Passkey 登入要不要做？70 億組通行密鑰之後，委託開發會員系統前的四個決定
FIDO 聯盟在 10 月中公布最新統計：全球已有約 70 億組通行密鑰（passkey）在使用中，參與指數的 15 家大型消費服務裡，超過三分之一的成功登入已經改用 passkey，而且比其他方式快近三倍。換句話說，「不用打密碼」正在從新奇功能變成使用者的預期。如果你正打算委託開發會員系統、電商後台或 App，Passkey 登入已經不是要不要跟風的問題，而是得在規格階段就決定清楚的四件事。
70 億組 passkey 之後：登入方式正在換代
passkey 的原理是用手機或電腦的指紋、臉部辨識或螢幕鎖解鎖一把只存在裝置上的私鑰，網站端只保存公鑰。沒有密碼可以被偷、被猜，也很難被假網站騙走。
這兩年大型平台陸續轉向：微軟在 2025 年 5 月宣布新帳號預設「無密碼」，註冊時根本不必設定密碼；FIDO 的指數也顯示，參與服務中 90% 的活躍帳號已經可以使用 passkey，其中 42% 已經建立。更值得注意的是，13 家受訪組織裡有 9 家打算走向完全無密碼的帳號。
對中小品牌來說，這代表兩件事：顧客已經在大平台用慣了 passkey，回到你的網站還要記密碼、收簡訊驗證碼，落差會越來越明顯；而好消息是，主流瀏覽器與手機系統都已內建支援，技術門檻比過去低很多。
決定一：Passkey 登入是主要入口，還是藏在設定裡的選項？
FIDO 的報告提到一個很實際的發現：有兩家參與者發現，如果登入頁先出現密碼或驗證碼欄位、passkey 選項排在後面，使用者即使建立了 passkey 也不太會用它。他們的建議是改成 passkey 優先 的登入流程。
所以在寫規格時，要明確寫出：
- 登入頁的預設動作：使用者一點登入，是先跳出裝置的指紋或臉部辨識，還是先看到密碼欄？
- 什麼時候邀請建立 passkey：註冊完成當下、第一次用密碼登入成功之後，或結帳完成時。時機選對，建立率差很多。
- 密碼還留不留：多數品牌短期內仍需保留密碼或 Email 驗證作為備援，但要決定它是「主角」還是「後備」。
決定二：手機換了、裝置丟了，帳號怎麼救回來？
passkey 最常被問的問題是：換手機怎麼辦？目前 Apple、Google 與各家密碼管理器都會在同一帳號的裝置之間同步 passkey，但你的系統仍要設計好例外狀況。
FIDO 即將推出的 Passkey Rubric（自我檢查清單，不是認證）特別提醒：不要讓每個帳號只能綁一組 passkey。Starlink 的做法是每個帳號最多可以建立 10 組。委託開發時可以要求：
- 會員中心能列出、命名、刪除已綁定的 passkey，讓使用者知道哪台裝置能登入。
- 帳號復原流程要和登入一樣嚴謹，否則駭客會改從「忘記密碼」下手。
- 客服人員協助復原帳號時，有明確的身分核對步驟與紀錄。
決定三：員工後台也該換掉密碼嗎？
顧客端在進步，員工端反而落後。Yubico 與 Okta 今年 7 月訪問了九個國家、1,890 位科技與資安人員，43% 仍用帳號密碼登入工作帳號；同一份調查裡，44% 表示公司過去一年至少遭遇過一次成功的 AI 釣魚攻擊，39% 分不出哪一封是 AI 寫的訊息。
一般人以為釣魚只針對消費者，但真正能動到訂單、退款、會員資料的，是後台帳號。我們在〈AI 代理攻擊時代，企業網站該補的四道防線〉提過，管理後台是最需要加固的入口。如果預算有限，與其只在前台加 passkey，不如先讓後台管理員改用 passkey 或硬體安全金鑰，效益往往更大。
決定四：上線後看哪些數字，才知道值不值得
FIDO 的報告把成效拆成幾個可以量測的指標，委託開發時可以直接寫進需求：
- 建立率：有多少活躍會員建立了 passkey。
- 使用率：成功登入中，有多少比例是用 passkey 完成。建立了卻沒用，通常代表登入頁的順序有問題。
- 登入成功率與時間：passkey 在參與服務中，成功率與速度都持續勝過其他方式。
- 簡訊驗證碼成本：每一家有提供數據的參與者，都回報簡訊 OTP 費用下降。
- 帳號被盜與客服工單：凡有追蹤釣魚數據的參與者，導入後成功的攻擊都減少了。
把這些指標放進後台報表，三個月後你就有數據判斷要不要進一步取消密碼。
登入很少被當成品牌議題，但它是顧客每次回來都會經過的門。卡住、忘記密碼、等不到簡訊，都會被算在品牌頭上。AI 讓釣魚更逼真，也讓「安全又順手」的登入成為基本功：讓技術負責把門守好，人負責設計一個讓顧客願意回來的入口。
如果你正在規劃會員系統或 App，想知道 Passkey 登入在你的架構裡怎麼導入最划算，歡迎參考我們的客製化開發服務，或直接與我們聊聊。
留言