Passwords have two big problems. People reuse them, so one leak opens many doors. And people can be tricked into typing them on a fake site. Two-factor codes help, but a good phishing page can ask for the code too and use it within seconds.
Passkeys fix both problems. They are now supported by Apple, Google, Microsoft and most large websites, and they are easier to use than the passwords they replace.
What a passkey actually is
A passkey is a pair of cryptographic keys. When you create one for a website:
- The private key stays on your device, in your iCloud Keychain, Google Password Manager, Windows Hello or a password manager like 1Password or Bitwarden.
- The public key goes to the website. It's useless on its own, so a leak of the site's database gives attackers nothing to log in with.
When you sign in, the site sends a random challenge, your device signs it with the private key after you unlock it with your face, fingerprint or PIN, and the site checks the signature. No secret ever travels over the network.
Why phishing doesn't work
Each passkey is bound to the exact website that created it. Your device checks the real domain before it signs anything. On paypa1-login.com, your PayPal passkey simply doesn't appear, and there's nothing for you to type, so there's nothing to steal.
With a password, you have to notice the fake. With a passkey, your device notices it for you.
Common questions
What if I lose my phone? Passkeys made with Apple, Google or a password manager sync to your other devices through your account, end-to-end encrypted. Get a new phone, sign in to that account, and they come back. Keep your account's recovery options up to date.
Can I sign in on someone else's computer? Yes. Choose "use a phone or tablet", scan the QR code with your phone, and approve. The phone must be physically nearby (it checks over Bluetooth), which stops remote attackers.
Is my fingerprint sent to the website? No. Face and fingerprint only unlock the key on your device. They never leave it.
Do I still have a password? Often yes, as a fallback. That fallback can still be phished, so give it a long, unique password from a password manager.
Switch your important accounts first
You don't need to convert everything at once. Start with the accounts that unlock everything else:
- Your main email (Google, Microsoft, Apple iCloud). Whoever controls your email can reset every other password.
- Your password manager, if it supports passkey sign-in.
- Banking and payment apps that offer it.
- Social media and shopping: accounts that are often taken over and used to scam your friends.
Look in each account's Security or Sign-in settings for "Passkeys" and follow the steps. It takes about a minute per account.
Passkeys don't stop stealersA passkey protects the login. But once you're signed in, the site gives your browser a session cookie, and an infostealer on your computer can copy that cookie. Keeping malware off the device still matters. See
what infostealers want.
The short version
Passkeys are faster than passwords, can't be reused, can't be leaked from a website and can't be typed into a fake page. If a site offers one, take it.
Parolaların iki büyük sorunu var. İnsanlar onları tekrar kullanır, bu yüzden tek bir sızıntı birçok kapıyı açar. Ve insanlar kandırılıp parolalarını sahte bir siteye yazabilir. İki adımlı doğrulama kodları yardımcı olur ama iyi bir oltalama sayfası kodu da isteyip birkaç saniye içinde kullanabilir.
Geçiş anahtarları (passkey) iki sorunu da çözer. Artık Apple, Google, Microsoft ve büyük web sitelerinin çoğu tarafından destekleniyorlar ve yerini aldıkları parolalardan daha kolay kullanılıyorlar.
Geçiş anahtarı aslında nedir?
Geçiş anahtarı bir çift kriptografik anahtardır. Bir web sitesi için oluşturduğunuzda:
- Özel anahtar cihazınızda kalır: iCloud Anahtar Zinciri'nde, Google Şifre Yöneticisi'nde, Windows Hello'da ya da 1Password veya Bitwarden gibi bir parola yöneticisinde.
- Açık anahtar web sitesine gider. Tek başına işe yaramaz; bu yüzden sitenin veritabanı sızsa bile saldırganların giriş yapabileceği bir şey olmaz.
Giriş yaptığınızda site rastgele bir sınama gönderir, cihazınız onu yüzünüz, parmak iziniz ya da PIN'inizle kilidi açıldıktan sonra özel anahtarla imzalar ve site imzayı doğrular. Ağ üzerinden hiçbir sır gitmez.
Oltalama neden işe yaramaz?
Her geçiş anahtarı, onu oluşturan web sitesine birebir bağlıdır. Cihazınız bir şey imzalamadan önce gerçek alan adını kontrol eder. paypa1-login.com adresinde PayPal geçiş anahtarınız hiç görünmez; yazacağınız bir şey de olmadığı için çalınacak bir şey de yoktur.
Parolada sahteyi sizin fark etmeniz gerekir. Geçiş anahtarında cihazınız sizin yerinize fark eder.
Sık sorulan sorular
Telefonumu kaybedersem ne olur? Apple, Google ya da bir parola yöneticisiyle oluşturulan geçiş anahtarları, hesabınız üzerinden uçtan uca şifreli olarak diğer cihazlarınıza eşitlenir. Yeni bir telefon alın, o hesaba giriş yapın, geri gelirler. Hesabınızın kurtarma seçeneklerini güncel tutun.
Başkasının bilgisayarında giriş yapabilir miyim? Evet. "Telefon ya da tablet kullan"ı seçin, QR kodu telefonunuzla okutun ve onaylayın. Telefonun fiziksel olarak yakında olması gerekir (Bluetooth ile kontrol edilir); bu da uzaktaki saldırganları durdurur.
Parmak izim web sitesine gönderiliyor mu? Hayır. Yüz ve parmak izi yalnızca cihazınızdaki anahtarın kilidini açar. Cihazdan asla çıkmazlar.
Hâlâ bir parolam olacak mı? Çoğu zaman evet, yedek olarak. O yedek hâlâ oltalanabilir; bu yüzden ona bir parola yöneticisinden uzun ve benzersiz bir parola verin.
Önce önemli hesaplarınızı geçirin
Her şeyi bir anda dönüştürmeniz gerekmez. Diğer her şeyin kilidini açan hesaplarla başlayın:
- Ana e-postanız (Google, Microsoft, Apple iCloud). E-postanızı kontrol eden kişi diğer tüm parolaları sıfırlayabilir.
- Destekliyorsa parola yöneticiniz.
- Bu seçeneği sunan banka ve ödeme uygulamaları.
- Sosyal medya ve alışveriş: sık sık ele geçirilip arkadaşlarınızı dolandırmak için kullanılan hesaplar.
Her hesabın Güvenlik ya da Oturum açma ayarlarında "Geçiş anahtarları"nı bulun ve adımları izleyin. Hesap başına yaklaşık bir dakika sürer.
Geçiş anahtarları veri hırsızlarını durdurmazGeçiş anahtarı girişi korur. Ama giriş yaptıktan sonra site tarayıcınıza bir oturum çerezi verir ve bilgisayarınızdaki bir veri hırsızı bu çerezi kopyalayabilir. Zararlı yazılımı cihazdan uzak tutmak hâlâ önemli.
Veri hırsızlarının ne istediğine göz atın.
Kısacası
Geçiş anahtarları parolalardan hızlıdır, tekrar kullanılamaz, bir web sitesinden sızdırılamaz ve sahte bir sayfaya yazılamaz. Bir site size bunu sunuyorsa kabul edin.
