Зачем нужны Passkey и как они работают

30.08.2026 · 2 мин чтения

Passkey, это способ входа без пароля вообще, а не просто ещё один второй фактор поверх старого. Вместо секрета, который нужно помнить или хранить, используется пара криптографических ключей, привязанная к конкретному устройству и сайту.

Что не так с паролями по своей природе

Пароль, это секрет, который вводится вручную и передаётся серверу для сравнения. Каждое из этих свойств создаёт проблемы сразу: секрет можно забыть, подсмотреть или украсть при утечке базы; ввод вручную, это ровно то действие, на котором ловит фишинговая страница, неотличимая на вид от настоящей; а сама передача пароля означает, что где-то на другом конце его всё равно можно перехватить или получить в момент взлома сервиса. 2FA и менеджеры паролей смягчают эти риски по отдельности, но не убирают саму конструкцию «секрет, который вводится».

Как устроен Passkey технически

В основе Passkey лежит стандарт WebAuthn (часть более широкой спецификации FIDO2), уже встроенный в современные браузеры и операционные системы. При создании Passkey для сайта устройство генерирует пару ключей: приватный остаётся на устройстве и никогда его не покидает, публичный отправляется сайту и сохраняется вместе с учётной записью. При входе сайт присылает случайное число («challenge»), устройство подписывает его приватным ключом, а сайт проверяет подпись публичным. Доказать владение приватным ключом можно, ничего никуда не передавая: сам ключ остаётся на месте. Подтверждение перед подписью (биометрия: отпечаток, Face ID, или PIN устройства) защищает от использования Passkey кем-то посторонним, если устройство украдено.

Почему это защищает от фишинга по конструкции

Passkey привязан не просто к сайту «на глаз», а к его точному доменному имени на уровне протокола. Если фишинговая страница выглядит как настоящий сайт, но находится на другом домене, браузер и Passkey это знают: ключ для настоящего домена просто не предложится для входа на поддельном. В отличие от пароля, который человек может ввести куда угодно по невнимательности, здесь ошибиться физически нечем: подписывать запрос неправильного домена ключ не станет.

А если устройство потеряется

Частый вопрос: что будет, если телефон или ноутбук с Passkey сломается или потеряется. Современная реализация Passkey у основных производителей синхронизирует ключи через облако производителя (Apple, Google, Microsoft) между устройствами одного аккаунта, так же как синхронизируются, например, закладки браузера. Отдельная задача: вход с нового устройства, к которому эта синхронизация ещё не подключена. Для этого нужен либо запасной способ входа, либо перенос доступа с уже авторизованного устройства.

Что поддерживает Сэйфком

В Сэйфком вход по Passkey работает через WebAuthn с поддержкой PRF-расширения, это позволяет не просто подтвердить личность, но и получить криптографический материал прямо от Passkey для разворачивания ключа шифрования хранилища, не полагаясь на отдельный мастер-пароль на каждом устройстве. Это уже входит в бесплатный тариф. Passkey можно добавить как дополнительный способ входа, не отказываясь от мастер-пароля и recovery-кода: они остаются резервным путём восстановления доступа, если Passkey однажды окажется недоступен.