Passkey і пароль, який залишається: що насправді змінилося до 2026 року

Наразі в активному використанні п’ять мільярдів passkey, дев’яносто відсотків споживачів знають, що це таке, і три чверті увімкнули щонайменше один. За будь-яким розумним прочитанням passkey виграли суперечку.

І при цьому 57% організацій досі мають пароль як основний спосіб, яким їхні власні співробітники заходять у систему щоранку. Обидва факти походять з одного дослідження, і розрив між ними — це вся практична історія. Passkey не є перемикачем, який хтось клацає. Це другі двері, добудовані поряд із першими, а перші зазвичай залишаються відчиненими роками.

Що таке passkey мовою бізнесу

Криптографія — не та частина, яку корисно розуміти. Корисні три властивості.

• Немає що набирати, отже немає що перехопити в дорозі. Секрет ніколи не покидає пристрій у вигляді, придатному для когось іншого. Вкрадена база записів passkey не дає атакуючому способу зайти — чого не скажеш про вкрадену базу хешів паролів.
• Він привʼязаний до вашого точного домену. Це найважливіша властивість і та, про яку не говорять. Passkey, створений для вашого справжнього сайту, просто не запропонує себе на переконливій копії вашого сайту. Фішинг провалюється не тому, що користувач був уважний, а тому, що облікові дані незастосовні.
• Його неможливо повторно використати на інших сайтах. Кожен passkey належить одному сервісу. Найпоширеніший спосіб, яким малий бізнес реально зламують — пароль, повторений із місця, яке зламали роками раніше, — тут не має аналога.

Те, що люди зазвичай уявляють, — це жест розблокування: відпечаток, обличчя, PIN пристрою. Це лише локальний крок, який дозволяє пристрою скористатися ключем. Біометрія нікуди не надсилається й не є тим, що вас автентифікує, — це варто знати, бо саме це заперечення ви почуєте першим і від співробітників, і від клієнтів.

Цифри, прочитані уважно

Показники 2026 року походять із двох паралельних опитувань, які Sapio Research провела у квітні 2026 року: 11 000 споживачів і 1400 керівників, що ухвалюють рішення, у десяти країнах. Читати їх треба з одним застереженням, яке для більшості читачів цього матеріалу змінює сенс.

Застереження — у вибірці щодо персоналу: організації з понад пʼятьмастами співробітників. Якщо у вас одинадцять людей і сайт на WordPress, ці 68% описують інший світ — компанії з окремою командою з ідентичності, керованими пристроями й службою підтримки. Цифра каже, куди рухається галузь. Вона не каже, як має виглядати ваш вівторок.

Чому це питання конверсії, а не лише безпеки

Аргумент про безпеку добре відрепетируваний. Комерційний аргумент отримує менше уваги й часто важить більше: майже половина споживачів повідомляє, що відмовлялася від покупки, бо не могла згадати пароль.

Це той самий різновид втрати, що й будь-яка інша перешкода в оформленні, і поводиться він так само: невидимо у вашій звітності, бо покинутий сеанс не залишає скарги. Це варто читати поряд з іншими виправними тертями з матеріалу про те, де оформлення замовлення втрачає гроші: забутий пароль на кроці входу й неочікувана вартість доставки на кроці оплати завдають однакової шкоди тому самому замовленню.

Для будь-кого з клієнтськими акаунтами звідси випливають два наслідки. По-перше, екран входу вартий такої самої уваги, як і кошик, і майже ніколи її не отримує. По-друге, якщо додати passkey як варіант, а не як обовʼязок, вигода асиметрична: клієнти, які ними скористаються, заходитимуть швидше, а тим, хто їх зігнорує, не стане гірше, ніж сьогодні.

Де насправді стоїть ваш сайт

Три ситуації — три абсолютно різні обсяги роботи. Помилка в тому, щоб думати про них усі разом.

Зверніть увагу на перший рядок. Для більшості бізнесових сайтів уся відкрита поверхня — це від двох до шести адміністраторських акаунтів, і один із них належить колишньому підряднику. Компрометація адмінського акаунта — найкоротший шлях до компрометації сайту, і жодної вразливості для цього не потрібно. Це та сама проблема гігієни доступів, викладена в матеріалі про те, як сайти зламують насправді, де відповіддю зазвичай є облікові дані, а не витончена експлуатація.

Одна ремарка щодо WordPress, бо саме на ньому працює більшість бізнесових сайтів: станом на серпень 2026 року ядро досі не має вбудованої підтримки passkey, тож вона приходить через плагін або через той рівень ідентичності, який дає ваш хостинг. Це варто сказати прямо через іронію ситуації: щоб укріпити вхід, ви додаєте плагін до того самого шару, який дає більшість компрометацій WordPress. Для кількох адміністраторів це зазвичай усе одно варте того, але обирайте плагін так, як обирали б будь-який інший привілейований: свіжі оновлення, мейнтейнер, якого можна назвати, і план на випадок, якщо його закинуть. Арифметика експозиції за цим рішенням є в матеріалі про вікно між розкриттям і патчем.

Те, чого немає на слайдах постачальників

Чотири практичні проблеми. Усі чотири розвʼязні, і жодної немає в маркетингових матеріалах.

Відновлення доступу стає найслабшою ланкою — і завжди нею було. Passkey, який неможливо зафішити, стоїть за процедурою відновлення, яку зазвичай можна. Якщо втрата телефона означає «напишіть нам, і ми надішлемо посилання на скидання», то ваша автентифікація міцна настільки, наскільки міцні пошта й людина, яка читає скриньку підтримки. Спершу лагодьте відновлення; метод входу — легша половина.

Спільні акаунти не накладаються на passkey. Passkey належать людям і пристроям, а не команді. Будь-який бізнес, де три людини користуються одним логіном, дізнається про це під час впровадження. Правильне рішення — окремі акаунти з ролями — і є тим, що вам було потрібно й так, а обґрунтувати його легше, поки ви вже змінюєте вхід.

Втрата пристрою — подія для підтримки, а не для безпеки. Синхронізовані passkey суттєво це зменшують, бо секрет живе в акаунті платформи, а не на одному апараті. Але людина з одним пристроєм і без синхронізації колись у пʼятницю по обіді втратить доступ, і у вашому процесі має бути відповідь, відмінна від «доведеться видалити акаунт».

Шлях із паролем залишається відкритим, отже залишаються й старі ризики. Поки паролем можна зайти, фішинг працює: атакуючий просто попросить той метод, який фішиться. Саме тому 57% організацій, які зрушили на папері, не зрушили на практиці. Passkey знижують ризик, коли щось заміщують; поряд з усім іншим вони переважно додають зручності.

Пропорційний план

Пʼять кроків у такому порядку — для бізнесу, який має сайт, а не департамент ідентичності.

1. Перелічіть привілейовані акаунти й видаліть мертві. У кожного бізнесового сайту є щонайменше один адміністратор, який пішов. Це не коштує нічого, займає двадцять хвилин і прибирає більше ризику, ніж будь-яка зміна автентифікації.
2. Поставте найсильніший доступний метод на решту адмінів. Passkey там, де платформа їх підтримує; апаратний ключ або застосунок-автентифікатор там, де ні. Чотири акаунти — досить мале число, щоб зробити це як слід.
3. Полагодьте відновлення доступу, перш ніж торкатися клієнтського входу. Запишіть, що відбувається, коли людина втрачає пристрій, і перевірте, що відповідь не зводиться до «хто володіє поштою, той володіє акаунтом».
4. Запропонуйте клієнтам passkey як варіант. Поряд із наявним паролем, з простим поясненням в один рядок і без примусової міграції. А потім поміряйте, скільки людей його увімкнуло, перш ніж вирішувати, чи вартий чогось наступний крок.
5. Залиште пароль на місці — свідомо. Не як брак рішучості, а як зафіксоване рішення з датою перегляду. Це та сама дисципліна, що застосована до базових заходів у матеріалі про те, чого насправді вимагає безпека малого бізнесу.

Чого не робити: примусово міграувати клієнтів, купувати passwordless-платформу для захисту чотирьох логінів або вважати наявність опції passkey доказом того, що проблему захоплення акаунтів вирішено.

Що спитати у розробника

Три питання встановлюють, чи це реально працює на вашому сайті, чи є галочкою на сторінці плагіна.

«Які з наших входів підтримують passkey сьогодні й хто вже увімкнув собі один?» Друга половина питання — справжня. Підтримка без реєстрації — це функція, якою ніхто не користується.

«Що буде, якщо я втрачу цей телефон?» Попросіть провести вас цим шляхом на справжньому сайті, а не описати його. Саме у процедурах відновлення живе розрив між задумом і реальністю.

«Чи може атакуючий досі зайти лише з паролем?» Якщо так — а зазвичай так і є, — то ви додали зручність, а не закрили дірку, і варто знати, що саме ви купили. Та сама ясність потрібна й у питанні про розділення доступів із матеріалу про те, чому крок збірки тепер є межею безпеки.

Коротко

• Пʼять мільярдів passkey в активному використанні, 90% споживачів знають цей термін — це масова технологія, а не експеримент.
• 57% організацій досі заводять власний персонал у систему паролем, і це і є розрив між впровадженням passkey та відмовою від паролів.
• Цифри щодо персоналу описують компанії від 500 співробітників. Вони показують напрям руху, а не орієнтир для бізнесу з одинадцяти людей.
• Незафішувальність походить від привʼязки до домену, а не від відпечатка: біометрія не покидає пристрій і не є тим, що вас автентифікує.
• Майже половина споживачів відмовлялася від покупки через забутий пароль, тож екран входу є поверхнею конверсії так само, як і поверхнею безпеки.
• Починайте з двох-шести адмінських акаунтів і лагодьте відновлення доступу раніше за клієнтський вхід: саме у відновленні зазвичай і зводиться на нівець незафішувальний секрет.
• Поки пароль працює, ризик фішингу зберігається. Залишайте його, якщо потрібно, але як рішення з датою перегляду.