Passkeys: inloggen zonder wachtwoord, maar wat als je gsm weg is?

Je kent het wel: een wachtwoord van twaalf tekens, een hoofdletter, een cijfer en een symbool. En dan nog een code via sms. Passkeys moeten daar komaf mee maken. Maar wie zijn toestel verliest, staat voor een nieuwe vraag: hoe geraak ik er dan nog in?

Een sleutelpaar in plaats van een wachtwoord

Een passkey werkt met een sleutelpaar: een geheime sleutel die op je toestel blijft en een publieke sleutel die bij de website staat. Bij het inloggen bewijst je toestel dat het de geheime sleutel bezit, zonder die ooit te versturen. Er is dus geen wachtwoord dat kan worden gestolen bij een datalek, en geen code die kan worden onderschept.

Die sleutel wordt bewaard in de beveiligde chip van je telefoon of laptop, of in een wachtwoordmanager. De website ziet alleen het bewijs, niet de sleutel zelf.

Biometrie als sleutel tot de sleutel

Om de geheime sleutel te gebruiken, moet je je aanmelden bij je toestel: met je vingerafdruk, je gezicht of je pincode. Die biometrie vervangt het wachtwoord niet, ze ontgrendelt alleen de sleutel die al op je toestel staat. Zonder die ontgrendeling gebeurt er niets, ook niet als iemand je telefoon heeft.

Dat maakt passkeys veiliger dan een wachtwoord dat je op meerdere sites hergebruikt. Maar het betekent ook dat je toestel een centrale rol speelt. Raak je het kwijt, dan ben je in principe de sleutel kwijt.

Bankieren: voorzichtig, maar niet stil

Bij online bankieren is de overgang naar passkeys voorzichtig. Banken willen geen inlogprocedure die klanten buitensluit als hun toestel stuk is. Sommige banken bieden passkeys aan als extra optie naast de bestaande methode, andere wachten nog op duidelijkheid over herstel.

In België experimenteren banken met passkeys, maar de klassieke kaartlezer of mobiele app blijft voorlopig de standaard voor veel transacties. De vraag is niet of passkeys komen, maar hoe de bank een klant weer binnenlaat die zijn toestel niet meer heeft.

Herstel: het zwakke punt

Daar wringt het schoentje. Een passkey is apparaatgebonden. Verlies je je telefoon, dan kan je niet inloggen op een nieuwe. Tenzij je een back-up hebt gemaakt, bijvoorbeeld via je wachtwoordmanager of via de cloud van je toestel. Maar die back-up is zelf weer beveiligd met een wachtwoord of een herstelcode.

Sommige diensten laten je meerdere passkeys per account toe, bijvoorbeeld een voor je telefoon en een voor je laptop. Andere werken met een herstelcode die je vooraf moet bewaren. Wie die code niet heeft, moet aankloppen bij de klantendienst, met alle vertraging van dien.

De belofte van passkeys is dat je nooit meer een wachtwoord hoeft te onthouden. De keerzijde is dat je nu moet nadenken over wat er gebeurt als je toestel verdwijnt. Voor je overschakelt, is de vraag niet alleen of je bank het ondersteunt, maar ook of je een tweede sleutel of een herstelcode hebt klaarliggen.