Al posto della password, il servizio registra una chiave pubblica; la chiave privata resta sul dispositivo dell'utente. Per entrare basta confermare l'accesso con lo sblocco del telefono o del computer.
Il vantaggio principale è la resistenza al phishing: una passkey funziona solo sul sito per cui è stata creata, quindi una pagina falsa non può usarla. Non c'è nemmeno una password da rubare o da riusare.
È disponibile solo se l'operatore la supporta, e molti servizi la affiancano alla password tradizionale. Le passkey possono essere sincronizzate tra dispositivi dello stesso utente tramite il gestore di password del sistema.
Esempi
- Il giocatore crea una passkey dalle impostazioni di sicurezza e accede con l'impronta.
- Un sito clone non riesce a usare la passkey creata per il sito vero.
- Accesso dal computer confermato con il telefono.
- Operatore che non supporta le passkey → resta password più verifica in due passaggi.