4 grunner til at jeg fortsatt ikke gir fra meg passordet mitt for passkeys

Hvert par år dukker det opp noe som lover å endelig slå ut passordet. Og hvert par år overlever passordet. Passkeys er den siste utfordreren, og ærlig talt kan de være den mest troverdige hittil. Når man vurderer passord versus passkeys og hva forskjellene er, vil man finne at kryptografien er solid. Motstanden mot phishing er ekte. Apple, Google og Microsoft er alle med. FIDO Alliance feirer, med mange sikkerhetsforkjempere som erklærer at ja, det nye alternativet til passord faktisk er tryggere.

Så hvorfor har jeg ikke gjort overgangen? Fordi under alt ståheien er passordnøkler i praksis et helt annet beist enn passordnøkler i teorien. Hvis du har vært mistenksom overfor hypen, eller du prøvde passordnøkler og ble forvirret, er du ikke alene, og du tar ikke feil. Her er legitime grunner til at passordene dine ikke forsvinner med det første.

Du er fortsatt låst inne i noens økosystem — bare et annet

Fengselsbetjenten byttet, men veggene gjorde det ikke

Passord har alltid hatt en skitten hemmelighet: de fleste gjenbruker dem fordi det å huske unike passord praktisk talt er en ekstra jobb. Passkeys skulle fikse dette ved å erstatte huskede hemmeligheter med kryptografiske nøkler. Og det gjør de, men i lang tid byttet de én felle med en annen: låsing til økosystemet. Dette er grunnen til at passkeys ble designet for å forenkle pålogginger, men mange brukere er fortsatt forvirret over hvordan de fungerer på tvers av enheter.

Når du oppretter en passkey på en iPhone, er standardvalget iCloud-nøkkelring. Dette fungerer sømløst hvis hele livet ditt går på Apple-maskinvare, men inntil nylig krevde det å få tilgang til de samme kontoene på en Android- eller Windows-maskin tungvinte løsninger, som å skanne QR-koder. Googles Password Manager fungerer på samme måte, og holder passordene pent synkronisert innenfor Android og Chrome sitt "inngjerdede område." Windows Hello var siste gjenværende unntak, og låste historisk sett passord til en enkelt fysisk maskin. Men fra slutten av 2025 har Microsoft endelig lukket dette gapet, og rullet ut sky-synkroniseringsfunksjoner for Windows Hello som lar passord følge brukere på tvers av flere Windows 11-enheter via deres Microsoft-konto.

Det virkelige gjennombruddet for ekte portabilitet kom sent i 2024 og 2025. FIDO Alliance ga ut Credential Exchange Protocol (CXP) og Format (CXF), spesifikt designet for å la brukere sikkert eksportere og importere passnøkler mellom forskjellige leverandører. Selv om store leverandører som Apple og Google har begynt å implementere de nødvendige API-ene for denne standarden, er det fortsatt et arbeid pågående for den gjennomsnittlige brukeren.

Foreløpig er den mest praktiske løsningen for et kryssplattform-liv å velge en tredjepartsadministrator som NordPass eller Bitwarden som støtter passordnøkler på tvers av alle operativsystemer. Disse tjenestene bryter effektivt med "plattform-låsing" fra Big Tech. Imidlertid har din underliggende avhengighet endret seg: i stedet for å være bundet til Apple eller Google, er du nå bundet til en privat sikkerhetsleverandør. Låsen har ikke forsvunnet; den har bare blitt omdøpt — i det minste inntil CXP gjør det like enkelt å flytte mellom disse hvelvene som å flytte en kontaktliste.

Opplevelsen av oppsettet spenner fra smidig til kafkask

Ditt resultat kan variere mye

Det finnes en versjon av passordnøkler som jeg synes er ganske magisk. Du kaster et blikk på skjermen, autentiserer deg med ansiktet eller fingeravtrykket ditt, og så er du inne. Den versjonen eksisterer absolutt, og det er nettopp derfor du vil finne argumenter for at passord offisielt er foreldet og at du bør ta spranget. Problemet er at denne friksjonsfrie opplevelsen ikke finnes overalt, og gapet mellom de beste og dårligste implementeringene kan være sjokkerende.

Ta Stripe som et eksempel. Å sette opp en passordnøkkel der kan føles som å gå gjennom en hinderløype. Du logger inn med et passord, graver deg gjennom lag med sikkerhetsinnstillinger, bekrefter tofaktorautentisering, verifiserer e-posten din, og først da får du klikke på "opprett." Det er mange hinder for noe som skal gjøre livet enklere. Sammenlign dette med Target, som gir passordnøkler skikkelig synlighet rett på påloggingsskjermen, eller Nintendo, som teknisk sett støtter dem, men gjemmer alternativet under et kjent passordfelt som de fleste fyller ut automatisk av vane.

Selv Apple, som ofte blir holdt frem som en UX-fyrtårn, bidro til den tidlige forvirringen. Selv om de nå støtter tredjeparts passordbehandlere som 1Password og Bitwarden for å lage og lagre passkeys på iOS og macOS, blir mange brukere fortsatt dyttet mot Apples Keychain som standard. Hvis du lever i en kryssplattform-verden, kan den manglende klarheten føles mindre som fremgang og mer som en hindring. Det virkelige problemet er inkonsekvens. Når hver nettside håndterer passkeys forskjellig, finnes det ingen stabil mental modell å henge seg på. Og som enhver designer vet, er ukjenthet adopsjonens fiende.

Å miste enheten din blir en helt ny type nødsituasjon

Håper du liker å snakke med kundesupport

Med passord er det veldig irriterende, men håndterbart, å miste telefonen din. Du logger inn et annet sted, trykker på «glemt passord», tilbakestiller via e-post, og får tilbake tilgang. Det er tungvint, men det er kjent og, viktigst av alt, gjenopprettbart. Passkeys endrer denne dynamikken, og sikkerhetsnettet blir mer komplisert. Forresten bør du kjøre denne raske sikkerhetssjekken for å sørge for at du kan gjenopprette Gmail-kontoen din.

Hvis en passkey er enhetstilknyttet, bundet til en enkelt telefon eller en fysisk sikkerhetsnøkkel, kan det å miste eller ødelegge den enheten låse deg ute fra flere kontoer samtidig dersom det ikke finnes en sikkerhetskopi. De fleste unngår dette ved å la passkeyene sine synkronisere gjennom en skylagringstjeneste som iCloud Keychain eller Google Password Manager, så en knust telefon er ikke verdens undergang. Problemet begynner hvis du mister tilgangen til hele den skylagringskontoen. På det tidspunktet blir gjenoppretting mye mer komplisert.

For å være rettferdig, beholder de fleste tjenester fortsatt tradisjonelle flukthull, som e-post eller SMS-gjenoppretting. Google tilbyr også offline gjenopprettingskoder og anbefaler sterkt å skrive dem ut eller skrive dem ned og oppbevare dem på et trygt sted. Det er en viss ironi i det. Fremtiden for innloggingssikkerhet, på sitt mest skjøre øyeblikk, støtter seg på et ark papir som ligger i en skuff.

Den sterkeste sikkerhetskopien er enhetsredundans. Det betyr å registrere en annen passnøkkel på en annen enhet eller en separat liten dings som en YubiKey for å sikre at du alltid har en fysisk sikkerhetskopi. Det fungerer, men det blir sjelden oppmuntret til. De fleste tjenester lar deg legge til én passnøkkel, erklære seier, og la resten være en oppgave for brukeren. Én passnøkkel er et bevis på konseptet. En gjenopprettingsplan er det egentlige systemet. Akkurat nå har de fleste bare beviset.

Passord er fortsatt påkrevd overalt, så passordnøkler legger bare til ekstra steg

Mer arbeid, samme risiko, fantastisk markedsføring

Her er delen passordnøkkelmarkedsføring ofte beveger seg forbi: for de fleste tjenester er passordnøkler et tillegg, ikke en fullstendig erstatning. Noen få tidlige brukere, som Microsoft, tillater brukere å fjerne passordene sine helt. Du kan nå gå passordfri med Microsoft-kontoen din ved å slette passordet ditt fra sikkerhetsinnstillingene og kun stole på biometrikk eller sikkerhetsnøkler. Men de fleste store tjenester, inkludert Google og Amazon, krever fortsatt et tradisjonelt passord for å ha det lagret som en reserve.

Det skaper et vanskelig mellompunkt. Passkeys gjør en utmerket jobb med å stenge døren for phishing, siden det ikke finnes noe en angriper kan lure deg til å skrive inn. Samtidig er kontoen din fortsatt bundet til en gammel svakhet. Hvis et selskaps database blir brutt og passordhasher lekker, spiller det ingen rolle at du nå logger inn med en passkey. Passordet ditt lå fortsatt der på deres servere, bare ventende på trøbbel.

Inntil flere selskaper følger Microsofts eksempel og eliminerer passord helt, sitter vi fast i en overgangsfase.

Imponert, men ikke overbevist

Ingenting av dette antyder at passordfrie nøkler er en blindvei. Teknologien i seg selv representerer et betydelig fremskritt, og motstand mot phishing alene markerer et stort skifte i en verden der Microsoft rapporterer å blokkere mer enn 7 000 passordbaserte angrep hvert sekund. Adopsjonen øker også. Ifølge Authsignal utgjorde passordfrie nøkler innen 2025 62 prosent av autentiseringsutfordringene i store virkelige datasett, og omtrent 57 prosent av brukerne vet allerede hva en passordfri nøkkel er.

Når det er sagt, er "bedre på papiret" og "klar for alle" ikke det samme kriteriet. Inntil passordnøkler fungerer sømløst på alle enhetene dine og faktisk kan erstatte passord i stedet for å ligge klosset på toppen av dem, er det fornuftig å holde seg til et sterkt, unikt passord og tofaktorautentisering. Passordet er ikke dødt enda; det venter bare mens erstatningen lastes ferdig.