Passkey: co to jest i jak działa logowanie bez hasła

Hasła od lat są najsłabszym ogniwem bezpieczeństwa w sieci. Ludzie powtarzają je w wielu serwisach, wpisują na fałszywych stronach, a bazy z ich skrótami regularnie wyciekają. Passkey, po polsku nazywany kluczem dostępu, to sposób logowania, w którym hasła po prostu nie ma. Zamiast wpisywać ciąg znaków, potwierdzasz logowanie odciskiem palca, skanem twarzy albo kodem PIN telefonu. Według FIDO Alliance na świecie działa już około 5 miliardów passkeys, a większość dużych usług pozwala je włączyć w kilka minut. W tym tekście wyjaśniamy, czym jest passkey, dlaczego jest bezpieczniejszy od hasła, jak działa logowanie bez hasła i jak zacząć z niego korzystać.

Czym jest passkey

Passkey to dane logowania oparte na kryptografii klucza publicznego, opisane w standardach FIDO2 i WebAuthn. Przy zakładaniu passkeya Twoje urządzenie tworzy parę kluczy: publiczny i prywatny. Klucz publiczny trafia na serwer usługi, na przykład do banku albo sklepu. Klucz prywatny zostaje na Twoim urządzeniu, w chronionym obszarze pamięci, i nigdy nie jest wysyłany do serwisu.

Każdy passkey jest przypisany do jednej konkretnej domeny. Klucz utworzony dla prawdziwego serwisu banku nie zadziała na stronie, która tylko udaje bank, nawet jeśli wygląda identycznie. Dla każdej usługi powstaje osobna para kluczy, więc nie da się powtórzyć passkeya tak, jak powtarza się hasło.

Jak działa logowanie bez hasła

Logowanie passkeyem to krótka wymiana między urządzeniem a serwerem:

• Serwer wysyła losowe wyzwanie, czyli jednorazowy ciąg danych.
• Urządzenie prosi Cię o potwierdzenie tożsamości: odcisk palca, twarz, PIN lub wzór blokady.
• Po potwierdzeniu urządzenie podpisuje wyzwanie kluczem prywatnym.
• Serwer sprawdza podpis kluczem publicznym i, jeśli się zgadza, wpuszcza Cię na konto.

Ważny szczegół: Twoja biometria nie jest nigdzie wysyłana. Odcisk palca czy skan twarzy sprawdza wyłącznie telefon lub komputer, lokalnie, tak samo jak przy odblokowaniu ekranu. Serwer dostaje tylko podpis kryptograficzny. Z punktu widzenia użytkownika całe logowanie trwa dwie, trzy sekundy i zastępuje jednocześnie hasło i kod SMS.

Dlaczego passkey jest odporny na phishing i wycieki

Przewaga passkeya nad hasłem wynika z samej konstrukcji, a nie z dyscypliny użytkownika.

• Phishing przestaje działać. Przeglądarka pozwala użyć passkeya tylko na domenie, dla której został utworzony. Na fałszywej stronie klucz po prostu się nie pojawi, więc nie ma czego przekazać oszustowi.
• Wyciek bazy nic nie daje. Serwis przechowuje wyłącznie klucze publiczne. Ktoś, kto je wykradnie, nie zaloguje się na żadne konto, bo do logowania potrzebny jest klucz prywatny z Twojego urządzenia.
• Brak powtórzeń. Każda usługa ma osobny klucz, więc włamanie do jednego serwisu nie otwiera drogi do kolejnych.
• Nic do zgadnięcia. Passkeya nie da się złamać metodą słownikową ani podejrzeć przez ramię.

Dla porównania: nawet hasło z kodem SMS można wyłudzić na fałszywej stronie, bo oszust w czasie rzeczywistym przekazuje oba składniki do prawdziwego serwisu. Przy passkeyu ten scenariusz nie zadziała.

Synchronizacja passkeys między urządzeniami

Pierwsze klucze sprzętowe FIDO były przywiązane do jednego fizycznego urządzenia. Dzisiejsze passkeys zwykle są synchronizowane, zaszyfrowane end-to-end, przez usługę, której i tak używasz:

• pęk kluczy iCloud i aplikację Hasła na iPhonie, iPadzie i Macu,
• Menedżer haseł Google na Androidzie i w Chrome,
• Windows Hello i konto Microsoft w systemie Windows,
• niezależne menedżery haseł, które działają na wielu systemach naraz.

Jeśli korzystasz z kilku ekosystemów, na przykład z iPhone’a i komputera z Windows, najwygodniej trzymać passkeys w jednym menedżerze haseł działającym wszędzie. Więcej o wyborze takiego narzędzia piszemy w tekście Menedżer haseł: jak działa i który wybrać.

Długo największą wadą passkeys było to, że trudno je było przenieść od jednego dostawcy do drugiego. FIDO Alliance opracowała standardy Credential Exchange Protocol i Credential Exchange Format, które pozwalają bezpiecznie eksportować i importować klucze między menedżerami. Wsparcie dla nich stopniowo pojawia się w systemach i aplikacjach, ale przed przeprowadzką warto sprawdzić, czy obie strony już je obsługują.

Logowanie na cudzym komputerze

Passkey nie wymaga, by klucz był na komputerze, przy którym siedzisz. Gdy logujesz się na cudzym laptopie lub komputerze w pracy, wybierz opcję logowania innym urządzeniem albo telefonem. Na ekranie pojawi się kod QR. Skanujesz go aparatem telefonu, telefon łączy się z komputerem przez Bluetooth, który potwierdza, że oba urządzenia są blisko siebie, a Ty zatwierdzasz logowanie odciskiem palca. Klucz prywatny przez cały czas zostaje w telefonie, a na cudzym sprzęcie nie zostaje żadne hasło do przechwycenia.

Jak włączyć passkey krok po kroku

Konkretne nazwy opcji różnią się między serwisami, ale schemat jest niemal zawsze ten sam:

1. Zaloguj się do usługi tradycyjnie, hasłem i drugim składnikiem.
2. Wejdź w ustawienia konta, w sekcję Bezpieczeństwo, Logowanie lub Hasło i zabezpieczenia.
3. Znajdź opcję Klucze dostępu, Passkeys albo Utwórz klucz dostępu.
4. Wybierz, gdzie ma być zapisany klucz: w systemie (iCloud, Google, Windows) lub w menedżerze haseł.
5. Potwierdź operację biometrią lub PIN-em urządzenia.
6. Wyloguj się i zaloguj ponownie, aby sprawdzić, czy wszystko działa.

Passkeys obsługują dziś między innymi konta Google, Apple i Microsoft, duże sklepy internetowe, część serwisów społecznościowych, platformy dla programistów i coraz więcej banków. Aktualną listę usług prowadzą niezależne katalogi, na przykład passkeys.directory. Zacznij od kont najważniejszych: poczty, konta systemowego telefonu i serwisów, w których masz zapisaną kartę płatniczą. Telefon to dziś główny nośnik kluczy, więc przy okazji warto wiedzieć, ile lat realnie działa smartfon i kiedy przestaje dostawać aktualizacje bezpieczeństwa.

Wady i ograniczenia

Passkey nie jest rozwiązaniem bez wad i warto je znać, zanim zrezygnujesz z haseł.

• Utrata urządzenia. Jeśli klucze były zsynchronizowane, odzyskasz je na nowym telefonie po zalogowaniu na konto Apple, Google lub do menedżera haseł. Jeśli passkey był zapisany tylko lokalnie lub na kluczu sprzętowym, bez zapasowej metody logowania możesz stracić dostęp.
• Zależność od dostawcy. Bezpieczeństwo synchronizowanych passkeys zależy od ochrony konta, które je przechowuje. Konto Apple, Google czy menedżer haseł musi mieć mocne zabezpieczenia.
• Nierówne wsparcie. Nie każda usługa obsługuje passkeys, a część pozwala na nie tylko jako dodatek, przy zachowanym haśle. Wtedy hasło nadal jest furtką dla atakującego.
• Mniej przewidywalne doświadczenie. Okna wyboru klucza wyglądają różnie w zależności od systemu i przeglądarki, co na początku bywa mylące.
• Starsze urządzenia. Bardzo stare systemy i przeglądarki nie obsługują WebAuthn.

Passkey a hasło z 2FA

Wniosek: tam, gdzie passkey jest dostępny, warto go włączyć. Tam, gdzie go nie ma, mocne, unikalne hasło z menedżera i drugi składnik logowania pozostają standardem. To samo dotyczy administratorów stron internetowych, dla których przejęte konto bywa równie groźne jak niezałatana podatność, taka jak opisywana przez nas krytyczna luka w WordPressie.

Lista kontrolna

• Upewnij się, że telefon i komputer mają aktualny system i włączoną blokadę ekranu z biometrią lub PIN-em.
• Zdecyduj, gdzie będziesz trzymać passkeys: w ekosystemie Apple, Google, Microsoft czy w niezależnym menedżerze haseł.
• Zabezpiecz to konto mocnym hasłem i drugim składnikiem, bo to ono chroni wszystkie klucze.
• Włącz passkey najpierw dla poczty e-mail i konta systemowego telefonu.
• Potem dodaj klucze do banku, sklepów i mediów społecznościowych.
• Utwórz drugi passkey na innym urządzeniu lub kluczu sprzętowym dla najważniejszych kont.
• Zapisz offline kody odzyskiwania tam, gdzie usługa je oferuje.
• Jeśli serwis pozwala, wyłącz logowanie samym hasłem po sprawdzeniu, że passkey działa.
• Przetestuj logowanie przez kod QR na innym komputerze.
• Raz na kilka miesięcy przejrzyj listę kluczy w ustawieniach kont i usuń te z nieużywanych urządzeń.

Passkey to pierwsza od lat zmiana w logowaniu, która jednocześnie podnosi bezpieczeństwo i upraszcza życie. Hasła nie znikną z dnia na dzień, ale każde konto przełączone na klucz dostępu to jedno konto mniej, które można przejąć przez fałszywą stronę lub wyciek cudzej bazy.

Źródła

1. FIDO Alliance: Passkeys
2. FIDO Alliance: World Passkey Day 2026
3. W3C: Web Authentication (WebAuthn) Level 3
4. Passkeys.directory: katalog usług obsługujących passkeys

Redakcja HotaruMiłośnicy nowych technologii

Redakcję Hotaru.pl tworzą doświadczeni copywriterzy, redaktorzy, specjaliści IT oraz pasjonaci nowych technologii. Łączy nas ciekawość świata, zamiłowanie do komputerów, elektroniki i oprogramowania, a także przekonanie, że nawet najbardziej złożone zagadnienia można wyjaśnić prostym i zrozumiałym językiem. Na bieżąco śledzimy rozwój sztucznej inteligencji, modeli LLM, sprzętu komputerowego oraz cyfrowych usług. Testujemy narzędzia, sprawdzamy informacje i oddzielamy rzeczywiste możliwości technologii od marketingowych obietnic. Każdy temat analizujemy z punktu widzenia specjalisty i użytkownika. Chcemy tworzyć treści rzetelne, praktyczne i przydatne, które pomagają lepiej rozumieć cyfrowy świat, podejmować świadome decyzje i wykorzystywać technologię w codziennym życiu.