Apa Itu Passkey dan Kenapa Lebih Aman dari Password
Passkey membuatmu login dengan sidik jari atau PIN HP, tanpa password yang bisa dicuri. Pahami cara kerjanya, sinkronisasi, dan bila HP hilang.
Jawaban singkat
Passkey adalah pengganti password berbasis standar FIDO2 (WebAuthn). Kamu login dengan sidik jari, wajah, atau PIN perangkat, dan kuncinya terikat ke situs aslinya sehingga tidak bisa dipakai di situs phishing. Passkey bisa disinkronkan antarperangkat dan dipulihkan lewat akun penyedianya.
Daftar isi
Bayangkan kamu menerima email "akunmu akan diblokir", mengklik tautannya, dan sampai di halaman login yang tampak persis seperti aslinya. Dengan password, kamu mungkin mengetiknya tanpa sadar, dan pelaku langsung memilikinya. Dengan passkey, tidak ada yang bisa diketik. Perangkatmu sendiri yang menolak, karena alamat situs itu bukan alamat tempat passkey dibuat.
Itulah inti passkey: cara login tanpa password yang tidak bisa dibocorkan, ditebak, atau diserahkan ke situs palsu, bahkan ketika penggunanya sedang lengah.
Cara kerja passkey dengan bahasa sederhana
Menurut FIDO Alliance, organisasi yang menyusun standarnya, passkey adalah pengganti password yang dibangun di atas standar FIDO2, yaitu WebAuthn dan CTAP. Setiap passkey adalah kredensial yang disimpan di perangkat atau kunci keamanan fisik, dan dibuka dengan cara yang sama seperti membuka kunci perangkat: sidik jari, pengenalan wajah, atau PIN.
Di balik layar, passkey memakai kriptografi kunci publik. Saat kamu membuat passkey untuk sebuah layanan, perangkat membuat sepasang kunci. Kunci publik disimpan oleh layanan, kunci privat tetap di perangkatmu. Ketika login, layanan mengirim tantangan, perangkat menandatanganinya dengan kunci privat setelah kamu memverifikasi diri, dan layanan memeriksa tanda tangan itu dengan kunci publik.
Ada dua akibat penting. Pertama, server tidak pernah menyimpan rahasia yang bisa dicuri. Kalau database layanan bocor, yang bocor hanya kunci publik, yang tidak berguna untuk login. Kedua, sidik jari atau wajahmu tidak dikirim ke mana-mana. Google menegaskan data biometrik tetap di perangkat dan tidak dibagikan ke Google. Biometrik hanya membuka kunci di perangkatmu sendiri.
Kenapa passkey tahan phishing?
Setiap passkey terikat pada alamat situs atau aplikasi tempat ia dibuat. FIDO Alliance menyebut ketahanan terhadap phishing sebagai tujuan inti desain FIDO. Perangkat hanya menawarkan passkey untuk alamat asli tempat passkey dibuat. Jadi, meskipun halaman phishing meniru tampilan dengan sempurna, alamatnya berbeda, dan perangkat tidak punya passkey untuk alamat itu.
Bandingkan dengan password ditambah kode OTP. Keduanya diketik manusia, sehingga keduanya bisa diketik di tempat yang salah. Pelaku yang canggih bahkan meneruskan kode OTP secara langsung dari halaman palsu ke situs asli dalam hitungan detik. Passkey memotong rantai itu karena keputusan "situs ini asli atau bukan" diambil oleh perangkat, bukan oleh mata manusia. Perbandingan metode verifikasi lain dibahas di 2FA aplikasi vs SMS OTP.
Passkey juga tidak bisa dipakai ulang. Setiap layanan punya passkey sendiri, sehingga kebocoran di satu tempat tidak merembet ke akun lain, masalah klasik orang yang memakai satu password untuk semua akun.
Sinkronisasi dan jenis passkey
FIDO Alliance membedakan dua jenis passkey.
| Aspek | Passkey tersinkron | Passkey terikat perangkat |
|---|---|---|
| Tempat penyimpanan | Penyedia passkey berbasis cloud, misalnya iCloud Keychain, Google Password Manager, atau aplikasi pengelola password | Satu perangkat, termasuk kunci keamanan FIDO fisik |
| Tersedia di perangkat lain | Ya, di semua perangkat yang masuk ke akun penyedia yang sama | Tidak, kunci tidak pernah keluar dari perangkat |
| Bila perangkat hilang | Dipulihkan dengan masuk ke akun penyedia di perangkat baru | Tidak bisa dipulihkan dari perangkat yang hilang |
| Cocok untuk | Pengguna umum yang ingin praktis | Akun dengan kebutuhan keamanan paling tinggi |
Keamanan sinkronisasi bergantung pada penyedianya. Apple, misalnya, menjelaskan bahwa passkey disinkronkan lewat iCloud Keychain yang terenkripsi ujung ke ujung dengan kunci yang tidak diketahui Apple, dan akses ke iCloud Keychain membutuhkan autentikasi dua faktor.
Bagaimana bila kamu berada di komputer yang tidak menyimpan passkey? FIDO Alliance menyebut kamu bisa memakai HP untuk login lewat kode QR. Fitur ini memakai Bluetooth untuk memastikan HP dan komputer benar-benar berdekatan, sehingga tidak bisa dipakai dari jarak jauh oleh pelaku.
Kalau HP hilang, apa yang terjadi?
Pertanyaan ini wajar, karena passkey terasa "menempel" di HP. Jawabannya tergantung jenisnya.
Untuk passkey tersinkron, FIDO Alliance menjelaskan passkey bisa dipulihkan di perangkat baru setelah kamu masuk ke akun penyedia passkey yang sama. Selama kamu masih bisa mengakses akun itu, passkey tetap tersedia. Apple juga menyediakan pemulihan lewat escrow iCloud Keychain bila semua perangkat hilang: kamu masuk dengan akun iCloud, menjawab SMS ke nomor terdaftar, lalu memasukkan kode sandi perangkat. Apple membatasi percobaan ini sampai 10 kali, dan menyediakan opsi kontak pemulihan akun bila password atau kode sandi terlupa.
Untuk passkey terikat perangkat, yang ada di perangkat hilang tidak bisa diambil kembali. FIDO Alliance menyarankan kunci keamanan fisik sebagai kredensial pemulihan cadangan. Bila tidak ada passkey sama sekali, layanan akan memperlakukannya sebagai pemulihan akun dan memakai cara lain untuk memverifikasimu.
Untuk akun Google, panduannya: masuk dari perangkat lain, hapus passkey milik perangkat yang hilang, lalu periksa daftar perangkat dan keluarkan sesi yang tidak dikenali. Google juga mengingatkan bahwa siapa pun yang bisa membuka kunci perangkatmu bisa memakai passkey di dalamnya, jadi buat passkey hanya di perangkat milik pribadi dan lindungi dengan PIN yang tidak mudah ditebak.
Layanan yang sudah mendukung
Per 4 November 2026, beberapa layanan besar menjelaskan dukungan passkey di dokumentasi resminya. Google memungkinkan login akun Google dengan passkey di komputer (minimal Windows 10, macOS Ventura, atau ChromeOS 109), HP (minimal Android 9 atau iOS 16), maupun kunci keamanan FIDO2, dan password lama tetap bisa dipakai. Apple menyinkronkan passkey lewat iCloud Keychain. GitHub mendukung passkey untuk login di browser, dan menyebut passkey memenuhi syarat password sekaligus 2FA dalam satu langkah.
Untuk akun kerja, kebijakannya bisa berbeda. Google mencatat akun Google Workspace mungkin tidak mengizinkan login hanya dengan passkey, tergantung pengaturan admin. Daftar akun penting yang perlu dilindungi ada di checklist 2FA akun bisnis.
Di tim, passkey dan password manager saling melengkapi. Selama masih banyak layanan yang hanya mengenal password, tim tetap butuh tempat menyimpan password yang kuat dan unik, seperti dibahas di password manager untuk tim dengan Vaultwarden. Kebiasaan mengenali tautan palsu di cara mengenali phishing juga tetap relevan untuk akun yang belum mendukung passkey.
Passkey mengganti hal yang paling sering bocor, yaitu password yang diketik manusia, dengan kunci kriptografi yang hanya bekerja di situs aslinya. Mulailah dari akun email dan akun yang paling sering diincar, simpan passkey di penyedia yang bisa dipulihkan, dan siapkan satu metode cadangan untuk berjaga bila perangkat hilang.
