Passkey 登录要不要做？70 亿组通行密钥之后，委托开发会员系统前的四个决定
FIDO 联盟在 10 月中公布最新统计：全球已有约 70 亿组通行密钥（passkey）在使用中，参与指数的 15 家大型消费服务里，超过三分之一的成功登录已经改用 passkey，而且比其他方式快近三倍。换句话说，“不用输密码”正在从新奇功能变成用户的预期。如果你正打算委托开发会员系统、电商后台或 App，Passkey 登录已经不是要不要跟风的问题，而是得在需求阶段就决定清楚的四件事。
70 亿组 passkey 之后：登录方式正在换代
passkey 的原理是用手机或电脑的指纹、面部识别或锁屏解锁一把只存在设备上的私钥，网站端只保存公钥。没有密码可以被偷、被猜，也很难被假网站骗走。
这两年大型平台陆续转向：微软在 2025 年 5 月宣布新账号默认“无密码”，注册时根本不必设置密码；FIDO 的指数也显示，参与服务中 90% 的活跃账号已经可以使用 passkey，其中 42% 已经创建。更值得注意的是，13 家受访组织里有 9 家打算走向完全无密码的账号。
对中小品牌来说，这代表两件事：顾客已经在大平台用惯了 passkey，回到你的网站还要记密码、收短信验证码，落差会越来越明显；而好消息是，主流浏览器与手机系统都已内置支持，技术门槛比过去低很多。
决定一：Passkey 登录是主要入口，还是藏在设置里的选项？
FIDO 的报告提到一个很实际的发现：有两家参与者发现，如果登录页先出现密码或验证码栏位、passkey 选项排在后面，用户即使创建了 passkey 也不太会用它。他们的建议是改成 passkey 优先 的登录流程。
所以在写需求文档时，要明确写出：
- 登录页的默认动作：用户一点登录，是先弹出设备的指纹或面部识别，还是先看到密码栏？
- 什么时候邀请创建 passkey：注册完成当下、第一次用密码登录成功之后，或结账完成时。时机选对，创建率差很多。
- 密码还留不留：多数品牌短期内仍需保留密码或邮箱验证作为备用，但要决定它是“主角”还是“后备”。
决定二：手机换了、设备丢了，账号怎么找回来？
passkey 最常被问的问题是：换手机怎么办？目前 Apple、Google 与各家密码管理器都会在同一账号的设备之间同步 passkey，但你的系统仍要设计好例外情况。
FIDO 即将推出的 Passkey Rubric（自我检查清单，不是认证）特别提醒：不要让每个账号只能绑定一组 passkey。Starlink 的做法是每个账号最多可以创建 10 组。委托开发时可以要求：
- 会员中心能列出、命名、删除已绑定的 passkey，让用户知道哪台设备能登录。
- 账号找回流程要和登录一样严谨，否则黑客会改从“忘记密码”下手。
- 客服人员协助找回账号时，有明确的身份核对步骤与记录。
决定三：员工后台也该换掉密码吗？
顾客端在进步，员工端反而落后。Yubico 与 Okta 今年 7 月访问了九个国家、1,890 位科技与安全从业人员，43% 仍用账号密码登录工作账号；同一份调查里，44% 表示公司过去一年至少遭遇过一次成功的 AI 钓鱼攻击，39% 分不出哪一条是 AI 写的信息。
一般人以为钓鱼只针对消费者，但真正能动到订单、退款、会员数据的，是后台账号。我们在〈AI 代理攻击时代，企业网站该补的四道防线〉提过，管理后台是最需要加固的入口。如果预算有限，与其只在前台加 passkey，不如先让后台管理员改用 passkey 或硬件安全密钥，效益往往更大。
决定四：上线后看哪些数字，才知道值不值得
FIDO 的报告把成效拆成几个可以衡量的指标，委托开发时可以直接写进需求：
- 创建率：有多少活跃会员创建了 passkey。
- 使用率：成功登录中，有多少比例是用 passkey 完成。创建了却没用，通常代表登录页的顺序有问题。
- 登录成功率与时间：passkey 在参与服务中，成功率与速度都持续胜过其他方式。
- 短信验证码成本：每一家提供数据的参与者，都反馈短信 OTP 费用下降。
- 账号被盗与客服工单：凡有追踪钓鱼数据的参与者，部署后成功的攻击都减少了。
把这些指标放进后台报表，三个月后你就有数据判断要不要进一步取消密码。
登录很少被当成品牌议题，但它是顾客每次回来都会经过的门。卡住、忘记密码、等不到短信，都会被算在品牌头上。AI 让钓鱼更逼真，也让“安全又顺手”的登录成为基本功：让技术负责把门守好，人负责设计一个让顾客愿意回来的入口。
如果你正在规划会员系统或 App，想知道 Passkey 登录在你的架构里怎么导入最划算，欢迎参考我们的定制开发服务，或直接与我们聊聊。
评论