Passkeys w 2026: Praktyczny przewodnik inżynierski

Hasła są zawodne. Opierają się na współdzielonych sekretach. Jeśli serwer przechowuje hasło, podwajasz swoją powierzchnię ataku.

Dane pokazują, że ryzyko jest ogromne. Skradzione dane uwierzytelniające są przyczyną większości naruszeń. Złośliwe oprogramowanie typu infostealer co roku wykrada miliony haseł. Nawet 2FA ma swoje wady. Kody SMS są narażone na SIM swapping, a tokeny TOTP na phishing w czasie rzeczywistym.

Passkeys zmieniają to. Wykorzystują kryptografię klucza publicznego za pomocą WebAuthn i FIDO2.

Jak one działają: • Twoje urządzenie tworzy parę kluczy publiczny-prywatny. • Klucz prywatny pozostaje w Twoim sprzęcie. • Serwer otrzymuje jedynie klucz publiczny. • Podczas logowania Twoje urządzenie podpisuje losowe wyzwanie (challenge). • Żaden sekret nie jest przesyłany przez sieć.

To powstrzymuje phishing, ponieważ passkeys są powiązane z konkretną domeną. Passkey dla Twojej strony nie zadziała na fałszywej witrynie.

Jak je wdrożyć: Nie pisz surowego kodu WebAuthn. Łatwo o błędy. Użyj SimpleWebAuthn dla TypeScript i Node.js. Biblioteka ta zajmuje się za Ciebie trudną matematyką.

Instalacja: npm install @simplewebauthn/server @simplewebauthn/browser

Typowe błędy, których należy unikać: • Ponowne używanie wyzwań (challenges). Wyzwania muszą być jednorazowe i generowane przez serwer. • Ignorowanie liczników. Zawsze aktualizuj licznik poświadczeń, aby wykryć sklonowane klucze. • Zapominanie o odzyskiwaniu dostępu. Jeśli użytkownik zgubi urządzenie, traci dostęp do konta. Najpierw zbuduj ścieżkę odzyskiwania. • Słabe UX. Przepływy między urządzeniami (cross-device) często charakteryzują się niższym współczynnikiem ukończenia procesu. Zachowaj rozwiązanie alternatywne (fallback) podczas migracji.

Strategia migracji:

  • Etap 1: Oferuj passkeys jako opcję dobrowolną (opt-in) po zalogowaniu hasłem.
  • Etap 2: Uczyń passkeys główną metodą, gdy większość użytkowników je przyjmie.
  • Etap 3: Wymagaj passkeys przy wszystkich nowych rejestracjach.

Branża już się zmieniła. Google raportuje znacznie niższy wskaźnik przejęć kont przy użyciu passkeys. Główne platformy, takie jak Amazon i TikTok, już ich używają. Jeśli ich nie wspierasz, zostajesz w tyle.

Źródło: https://dev.to/moksh/passkeys-in-2026-a-practical-engineering-guide-to-passwordless-auth-15pj