Опубліковано: · автор: kodewright
Що таке passkey і чи варто переходити на ключі доступу (2026)
Чи варто користуватися ключами доступу (passkeys)? Так, почніть із пошти. Що таке passkey, які акаунти перевести першими і що буде, якщо загубити телефон.
Так, ключами доступу (passkeys) варто користуватися, і почати слід із поштової скриньки та головного акаунта на телефоні (Google, Apple або Microsoft). Passkey замінює введення пароля тією самою перевіркою обличчям, відбитком чи PIN-кодом, якою ви й так відкриваєте телефон. Його неможливо виманити на фальшивому сайті, а зламаному сайту нема чого «злити». Проте старий пароль і коди відновлення поки що залиште, а відновлення налаштуйте заздалегідь, до того як воно знадобиться. Саме цей крок пропускає більшість порад «переходьте на passkeys».
Що таке passkey, в одному абзаці
Passkey — це пара цифрових ключів. Коли ви його створюєте, сайт зберігає відкриту половину, а ваш телефон чи менеджер паролів — приватну. Під час входу пристрій доводить, що має приватну половину, після того як ви підтвердите, що це ви, обличчям, відбитком або PIN-кодом. Apple формулює це так: сервер ніколи не дізнається, яким є приватний ключ. З цього випливають дві речі. Витік даних із сайту не дасть нікому нічого, чим можна увійти, а passkey, створений для google.com, просто не спрацює на схожій фішинговій сторінці, бо пристрій перевіряє справжню адресу сайту, перш ніж відповісти.
Це вже не експеримент. FIDO Alliance, галузеве об'єднання, що стоїть за стандартом, у травні 2026 року оцінило кількість ключів доступу у використанні приблизно в 5 мільярдів, а 75% опитаних увімкнули passkey хоча б для одного акаунта.
Які акаунти перевести першими
Рухайтеся в такому порядку, бо кожен акаунт захищає ті, що нижче:
- Ваша пошта. Хто контролює вашу скриньку, той може скинути будь-який інший пароль. В акаунті Google це «Безпека» → «Ключі доступу й ключі безпеки».
- Головний акаунт на телефоні (акаунт Google, Apple чи Microsoft), якщо це не та сама пошта.
- Менеджер паролів, якщо ви ним користуєтеся і він підтримує вхід із passkey.
- Банківські та платіжні застосунки, які їх пропонують.
- Соцмережі (Instagram, Facebook) та інтернет-магазини.
Переводити все за один вечір не потрібно. Перші два пункти закривають більшу частину шкоди, якої може завдати зламаний акаунт; у інструкції про те, що робити, якщо акаунт зламали, видно, чому пошта завжди йде першою.
Перш ніж почати, відкрийте Перевірку Passkey на телефоні чи комп'ютері, яким користуватиметеся. Вона покаже, чи підтримують цей браузер і пристрій ключі доступу та підказку автозаповнення. Перевірка працює у вашому браузері, і жодні дані про пристрій нікуди не надсилаються; якщо спробуєте необов'язковий тестовий passkey, його одразу ж буде знищено.
Що буде, якщо загубити телефон
Саме це питання вирішує, чи безпечні passkeys для вас. Ключ доступу зберігається у «зв'язці ключів», яка копіює його на інші ваші пристрої, а щоб повернути цю зв'язку на новий телефон, потрібне те, що треба налаштувати заздалегідь:
| Де збережено passkey | Куди копіюється | Що потрібно на новому пристрої | Пастка |
|---|---|---|---|
| Apple (iCloud Keychain) | На всі пристрої Apple з тим самим акаунтом, із наскрізним шифруванням | Пароль акаунта Apple, код на довірений номер телефону і код-пароль одного з ваших старих пристроїв | Лише 10 спроб ввести цей код-пароль, після цього резервну копію знищено. Заздалегідь додайте контакт для відновлення |
| Менеджер паролів Google | Телефони Android і Chrome на комп'ютерах та iPhone | Блокування екрана старого Android-телефона або PIN Менеджера паролів Google | PIN не можна скинути на Android, лише на комп'ютері чи iPhone, де його створили |
| Окремий менеджер паролів | На кожен пристрій, де встановлено менеджер | Майстер-пароль (і власна 2FA менеджера) | Забули майстер-пароль — разом із ним зникли й ключі доступу |
| Апаратний ключ безпеки | Нікуди, він лишається на ключі | Сам фізичний ключ | Загубили — цей passkey втрачено. Зареєструйте два ключі |
Спільне для всіх чотирьох рядків: passkey можна відновити рівно настільки, наскільки ви можете відкрити резервну копію. Якщо у вас Apple, знайте пароль акаунта Apple і додайте контакт для відновлення. У Google запишіть PIN Менеджера паролів, коли вперше створите passkey на комп'ютері, і зберігайте його разом з іншими кодами відновлення.
Переходити між екосистемами теж стало простіше. Починаючи з iOS 26, застосунок «Паролі» від Apple вміє переносити ключі доступу в інші менеджери паролів і назад за стандартом FIDO Credential Exchange, тож passkey, створений на iPhone, більше не прив'язує вас до Apple назавжди.
Чому я поки що не відмовлявся б від пароля
Більшість сайтів, що пропонують passkeys, залишають пароль як запасний варіант, і часто ним можна увійти щоразу, коли ви натискаєте «Інший спосіб». Цей запасний пароль досі можна виманити фішингом, тож сам по собі passkey двері не зачиняє. І все ж я перейшов би, бо це змінює щоденну звичку: якщо ви щодня входите з passkey, сторінка, яка раптом просить пароль, стає сигналом тривоги, який ви помітите.
Запасний пароль я зробив би довгим, випадковим і зберігав би в менеджері паролів, щоб ніколи не вводити його з пам'яті. Генератор паролів створить такий за секунду. Якщо сайт дозволяє повністю прибрати пароль після додавання passkey (деякі, як-от акаунти Microsoft, дозволяють), робіть це лише тоді, коли переконалися, що можете увійти щонайменше з двох пристроїв.
Мої власні паролі зберігаються у вбудованому менеджері браузера та в Psono, тож для мене питання завжди в тому, котрий із них тримає passkey. Оберіть одне місце для своїх ключів доступу і тримайтеся його, щоб після втрати телефона знати, яку саме зв'язку ключів відновлювати.
Коли passkeys поки що не варіант
Я б почекав або залишив пароль основним способом входу у двох випадках:
- Ви ділите телефон або обліковий запис на комп'ютері з кимось іще. Будь-хто, хто може відкрити пристрій, може скористатися ключами доступу на ньому.
- У вас лише один пристрій, і ви не налаштували жодного зі способів відновлення з таблиці вище. Втрата цього телефона замкне вас у більшій кількості акаунтів, ніж колись забутий пароль.
В усіх інших випадках обмін вигідний. Порівняння passkeys з кодами з SMS і застосунками-автентифікаторами є в статті 2FA чи MFA, а екрани налаштувань Google і Apple — в інструкції з захисту акаунта Google і Apple ID.
FAQ
Чи може хтось, у кого мій телефон, скористатися моїми ключами доступу?
Лише якщо зможе пройти блокування екрана. Кожен вхід із passkey вимагає вашого обличчя, відбитка пальця або PIN-коду блокування телефона. Якщо хтось знає ваш PIN, він може користуватися й вашими ключами доступу, тож 6-значний PIN, який рідні бачили, як ви вводите, — реальна слабкість.
Чи можна увійти з passkey на чужому комп'ютері?
Так. Виберіть вхід через телефон або інший пристрій, відскануйте QR-код телефоном і підтвердьте обличчям чи відбитком. Ключ доступу залишається на телефоні. На обох пристроях має бути ввімкнений Bluetooth, бо телефон перевіряє, що він фізично поруч із комп'ютером.