Passkey 2026: belépés jelszó nélkül – így állítsd be, és hol a gyenge pontja

Mi az a passkey, és miért más, mint egy jelszó?

A jelszó közös titok: te ismered, és a szolgáltató is elegendőt tud róla ahhoz, hogy ellenőrizze. Éppen ezért lehet ellopni, kitalálni, lehalászni és egy adatszivárgásból kiszedni.

A passkey nem közös titok, hanem egy kulcspár. Amikor létrehozod, az eszközöd két összetartozó kulcsot gyárt: a nyilvános kulcs felkerül a szolgáltató kiszolgálójára, a privát kulcs viszont nálad marad – ahhoz a szolgáltatóhoz, ahol belépsz vele, soha nem jut el. (Ha szinkronizálod, a privát kulcs titkosítva felkerül a gyártó jelszókezelőjébe is; erről a telefonvesztésnél lesz szó.) Bejelentkezéskor az oldal küld egy véletlen kérdést, a telefonod vagy a géped pedig aláírja azt a privát kulccsal. Az oldal csak az aláírást ellenőrzi: magát a kulcsot nem látja, így nincs is mit ellopni tőle.

Ennek két közvetlen következménye van. Az egyik, hogy ha a szolgáltatót feltörik, a te belépési adatodból nincs mit kiszedni: egy nyilvános kulccsal nem lehet bejelentkezni. A másik, hogy nincs mit beírni egy hamis oldalra, mert nincs olyan karaktersor, amit át lehetne adni.

A trükk, amitől az adathalászat nem működik

A passkey legfontosabb tulajdonsága nem a kényelem, hanem az, hogy a létrehozó oldal domainjéhez van kötve. Amikor a passkey elkészül, a böngésző hozzárendeli annak az oldalnak a domainjét, ahol készült, és az eszköz ezt a kulcs mellé elmenti. Bejelentkezéskor a böngésző újra átadja az éppen megnyitott oldal domainjét, és az eszköz csak akkor engedi használni a kulcsot, ha a kettő megegyezik.

Ez a gyakorlatban azt jelenti, hogy egy examp1e.com című oldal – ahol az l betű helyén az 1-es számjegy áll – nem tudja használni azt a passkeyt, amit az example.com készített. Nem azért, mert te észreveszed a különbséget, hanem mert az eszköz észreveszi. Az aldomainek ugyanazon az oldalon belül közben működnek: egy accounts.example.com címen készült passkey az example.com alá tartozó lapokon is használható. A megtévesztő bejelentkező oldalak pontosan ezen a ponton futnak zátonyra: egy hamis bejelentkező ablaknak hiába adod meg a passkeyt, mert meg sem jelenik neki.

Amit az ujjlenyomat valójában tesz

Itt szokás pontatlanul fogalmazni, ezért érdemes tisztázni: az ujjlenyomatod vagy a készülék PIN-kódja nem „kinyitja” a privát kulcsot. Szakmai néven ez a lépés felhasználó-ellenőrzés: engedélyt adsz az eszköznek arra, hogy használja az ott már meglévő kulcsot. A biometrikus adat közben nem megy sehova – sem a Google, sem a Microsoft nem kapja meg, az eszközön marad.

Vagyis a passkey két dolgot kapcsol össze: valamit, ami nálad van (az eszköz), és valamit, amivel igazolod magad az eszköz előtt (arc, ujjlenyomat vagy PIN). Nagyjából ez az, amit a kétfaktoros belépéstől vártunk, csak nem kell hozzá SMS-t kivárni.

Mit nyersz vele a gyakorlatban?

Négy dolgot, és ezek közül csak az egyik a kényelem.

• Az adathalászat lepattan róla. Nem azért, mert ügyesebb vagy, hanem mert a domainhez kötött kulcsot egy idegen oldal nem tudja előhívni.

• Az adatszivárgás nem tud mit vinni. A szolgáltatónál csak a nyilvános kulcs van. A Kifli.hu-adatszivárgásnál a jelszavakat legalább le lehetett cserélni – passkey esetén még erre sem lett volna szükség.

• Nem lehet újrahasznosítani. Minden oldalhoz külön kulcspár készül, így nincs az a helyzet, hogy egy helyen kiszivárgott jelszóval máshol is bejelentkeznek.

• Gyorsabb. A FIDO Alliance összesítése szerint a passkeyvel történő belépés közel háromszor gyorsabb, mint a jelszavas vagy a hagyományos kétfaktoros.

Hogy mennyire nem szűk körű dologról van szó: a bevezetőben idézett számok a szövetség október 15-i összefoglalójából és idei Passkey Indexéből származnak, amely 15 nagy szolgáltató adataira épül – köztük az Amazon, a Google, a JPMorgan Chase, a Microsoft, a PayPal, a Shopify, a TikTok és a WhatsApp szerepel. Vagyis nem kísérleti technológia: a legnagyobb fiókjaid nagy részén ma már be tudod kapcsolni.

Amit viszont nem kapsz meg automatikusan

A passkey bekapcsolása nem törli a jelszavadat. Ez nem apróság, és nem is félreértés: a Google saját súgója írja le, hogy egy passkey hozzáadása nem változtat meg és nem távolít el semmilyen meglévő belépési vagy visszaállítási módot, és hogy továbbra is bejelentkezhetsz a jelszavaddal. Ugyanez igaz a Microsoft-fiókra is: ott a jelszó eltávolítása külön, kézzel bekapcsolható lépés.

Ez azért fontos, mert a fiókod erőssége nem a legjobb, hanem a legrosszabb bejelentkezési módjával egyenlő. Erről a cikk vége felé még lesz szó.

Így állítsd be Google-, Microsoft- és Apple-fiókon

Egy dolgot érdemes előre tudni: a kezelőfelületek feliratai a nyelvi beállítástól függően mást mutatnak, és a gyártók időnként átnevezik őket. Ezért az alábbiakban ott, ahol van, a közvetlen webcímet adjuk meg – az nem változik a nyelvvel.

Google-fiók

Nyisd meg a myaccount.google.com/signinoptions/passkeys oldalt, és válaszd a passkey létrehozását. A Google súgója szerint ezután fel kell oldanod az eszközt – ennyi az egész. Ha több eszközön is szeretnél passkeyt, mindegyiken meg kell ismételni ugyanezt.

Ugyanitt tudsz fizikai biztonsági kulcsra is passkeyt készíteni: ehhez a létrehozás után a másik eszköz használatát kell választanod, majd bedugni a kulcsot, és megadni a hozzá tartozó PIN-kódot vagy megérinteni az ujjlenyomat-érzékelőjét. A kulcsnak támogatnia kell a FIDO2 protokollt.

A meglévő passkeyek kezelése ugyanezen a címen érhető el, a fiókbeállításokban pedig a biztonsági szakaszban, a Google-fiókba való bejelentkezés módjai között találod őket. Ha nem szeretnéd, hogy a Google a passkeyt ajánlja fel először, a jelszó kihagyását szabályozó kapcsolót itt tudod kikapcsolni.

Egy apróság, amit a Google súgója maga is megjegyez: ha van Androidos készüléked, amelyen be vagy jelentkezve a fiókba, előfordulhat, hogy automatikusan regisztrálódott passkey – ennek létrehozására nincs külön lépés, csak megszüntetésére. A Chrome súgója szerint pedig a böngésző a mentett jelszavad mellé is fel tud venni egy passkeyt a Google Password Managerbe.

Microsoft-fiók

A passkey létrehozása az account.live.com/proofs/manage oldalon kezdődik: itt válaszd az új bejelentkezési vagy ellenőrzési mód hozzáadását, majd az arc, ujjlenyomat, PIN-kód vagy biztonsági kulcs lehetőséget, és kövesd az eszköz utasításait.

A Microsoft több helyre is engedi menteni a passkeyt: a saját jelszókezelőjébe, egy másik szinkronizált jelszókezelőbe (a dokumentáció név szerint említi a Google Password Managert, az iCloud Kulcskarikát és az 1Password alkalmazást), telefonra vagy tabletre QR-kód beolvasásával – ehhez néha Bluetooth-párosítás is kell –, fizikai biztonsági kulcsra, vagy a Windows Hellóba. Ez utóbbinál két dologra figyelj: a gépen marad, nem szinkronizálódik, és a dokumentáció szerint fel sem ajánlja a rendszer, ha már mentettél passkeyt egy szinkronizált jelszókezelőbe.

A jelszó tényleges törlése külön lépés. A Microsoft dokumentációja szerint a fiókod további biztonsági beállításai között van egy jelszó nélküli fiók nevű szakasz, amit be kell kapcsolnod, majd jóvá kell hagynod a kérést. Ehhez a Microsoft egy hitelesítő alkalmazást kér: a dokumentáció a sajátját és az Androidos Outlookot nevezi meg, de azt írja, bármelyik hitelesítő alkalmazás megfelel. A passkeyt önmagában viszont nem írja le elégséges feltételként. Ha meggondolod magad, ugyanott vissza is kapcsolható, és a jelszó visszaállítható.

Apple-fiók és iPhone

Az Apple világában a passkeyeket nem egy központi oldalon hozod létre, hanem ott, ahol használni fogod: a támogatott oldal vagy alkalmazás saját fiókbeállításában jelenik meg a lehetőség. Ha nem jelenik meg, az adott szolgáltatás még nem támogatja. Az elkészült passkeyek a Jelszavak alkalmazásba kerülnek, és az iCloud Kulcskarikán keresztül szinkronizálódnak a többi eszközödre.

Ehhez a szinkronizálást be kell kapcsolni: iPhone-on és iPaden a Beállítások között a nevednél, az iCloud szakaszban, a jelszavaknál találod, Macen pedig a Rendszerbeállítások ugyanilyen útvonalán. Egy kemény előfeltétel van: az iCloud Kulcskarika csak kétfaktoros hitelesítés mellett kapcsolható be.

A Fokozott adatvédelem (Advanced Data Protection) a passkeyeken érdemben nem változtat, mert a kulcskarika az Apple leírása szerint alapból is végpontok közötti titkosítású. Amit megváltoztat, az a visszaszerzés: bekapcsolása után a végpontok közötti titkosítással védett adataidhoz való visszajutás kizárólag az eszköz kódján, egy helyreállítási kapcsolattartón vagy a helyreállítási kulcson múlik – az Apple a leírása szerint ehhez nem rendelkezik kulccsal.

Windows: hol kezeld őket

A gépen tárolt passkeyeket a Beállítások fiókokra vonatkozó szakaszában, a passkeyeknél találod, és innen is törölheted őket. Néhányat nem tudsz törölni, mert a Microsoft-fiókhoz tartoznak, és azokkal lépsz be magába a gépbe.

A Windows Hellóban létrehozott passkey eszközhöz kötött: nincs szinkronizálás és nincs mentés. A Microsoft jelszókezelője viszont 2026 áprilisa óta szinkronizálja a passkeyeket a Microsoft-fiókba bejelentkezett eszközök között. Külső jelszókezelő is beállítható passkey-szolgáltatónak frissen tartott Windows 11-en, ugyanitt a speciális beállítások alatt – ezt az 1Password például dokumentálja is.

Androidról belépni a gépen

Ez a rész szokott meglepetést okozni: a telefonodon lévő passkeyvel be tudsz lépni a számítógépen is. A gép megjelenít egy QR-kódot, azt beolvasod a telefonnal, a telefon pedig – Bluetooth-közelségben – jóváhagyja a belépést. A passkey közben nem kerül át a gépre, a telefon marad a kulcs őrzője, a gép csak az ablak. A Microsoft leírása szerint az állandó összekapcsolás, vagyis amikor nem kell minden alkalommal QR-kódot olvasni, Windowson csak Androidos készülékekkel működik.

Mi történik, ha elveszted a telefonod?

Ez a passkeyek legfélreértettebb kérdése, és a válasz attól függ, milyen passkeyről beszélünk. Kétféle van:

• Szinkronizált passkey. A kulcs titkosítva felkerül a gyártó jelszókezelőjébe, és megjelenik a többi eszközödön is. Ez éli túl a telefon elvesztését.

• Eszközhöz kötött passkey. A kulcs soha nem hagyja el azt az egyetlen eszközt – fizikai biztonsági kulcsot vagy a Windows Hellót –, amelyen készült. Ezt viszont annak az eszköznek az elvesztése, amelyen van, véglegesen elviszi.

A Google-nél és az Apple-nél a visszaszerzés ugyanarra az elvre épül: a fiókba való bejelentkezés önmagában nem elég, kell hozzá egy eszközszintű titok is, amit a gyártó maga sem ismer. A Microsoftnál ez – ahogy mindjárt látszik – kicsit másképp működik.

Google

A Google biztonsági leírása szerint a Google Password Managerben tárolt passkeyek végpontok közötti titkosítással vannak védve, és a visszaállításhoz a fiókba való bejelentkezés mellett egy korábbi eszközöd képernyőzárát is meg kell adni – vagyis annak PIN-kódját, jelszavát vagy mintáját. Ezeket maga a Google nem ismeri. Nem Androidos eszközökön ugyanezt a szerepet a Google Password Manager PIN-kódja tölti be, amely az első passkey létrehozásakor keletkezik.

Ha a PIN-kódot elfelejtetted, egy olyan, nem Androidos eszközről tudod újra beállítani, amelyen korábban már használtad a jelszókezelőt. És itt jön a kellemetlen rész: ha egyik eszközöddel sem sikerül, a passkeyeket vissza lehet állítani alaphelyzetbe – ez a Google saját megfogalmazásában az összes passkeyedet törli, vagyis minden oldalhoz újat kell csinálnod.

Két részletet érdemes jól tudni a Google leírásából. Ha a képernyőzárat eltávolítod egy készülékről, a régi még akár 64 napig használható a titkosítási kulcsok visszaszerzéséhez. Ha viszont lecseréled egy másikra – mert például tartasz tőle, hogy valaki megtudta –, a régi azonnal érvényét veszíti, feltéve hogy a készülék közben online van, és be vagy rajta jelentkezve. A kulcsokat őrző hardveres elem pedig legfeljebb tíz próbálkozást engedélyez.

Apple

Az iCloud Kulcskarika passkeyei az Apple platformleírása szerint letétbe helyezett formában visszaszerezhetők, de három dolog együtt kell hozzá: az iCloud-belépés, egy SMS a fiókhoz rögzített telefonszámra, és az eszköz kódja. A letéti szolgáltatás tíz próbálkozást engedélyez, és néhány hibás kísérlet után zárol: onnantól az Apple támogatásához kell fordulni további próbálkozásokért. A tizedik hibás kísérlet után viszont a leírás szerint a tároló megsemmisíti a letéti rekordot, és a kulcskarika véglegesen elveszik. Ha a jelszót vagy az eszközkódot felejtetted el, egy előre beállított helyreállítási kapcsolattartó tud segíteni.

Microsoft

Itt két külön történet van. A Windows Hellóba mentett passkey a géppel együtt elveszik, mert nincs róla mentés. A Microsoft jelszókezelőjébe mentett passkey viszont szinkronizálódik: a leírás szerint titkosítva, hardveresen elszigetelt környezetben, és az eszközök közötti aktiváláshoz egy általad megadott PIN-kód kell. Több hibás PIN után a fiók zárol, a feloldás pedig egy megbízható eszközről indított PIN-csere. Érdemes hozzátenni: a Microsoft a saját leírásában – a Google-lel és az Apple-lel szemben – nem használja a végpontok közötti titkosítás kifejezést a szinkronizált passkeyekre.

A gyakorlati szabály

Mindegyik gyártó ugyanoda vezet: legyen egy második bejárat, ami nem az elveszett telefon. Ez lehet egy másik eszközöd ugyanazzal a fiókkal, vagy egy fizikai biztonsági kulcs a fiókra regisztrálva. Ha ez megvan, a telefon elvesztése kellemetlenség; ha nem, akkor a legrosszabb esetben minden passkeyedet újra kell csinálnod.

És amit azonnal tegyél meg, ha eltűnt a készülék: egy olyan eszközről, amelyhez még hozzáférsz, lépj be a fiókba, és vond vissza az elveszett eszköz passkeyét – a Google ezt kifejezetten javasolja. Ha épp új telefonra költözöl, a telefonváltásról szóló útmutatónkban végigvettük, mit kell előre elintézni.

Hol a passkey gyenge pontja?

Idén nyáron és ősszel több kutatócsoport is nekiment a passkeyeknek, és a sajtóban ebből „megtörték a passkeyt” lett. Ez nem igaz – de az sem igaz, hogy nincs min gondolkodni. Érdemes sorban végigmenni, mert a gyenge pontok nagyon különböző mértékben érintenek egy otthoni felhasználót.

A titkosítást senki nem törte meg

A Palo Alto Networks Unit 42 csapata augusztusi elemzésében külön leszögezi, hogy a bemutatott támadások nem törik meg a mögöttes titkosítást. A német SySS októberi áttekintése szerint pedig nem a kriptográfia, hanem a megvalósítás ad támadási felületet. A SpecterOps Black Hat-előadásának összefoglaló diája nem a titkosításról, hanem a döntésről beszél: a passkeyeket érdemes bevezetni, mert a támadás nehezebb, mint a jelszavaknál. Amiről tehát szó van, az mindig a passkey körüli rendszer.

1. A visszaállítási út, amit bekapcsolva hagytál

Ez a legfontosabb, és egyben a legkevésbé izgalmas. Ha a fiókodon a passkey mellett megmarad a jelszó, az SMS-kód vagy az e-mailes visszaállítás, akkor a fiók annyira erős, amennyire a leggyengébb belépési módja.

A Proofpoint 2025 augusztusában mutatta be, hogyan lehet ezt kihasználni: egy közbeékelt adathalász oldal olyan böngészőnek adja ki magát, amely nem támogatja a FIDO-belépést, a szolgáltatás ezért hibát jelez, és felajánl egy gyengébb módszert – amit a támadó már át tud játszani. A kutatók hangsúlyozzák, hogy a támadás kizárólag azért működik, mert van másik bejelentkezési mód, és azt is leírják, hogy ilyet a valóságban addig nem láttak, csak elvben állították össze.

Hogy ez mennyire nem elméleti probléma: a 35. USENIX Security konferencián, 2026 augusztusában bemutatott felmérés 61 olyan oldalt talált, amely csak második faktorként fogadja el a passkeyt, vagyis a jelszót továbbra is kéri. A FIDO Alliance saját, a fiók-visszaállításról szóló ajánlása egyébként ugyanerre figyelmeztet: a gyengébb visszaállítási megoldásokat nem javasolja, mert azok lejjebb viszik a mércét, és csökkentik az egész bevezetés értékét.

2. Az ellopott munkamenet – ez érint téged is

A passkey a belépést védi. Ami utána van, azt nem. Ha a gépedre felkerül egy adatlopó kártevő, az nem a jelszavadat keresi, hanem a már bejelentkezett munkamenet sütijét – azzal pedig a saját gépéről léphet be a fiókodba, jelszó és kétfaktoros ellenőrzés nélkül. A Google egy 2025. júliusi bejegyzésében maga írja le, hogy az adatlopók a munkamenet-sütiket viszik el, és ezzel a jelszavas és a kétfaktoros védelmet is megkerülik; a cég ezért fejleszt egy külön, munkamenet-szintű védelmet a passkeyek mellé.

Ez az a pont, ahol egy otthoni felhasználó tényleg veszélyben van, és ahol a passkey semmit nem segít. A védelem itt a megszokott: ne futtass ismeretlen helyről letöltött telepítőt, és ne hidd el, hogy egy program jól jár, ha a letöltőoldal is hamis volt. Ugyanide tartozik a bemásolt parancsos átverés is: a passkey nem véd attól, amit te magad futtatsz le.

3. A fertőzött gép és a böngészőbővítmény

Itt van a nyári kutatások legérdekesebb eredménye – és itt kell a legjobban figyelni arra, hogy a sajtó két különböző munkát mosott össze.

A Unit 42 augusztus 3-i elemzése a Chrome-ba épített Google Password Managert vizsgálta Windowson, TPM-mel szerelt gépeken. A kutatók megtalálták azt a 32 bájtos titkot, amely a szinkronizált passkeyeket titkosítja, és amelynek a tervek szerint sosem kellene a kliensre eljutnia: először a Chrome naplójában bukkantak rá, majd miután a Google a naplóbejegyzést eltávolította, a Chrome folyamatának memóriájában is megtalálták. Innen kiolvasva a szinkronizált passkeyek privát kulcsai visszafejthetők, és mivel ez a titok nem cserélhető és nem vonható vissza, a hatás tartós.

A fontos mondat azonban az, amit a kutatók az elemzés elején leszögeznek: minden bemutatott támadás előfeltétele, hogy a kártevő már ott legyen a gépen. Nem e-mailből, nem egy weboldalról, nem távolról. Az összefoglalásuk zárómondata is ez: a végponti fertőzés továbbra is a fenyegetési modell része.

Ugyanebbe a kategóriába tartozik a böngészőbővítmény is. A SquareX kutatói a DEF CON 33-on mutatták be, hogy egy kártékony bővítmény beakaszkodhat a böngésző passkey-hívásaiba: regisztrációnál a saját kulcspárját csempészheti be úgy, hogy közben az igazi ujjlenyomat-kérés is megjelenik, meglévő passkey esetén pedig el is buktathatja a bejelentkezést, hogy a jelszóhoz tereljen vissza. A feltétel itt is adott: a támadó kódjának futnia kell a böngésződben – jellemzően egy telepített bővítményen keresztül, de a kutatók szerint egy sérülékeny oldalon elhelyezett kód is megteszi. Hogy ez mennyire valós, azt jól mutatja, hogy nemrég 19 olyan bővítményt kaptak el, amelyik felvásárlás után kezdett jelszót lopni.

A harmadik munka, a SpecterOps „Pass-the-Passkey” gyűjteménye – Michael Grafnetter júliusi tanulmánya, amelyet a Black Hat USA 2026-on mutatott be – ettől eltér: elsősorban vállalati környezetre szól. A tanulmány és a hozzá tartozó előadás együtt több mint húsz technikát mutat be Windows 11 és Microsoft Entra ID ellen, köztük három nulladik napi hibát; az egyik az volt, hogy a Windows a teljes hitelesítési választ beírta az eseménynaplóba (ezt a Microsoft július 14-én javította). Az előfeltételek viszont beszédesek: ehhez vagy futnia kell egy kártevőnek a gépen, vagy kell egy fiók a számítógépen, vagy rendszergazdai jogosultság a cég rendszerében. Egy otthoni felhasználót ez nem fenyeget. Egy megállapítása viszont rá is igaz: a tanulmány szerint a szinkronizált passkey nagy előrelépés a jelszóhoz képest, a legértékesebb fiókokhoz azonban inkább eszközhöz kötött megoldást – vagyis fizikai biztonsági kulcsot – érdemes választani. Azt a bejárást pedig, amiről a legtöbbet írtak – a szinkronizált privát kulcsok visszafejtését –, nem ez a kutatás találta, hanem a Unit 42.

4. A rosszul megvalósított oldal

A legkényelmetlenebb eredmény nem a támadóktól jött, hanem ugyanattól a USENIX-felméréstől. A kutatás 872 passkeyt támogató oldalt talált, és abból 103-at tudott teljes körűen végigtesztelni. Az eredmény: egyetlen oldal sem felelt meg minden olyan ellenőrzésnek, amit a szabvány előír. Öt oldal egyáltalán nem ellenőrizte az aláírást, negyven nem ellenőrizte a kérés forrását, és – ez talán a legbeszédesebb – 25 olyan oldalt találtak, amely a jelszavas belépésnél jól védte a fiók létezésére vonatkozó információt, a passkeyvel történő belépésnél viszont nem. Ott tehát a passkey bekapcsolása önmagában rontott a helyzeten. A kutatók a 103 oldal közül 18-nál találtak legalább egy kritikus, 53-nál legalább egy súlyos besorolású hibát.

Ebből nem az következik, hogy ne használd a passkeyt, hanem az, hogy a passkey annyira jó, amennyire az adott oldal megvalósította. Nagy szolgáltatóknál ez általában rendben van; egy kisebb webshopnál kevésbé.

Kell-e még jelszókezelő?

Igen, és erre három jó ok is van.

Az első: a fiókjaid nagy részén marad a jelszó. A passkey bekapcsolása nem törli, és az oldalak többsége ma még nem is kínál passkeyt. Addig pedig valahol tárolni kell azt a száz-kétszáz belépést, amit az évek során összeszedtél.

A második: a visszaállítási kódoknak is kell hely. A kétfaktoros belépés tartalék kódjai, a helyreállítási kulcsok, a biztonsági kulcs PIN-kódja – ezek pont azok, amelyekre a legrosszabb pillanatban lesz szükséged. Ha ezeket is csak a telefonod tudja, akkor a telefon elvesztése nemcsak kellemetlen, hanem végleges.

A harmadik: a jelszókezelő ma már passkey-tárolóként is működik. A Bitwarden dokumentációja szerint iOS 17-től és Android 14-től, illetve a böngészőbővítményében tud passkeyt menteni és használni – azzal a megkötéssel, hogy az ott tárolt passkey csak elsődleges belépésként használható, második faktorként nem. Androidon a rendszerbeállításokban választhatsz külső passkey-szolgáltatót, Windows 11-en pedig a Microsoft egy bővítménymodellt kínál erre – az 1Password ezt dokumentálja is. Ha teljesen saját kézben tartott megoldást szeretnél, a KeePassXC is tud passkeyt tárolni, a Proton Pass és a NordPass pedig a felhőben szinkronizáló megoldások közé tartozik. Hogy melyik illik hozzád, azt a jelszókezelők nagy összehasonlításában vettük végig.

És át lehet vinni egyik kezelőből a másikba?

Részben. A FIDO Alliance kidolgozott erre egy szabványt: az adatformátum (Credential Exchange Format) 2025 augusztusa óta javasolt szabvány státuszban van, a hozzá tartozó átviteli protokoll viszont még mindig munkaváltozat. Ami ebből ténylegesen el is indult, az az Apple 26-os rendszerkiadásai és az Android: ott a rendszer maga bonyolítja le a két jelszókezelő közötti átadást, és a Google súgója a jelszavak és passkeyek behozatalát le is írja. Androidon viszont az ehhez tartozó fejlesztői programkönyvtár a dokumentáció szerint még nem végleges kiadású, vagyis a funkció most van kialakulóban. Windowson pedig erre egyelőre nincs dokumentált megoldás.

Egy figyelmeztetés viszont ide tartozik: a SpecterOps tanulmánya külön kitér arra, hogy az exportált passkeyek egyes formátumokban titkosítás nélkül, olvashatóan tartalmazzák a privát kulcsot – név szerint a KeePassXC passkey-fájljait és a Bitwarden titkosítás nélküli JSON-exportját emelik ki. Ugyanez igaz a FIDO-szabvány szerinti átadási csomagra is: az a tartalmat írja le, nem egy titkosított tárolót, úgyhogy ha kártevő hozzájut, a benne lévő kulcsok olvashatók. Ha tehát átköltöztetsz, az exportfájl ne maradjon ott a Letöltések mappában.

Mikor ne kapcsold be?

A passkey jó dolog, de nem minden helyzetben a legjobb választás. Négy esetben érdemes megállni egy pillanatra.

1. Ha csak egyetlen eszközöd van, és nincs tartalék. Ez a leggyakoribb hiba. Előbb legyen egy második eszköz ugyanazzal a fiókkal, vagy egy fizikai biztonsági kulcs – és csak utána kapcsold be a jelszó nélküli belépést. Addig a passkey maradjon kényelmi funkció, ne az egyetlen bejárat.

2. Ha olyan gépen hoznád létre, amit hamarosan újratelepítesz. A Windows Hellóban létrehozott passkey eszközhöz kötött: nincs mentés, nincs szinkronizálás. Egy rendszer-újratelepítéssel elmegy.

3. Ha az ujjlenyomat vagy az arcfelismerés nálad nem működik megbízhatóan. Ez nem kifogás, hanem dokumentált korlát: a FIDO Alliance saját akadálymentességi anyaga írja le, hogy a QR-kódos megoldás a látás- és mozgássérülteknek nehézséget okoz, az ujjlenyomat-érzékelő pedig nagyon száraz bőr vagy bizonyos állapotok esetén egyszerűen nem olvas. Az anyag maga is azt ajánlja, hogy ilyenkor legyen más, elérhető belépési mód. Vagyis ha nálad akadozik, az nem a te hibád – hagyd meg a működő alternatívát.

4. Ha a fiókot többen használjátok. Itt vegyes a kép, és érdemes előre tisztázni. Az Apple eszközein működik a megosztás: a Jelszavak alkalmazás megosztott csoportjaiban a passkey is átadható azoknak, akik szerepelnek a névjegyeid között – ehhez mindenkinél iOS 17, iPadOS 17 vagy macOS 14, illetve újabb kell. Máshol viszont ez nem általános: több jelszókezelő dokumentációja ma is azt írja, hogy passkeyt egyelőre nem lehet megosztani. Közös családi fióknál tehát előbb nézd meg, a ti eszközeitekkel megoldható-e.

És a jelszó törlése?

Ez külön döntés, és nem kell egyszerre meglépni a passkey bekapcsolásával. A sorrend, ami biztonságosan működik: először legyen passkey legalább két eszközön vagy egy biztonsági kulcson, aztán nézd meg, mi a fiók visszaállítási útja, és csak akkor töröld a jelszót, ha az a visszaállítási út sem gyengébb nála. Microsoft-fióknál ez a lépés egyébként bármikor visszavonható.

Ha pedig csak egyetlen dolgot viszel el ebből a cikkből, legyen ez: a passkey a mai legjobb védelem az adathalászat ellen, de nem attól véd, ami a bejelentkezés után történik. Egy ellopott munkamenettel vagy egy fertőzött géppel szemben továbbra is ugyanazok a régi szabályok érvényesek: frissített rendszer, megbízható helyről letöltött program, és ha valami nem stimmel, időben felismert fertőzés.