Passkey to sposób logowania bez tradycyjnego hasła, oparty na kryptografii klucza publicznego i standardzie FIDO/WebAuthn. Użytkownik potwierdza logowanie np. odciskiem palca, Face ID, PIN-em urządzenia albo kluczem sprzętowym. Najważniejsza różnica względem hasła polega na tym, że serwis nie przechowuje sekretu, który można ukraść z bazy haseł i wpisać na fałszywej stronie.
Dlaczego passkeys są odporne na phishing?
FIDO projektowano tak, aby uwierzytelnienie było związane z konkretną domeną. Jeśli użytkownik trafi na stronę podszywającą się pod usługę, klucz nie zostanie użyty do zalogowania na niewłaściwej domenie. CISA wskazuje FIDO/WebAuthn jako szeroko dostępny sposób uwierzytelniania odporny na phishing.
Czy passkey to po prostu kod SMS?
Nie. SMS jest jedną z najsłabszych form drugiego składnika uwierzytelniania. Passkey wykorzystuje kryptografię, a autoryzacja odbywa się na urządzeniu użytkownika. Kod nie jest przepisywany między stronami, więc typowy phishing „podaj kod z SMS” przestaje działać.
Co z utratą telefonu lub laptopa?
To zależy od sposobu przechowywania passkey. Klucze mogą być synchronizowane przez ekosystem dostawcy albo związane z fizycznym kluczem sprzętowym. Firma powinna mieć procedurę odzyskiwania konta oraz co najmniej dwa niezależne sposoby dostępu do kont krytycznych.
Dlaczego temat jest aktualny właśnie teraz?
FIDO Alliance podał w 2026 roku, że passkeys weszły do głównego nurtu użycia, a wsparcie istnieje we wszystkich głównych systemach operacyjnych i przeglądarkach. Jednocześnie organizacje bezpieczeństwa coraz częściej rekomendują MFA odporne na phishing jako docelowy standard dla kont administracyjnych.
Od których kont zacząć w firmie?
- główna skrzynka e-mail i konta administratorów poczty,
- hosting i rejestrator domen,
- Google/Microsoft/Apple używane przez firmę,
- system finansowy i księgowość,
- social media i konta reklamowe,
- repozytoria kodu i narzędzia administracyjne.
Czy trzeba rezygnować ze wszystkich haseł od razu?
Nie. Migracja może być stopniowa. Najważniejsze jest ograniczenie ryzyka na kontach, których przejęcie daje atakującemu dostęp do innych systemów. E-mail, domena i panel hostingu często są bardziej krytyczne niż pojedyncze konto w mniej ważnej aplikacji.
Passkey nie rozwiązuje wszystkich problemów bezpieczeństwa
Nadal można paść ofiarą złośliwego oprogramowania, błędów uprawnień, wycieku danych albo socjotechniki niezwiązanej z logowaniem. Passkeys mocno ograniczają jedną z najczęstszych dróg przejęcia kont, ale nadal potrzebne są aktualizacje, backup, rozsądne role użytkowników i monitoring.
