Passkeys, po polsku klucze dostępu, to logowanie bez hasła: zamiast wpisywać cokolwiek, potwierdzasz tożsamość odciskiem palca albo skanem twarzy, a kryptografia załatwia resztę. To już nie ciekawostka dla geeków – według FIDO Alliance na świecie działa około 5 miliardów passkeys, a 75% konsumentów włączyło je na co najmniej jednym koncie. Microsoft poszedł najdalej: od maja 2025 nowe konta zakłada się w ogóle bez hasła. Wyjaśniam, jak to działa, jak włączyć klucze dostępu u Google’a, Apple’a i na Allegro oraz co się dzieje, gdy zgubisz telefon.
W skrócie: passkey to para kluczy kryptograficznych – publiczny leży na serwerze, prywatny nigdy nie opuszcza Twojego urządzenia. Logowanie kończy się sukcesem w 93% przypadków (hasła: 63%) i jest z definicji odporne na phishing, bo klucz działa tylko na prawdziwej domenie. Passkeys synchronizują się przez konto Google, iCloud albo menedżer haseł, a nowy standard eksportu CXF/CXP kończy z zamknięciem kluczy w jednym ekosystemie.
Jak działa passkey
Przy zakładaniu klucza dostępu urządzenie generuje parę kluczy zgodną ze standardami FIDO2/WebAuthn. Klucz publiczny wędruje na serwer serwisu, prywatny zostaje u Ciebie i nigdy nigdzie nie jest wysyłany. Logowanie to krótka kryptograficzna rozmowa: serwer rzuca „wyzwanie”, Twoje urządzenie podpisuje je kluczem prywatnym, serwer sprawdza podpis kluczem publicznym. Ty widzisz z tego tylko prośbę o odcisk palca.
Z tej konstrukcji wynikają trzy rzeczy naraz. Biometria zostaje na urządzeniu – serwis nigdy nie widzi Twojej twarzy ani odcisku. Każdy serwis dostaje osobną parę kluczy, więc wyciek bazy ujawnia tylko bezużyteczne klucze publiczne. I najważniejsze: klucz jest przypisany do konkretnej domeny, więc podrobiona strona logowania nie wyłudzi niczego – passkey po prostu na niej nie zadziała. Do tego jeden gest zastępuje hasło i kod 2FA łącznie.
Passkey kontra hasło – dlaczego wygrywa
Hasła da się wykraść z bazy, wyłudzić phishingiem, złamać siłowo i wykorzystać ponownie na innych kontach. Passkey eliminuje wszystkie cztery wektory jednym ruchem, bo nie istnieje żaden sekret, który można przechwycić lub odgadnąć. Liczby to potwierdzają: logowanie kluczem dostępu kończy się sukcesem w około 93% przypadków, tradycyjne hasło z kodami w 63%. Nic dziwnego, że 68% dużych organizacji już wdraża passkeys u pracowników, a co czwarta w pełni przeszła na logowanie bezhasłowe.
Jak włączyć klucze dostępu w najważniejszych serwisach
Google: konto Google → Bezpieczeństwo → „Klucze dostępu i klucze bezpieczeństwa” → „Utwórz klucz dostępu”. Na komputerze potwierdzasz przez Windows Hello lub Touch ID, na telefonie biometrią. Android często tworzy passkey sam przy pierwszym użyciu. Apple trzyma klucze w Pęku kluczy iCloud – podejrzysz je w aplikacji Hasła – a na cudzym komputerze logujesz się przez kod QR skanowany iPhone’em. Microsoft od maja 2025 zakłada wszystkie nowe konta domyślnie bez hasła, a istniejący użytkownicy mogą hasło całkowicie usunąć z konta.
Lista serwisów rośnie z miesiąca na miesiąc: Facebook i Messenger od 18 czerwca 2025 (jeden passkey na oba, zarządzanie w Centrum kont), WhatsApp, Amazon, PayPal, eBay, PlayStation, Discord, a w Polsce m.in. Allegro, Wirtualna Polska i Onet. Pełny katalog znajdziesz na passkeys.directory. Uwaga na drobiazg: część serwisów wspiera passkey tylko w aplikacji mobilnej albo tylko jako drugi składnik, nie jako pełne logowanie.
Zmiana telefonu, zgubione urządzenia
W ramach jednego ekosystemu synchronizacja dzieje się sama: Pęk kluczy iCloud na sprzętach Apple, Menedżer haseł Google na Androidzie i w Chrome. Kupujesz nowy telefon, logujesz się na konto – klucze wracają. Przy mieszanym zestawie (iPhone plus Windows plus Android) lepiej sprawdzi się menedżer haseł pokroju Bitwardena czy 1Password, który nie zamyka kluczy w silosie jednej platformy.
Zgubienie jednego urządzenia niczego nie psuje – klucze są na pozostałych. Prawdziwe ryzyko to utrata wszystkich naraz: wtedy ratunkiem jest odzyskanie konta chmurowego, które staje się pojedynczym punktem awarii. Zabezpiecz je więc jak sejf: mocne 2FA i kody zapasowe w bezpiecznym miejscu. Praktyczna zasada przejściowa: trzymaj passkey na minimum dwóch urządzeniach albo zostaw sobie zapasową metodę logowania, dopóki procedury odzyskiwania nie okrzepną.
Koniec lock-inu – standard eksportu CXF i CXP
Najpoważniejszy zarzut wobec passkeys właśnie traci aktualność. Przez lata klucz zapisany w iCloud nie miał prawa trafić na Androida – jedynym wyjściem było tworzenie osobnych kluczy na każdej platformie. FIDO Alliance domknęło jednak standardy przenoszenia poświadczeń: format CXF zatwierdzono w sierpniu 2025, a szyfrowany protokół transferu CXP finalizowano na początku 2026. Apple wdrożyło transfer w iOS 26 i macOS 26, Google dodał odpowiednie API w Androidzie, a w pracach uczestniczą też Microsoft, 1Password, Bitwarden i Dashlane. Koniec z ryzykownym eksportem przez pliki CSV – poświadczenia przenoszą się zaszyfrowane od końca do końca.
Passkey czy klucz sprzętowy
Obie technologie wyrastają z tej samej rodziny standardów FIDO i obie są odporne na phishing. Różnica leży w tym, gdzie mieszka klucz prywatny. Passkey synchronizowany przez chmurę jest kopiowalny między urządzeniami: maksimum wygody, zero kosztów. Klucz sprzętowy, jak YubiKey, trzyma klucz prywatny w odpornym na manipulacje chipie i nie pozwala go skopiować – najwyższy poziom pewności NIST AAL3 spełniają wyłącznie takie nieeksportowalne klucze, o czym szerzej pisałem przy okazji kluczy U2F/FIDO2.
Rekomendacja jest prosta. Zwykłe konta – synchronizowane passkeys w zupełności wystarczą. Dziennikarze, administratorzy, posiadacze kryptowalut i osoby z dostępem do wrażliwych danych – klucz sprzętowy, ewentualnie passkey zapisany bezpośrednio na nim. I jedna pułapka na koniec: dopóki serwis pozwala logować się awaryjnie hasłem albo SMS-em, bezpieczeństwo konta równa się najsłabszej dozwolonej metodzie. Tam, gdzie się da, usuwaj słabsze ścieżki logowania.
Najczęstsze pytania o passkeys
Co to jest passkey?
Klucz dostępu – bezhasłowa metoda logowania oparta na parze kluczy kryptograficznych (standardy FIDO2/WebAuthn). Klucz publiczny leży na serwerze, prywatny nigdy nie opuszcza Twojego urządzenia, a logowanie potwierdzasz biometrią lub PIN-em.
Jeden gest zastępuje jednocześnie hasło i kod dwuskładnikowy.
Czy passkeys są bezpieczniejsze od haseł?
Tak, konstrukcyjnie. Nie da się ich wykraść z bazy (serwer ma tylko klucz publiczny), wyłudzić phishingiem (działają wyłącznie na prawdziwej domenie), złamać siłowo ani użyć ponownie na innym koncie.
Do tego logowanie kluczem kończy się sukcesem w ok. 93% przypadków, wobec 63% dla hasła z kodami.
Jak włączyć passkey na koncie Google?
Wejdź w konto Google → Bezpieczeństwo → „Klucze dostępu i klucze bezpieczeństwa” → „Utwórz klucz dostępu”. Na komputerze potwierdzisz przez Windows Hello lub Touch ID, na telefonie odciskiem palca albo skanem twarzy.
Telefony z Androidem zalogowane na konto Google często tworzą passkey automatycznie przy pierwszym użyciu.
Co się stanie z passkeys, gdy zgubię telefon?
Nic groźnego, jeśli masz je zsynchronizowane – klucze czekają na pozostałych urządzeniach zalogowanych do tego samego konta Google, iCloud lub menedżera haseł, a na nowym telefonie wracają po zalogowaniu.
Dopiero utrata wszystkich urządzeń naraz wymaga odzyskania konta chmurowego – dlatego zabezpiecz je mocnym 2FA i kodami zapasowymi.
Czy da się przenieść passkeys między iPhone’em a Androidem?
Coraz częściej tak. Standardy FIDO Alliance – format CXF (zatwierdzony w sierpniu 2025) i protokół CXP – umożliwiają szyfrowany transfer poświadczeń między platformami; Apple wdrożyło go w iOS 26, a Google dodał API w Androidzie.
Alternatywa od zawsze: menedżer haseł typu Bitwarden lub 1Password, który działa na wszystkich platformach naraz.
Passkey czy klucz sprzętowy YubiKey – co wybrać?
Do zwykłych kont wystarczą synchronizowane passkeys: wygodne, darmowe, odzyskiwalne przez chmurę. Klucz sprzętowy trzyma klucz prywatny w niekopiowalnym chipie i jako jedyny spełnia najwyższy poziom pewności NIST AAL3.
Wybierz sprzętowy, jeśli chronisz kryptowaluty, administrujesz systemami albo pracujesz z wrażliwymi danymi. YubiKey potrafi zresztą przechowywać także passkeys.
