Een passkey is een wachtwoordloze manier van inloggen bij accounts, apps en websites. In plaats van een wachtwoord gebruik je een cryptografische sleutel die je apparaat voor je aanmaakt en bewaart. Om in te loggen bevestig je alleen je identiteit, met je vingerafdruk, gezichtsherkenning of de pincode van je apparaat. Passkeys zijn veiliger dan wachtwoorden: phishing wordt vrijwel onmogelijk en bij een datalek valt er niets te stelen. Handiger dan wachtwoorden met een wachtwoordmanager zijn ze nog niet altijd. Moet je er nu al mee aan de gang? Ja, maar houd je wachtwoord voorlopig als back-up.
Begin 2024 schreef ik voor het eerst over de passkey (soms ook wachtwoordsleutel genoemd). Dat ze veiliger zijn, geloof ik inmiddels zeker. Of ze handiger zijn? Daar twijfel ik nog steeds aan.
Zo werkt een passkey
Passkeys gebruiken een techniek met twee sleutels, de zogeheten publieke sleutelcryptografie. Voor elke website krijg je een uniek sleutelpaar. De website kent de publieke sleutel, maar jij houdt de privésleutel veilig op je eigen apparaat. Wil je inloggen, dan stuurt de website een rekenopdracht naar je apparaat, je privésleutel zet daar een cryptografische handtekening onder en de website controleert die handtekening met de publieke sleutel. Klopt het? Dan ben je binnen. Je vingerafdruk of gezichtsscan verlaat je apparaat overigens nooit; die dient alleen om lokaal de privésleutel te ontgrendelen.
Phishingaanvallen worden zo een stuk lastiger. Een passkey is gekoppeld aan het exacte webadres waarvoor hij is aangemaakt. Lokt een crimineel je naar een nagemaakte banksite, dan doet je passkey daar simpelweg niets. En wordt een website gehackt, dan vinden de criminelen geen wachtwoorden in de database, alleen publieke sleutels. Daar kunnen ze helemaal niets mee.
Inloggen met een passkey
De werkwijze is bij vrijwel elke dienst hetzelfde. Ondersteunt een website of app passkeys, dan vind je de optie meestal in de beveiligingsinstellingen van je account, onder een naam als ‘Passkey aanmaken’ of ‘Inloggen zonder wachtwoord’. Je bevestigt dat jij het bent en de passkey is klaar. De volgende keer ontgrendel je bij het inloggen alleen je apparaat of je wachtwoordmanager. Geen inlognaam, geen wachtwoord.
Zo maakte ik mijn eerste Amazon-passkey aan op mijn Androidtelefoon, en bij het inloggen op de Mac hoefde ik alleen een QR-code te scannen en mijn telefoon te ontgrendelen. Handig! Steeds vaker kun je bij een nieuw account meteen een passkey aanmaken, zonder ooit een wachtwoord te kiezen. Microsoft doet dit inmiddels standaard: nieuwe Microsoft-accounts zijn wachtwoordloos.
In de praktijk gaat het nog vaak mis
Tot zover de theorie. In de praktijk begint het te schuren. Mijn allereerste poging, een passkey voor mijn Google-account op mijn Mac in Chrome, leverde alleen rare foutmeldingen op. Pas met een tweede passkey in mijn wachtwoordmanager kon ik op al mijn apparaten inloggen.
Recenter liep ik vast in Safari. Mijn passkey voor mijn Microsoft-account stond in Bitwarden en werkte in Firefox en Chrome meteen, maar Safari meldde dat er geen passkey voor deze website was. De oorzaak: Safari stuurt het inlogverzoek door naar macOS, en macOS kijkt alleen naar de wachtwoordmanagers die als systeembron zijn aangemeld in de Systeeminstellingen. Dashlane zat daar vóór Bitwarden in de rij en ving het verzoek af. Pas toen ik dat uitzette, werkte het inloggen met de passkey.
Die ervaringen vatten het probleem samen. De technologie werkt, maar de uitvoering verschilt per besturingssysteem, per browser en per apparaat.
Het ecosysteemprobleem: de kern van de zaak
Een passkey moet ergens bewaard worden. Doe je niets bijzonders, dan regelt je besturingssysteem dat: Apple bewaart passkeys in de iCloud-sleutelhanger, Google in Google Wachtwoordmanager, Microsoft via Windows Hello. Zit je volledig in het Apple- of Google-ecosysteem, dan synchroniseren je passkeys keurig tussen al je apparaten en zijn ze nu al een aanwinst.
Maar wee je gebeente als je apparaten van verschillende merken gebruikt. Een passkey voor Amazon die in je Apple-sleutelhanger staat, heb je niet op je Androidtablet. Apple, Google en Microsoft hebben er alle drie belang bij dat je binnen hun muren blijft, en dat merk je aan alles. Apple gaat daarin het verst: de passkey voor je eigen Apple-account moet en zal in de iCloud-sleutelhanger. Hoe lastig dat uitpakt als je in Firefox met Bitwarden werkt, lees je in Passkeys voor je Apple-account instellen: waarom het niet lukt (en hoe het toch kan).
Bewaar je passkeys in een wachtwoordmanager
Voor die warboel is gelukkig een oplossing: een wachtwoordmanager die werkt op meerdere besturingssystemen, zoals Bitwarden, 1Password of Dashlane. Mijn Amazon-passkey staat in Bitwarden en werkt daardoor even makkelijk op mijn Mac als op mijn Androidtelefoon en Chromebook. De wachtwoordmanager zorgt voor de compatibiliteit tussen apparaten en besturingssystemen die de techgiganten je onthouden.
Mijn advies is daarom simpel. Gebruik je uitsluitend Apple of uitsluitend Android en Chrome, dan volstaat de ingebouwde oplossing. Gebruik je apparaten van verschillende merken, dan ontkom je niet aan een wachtwoordmanager. Die had je toch al nodig voor de accounts die nog geen passkeys ondersteunen.
Het wachtwoord blijft voorlopig de terugvaloptie
Volgens het State of Passkeys 2026-rapport van de FIDO Alliance, de organisatie achter de standaard, zijn er wereldwijd vijf miljard passkeys in gebruik en kent negentig procent van de consumenten het begrip. Dat klinkt mooi en ronkend. Ik heb mijn twijfels. Er is vrijwel geen website die het inloggen met een wachtwoord helemaal heeft uitgezet. Zolang die terugvaloptie bestaat, blijft de achterdeur openstaan: een crimineel valt dan simpelweg het wachtwoord aan in plaats van de passkey.
Begin nu, maar houd je wachtwoord als back-up
Ondanks alle bezwaren raad ik je aan om nu met passkeys te beginnen. Begin met een account dat niet superbelangrijk is en ga daarna aan de slag met Google, Microsoft en Amazon. Houd je wachtwoorden als back-up in je wachtwoordmanager, beschermd met tweestapsverificatie, en reken er niet op dat het altijd soepel gaat. Maar wachten op de toekomst is zonde. Passkeys zijn nú al relevant.
Wat heb jij te verbergen?
Passkeys zijn een moderne manier om je onlineaccounts te beveiligen. Ze werken beter dan wachtwoorden en zijn dus een slot op de deur voor phishingpogingen. In het boek Wat heb jij te verbergen? lees je hoe je jezelf wapent tegen die phishing. Kies de veiligste browser en stel die goed in. Bescherm jezelf tegen virussen en ransomware en beveilig je wifi-netwerk. Herken phishing, smishing en andere criminele praktijken die verrassend vaak nog werken. Begrijp hoe deepfakes en met AI gemaakte berichten en video’s je kunnen misleiden, ook via WhatsApp. Surf veilig en gebruik een VPN. Stel Windows, macOS of Linux correct in. Werk met een wachtwoordmanager, passkeys en tweestapsverificatie. En lees alles over veilig bankieren.
Hans Frederiks is techjournalist en hoofdredacteur van dit blog. Hij schrijft al zijn hele leven over computertechnologie, fotografie en desktop publishing, en was eerder redacteur van MacWorld en hoofdredacteur van Dzone en Publish. Tegenwoordig schrijft hij over loskomen van Big Tech, privacy, zelf hosten en AI, en dat doet hij vanuit de praktijk: hij host zijn eigen foto’s, bestanden en wachtwoorden op een Synology NAS in huis. Daarover schreef hij het boek ‘Loskomen van Big Tech‘, en eerder onder meer ‘Ontdek Lightroom‘. Bij zijn werk gebruikt hij ook AI en daar is hij open over.
Ontdek meer van Blog van Van Duuren Media
Abonneer je om de nieuwste berichten naar je e-mail te laten verzenden.
