Passkeys (klucze dostępu) to metoda logowania bez hasła, w której użytkownik potwierdza tożsamość biometrią lub kodem PIN na swoim urządzeniu. Opiera się na parze kluczy, a serwis przechowuje tylko klucz publiczny.
Jak działają passkeys?
Podczas rejestracji urządzenie tworzy parę kluczy, a klucz prywatny zostaje na nim. Przy logowaniu urządzenie podpisuje wyzwanie serwera, co potwierdza tożsamość bez wysyłania hasła.
Dlaczego passkeys są bezpieczniejsze od haseł?
Nie da się ich wyłudzić przez phishing, bo działają tylko dla prawdziwej domeny, i nie wyciekną z bazy serwisu. Brak hasła eliminuje też ataki brute force i credential stuffing.
Jak wdrożyć passkeys w serwisie?
Wykorzystaj standard WebAuthn dostępny w przeglądarkach i bibliotekach serwerowych. Zostaw alternatywną metodę odzyskiwania konta oraz możliwość kilku kluczy na użytkownika.
Passkey to para kluczy zapisana na urządzeniu i odblokowywana biometrią lub PIN-em. Klucz prywatny nie opuszcza urządzenia, a klucz publiczny trafia do serwisu. Standard oparty jest na FIDO2 i WebAuthn.