• Cena a nutnost mít alespoň dva kusy.
• Podpora: ne všechny služby klíče přijímají, někde slouží jen jako druhý krok.
• Ztráta a poškození: bez zálohy hrozí zamčení účtu.
• Pohodlí: klíč je třeba mít po ruce, na telefonech se může hodit NFC.
• Falešné klíče a „hardwarové peněženky“ z neověřených zdrojů.
• Sociální inženýrství: i s klíčem může útočník využít obnovu účtu, pokud je záložní způsob slabý.

Proto zabezpečte obnovu účtu a ponechte si záložní kódy v bezpečí. Viz phishing a sociální inženýrství.

Co dělat při ztrátě či poškození klíče

Postupujte klidně: přihlaste se záložním klíčem či jinou záložní metodou, odeberte ztracený klíč z důležitých účtů (Google, Microsoft, správce hesel, sociální sítě) a zaregistrujte nový. Pokud nemáte záložní klíč, použijte záložní kódy a obnovovací postup služby. Zkontrolujte přihlášená zařízení a aktivitu účtu. Pokud je klíč chráněn PIN, riziko zneužití najdeným klíčem je nižší, ale neignorujte jej. U firemních klíčů informujte správce. Ztrátu klíče nepovažujte za důvod k vypnutí ochrany; po nahrazení se vraťte k plnému zabezpečení.

Časté problémy

Klíč se nenabízí: zkontrolujte, zda služba podporuje FIDO2, a zda máte správný prohlížeč či systém. Telefon klíč nečte: ověřte NFC, polohu klíče a konektor. Zapomenutý PIN: postupujte podle návodu výrobce; může být nutný reset klíče, který smaže uložené přihlašovací údaje. Klíč nefunguje po aktualizaci: zkuste jiný port a aktualizujte prohlížeč. Přihlášení jen s klíčem selhává: použijte záložní klíč či kód.

Bezpečnostní klíče v kostce

Základní údaje – vlastní infografika

Výhody a nevýhody

Souhrn pro běžného uživatele – vlastní infografika

Související články

Další návody najdete v kategorii Hesla a přihlašování: Passkeys, Dvoufaktorová autentizace, Správce hesel a Silné heslo.

Shrnutí

Bezpečnostní klíč FIDO2 nabízí špičkovou ochranu před phishingem, ale vyžaduje disciplínu: kupte jej od ověřeného prodejce, mějte dva klíče, uložte záložní klíč zvlášť a ponechte záložní kódy. Aktuální informace najdete v nápovědě Google.

Často kladené otázky k bezpečnostním klíčům