Parolele mor încet: cum te pregătești pentru era passkeys fără să pierzi acces la conturi

Parolele nu dispar mâine, dar direcția este deja clară: marile platforme tehnologice încearcă să le împingă încet în plan secund, iar passkeys devin noul standard pentru autentificarea sigură. Google le-a introdus pentru conturile personale încă din 2023, Apple le-a integrat profund în iCloud Keychain și în aplicația Passwords, Microsoft le promovează agresiv în ecosistemul Windows și Microsoft Account, iar FIDO Alliance, organizația care coordonează standardele din spatele acestei tehnologii, le descrie drept alternativa mai simplă și mai sigură la parole.

Schimbarea vine într-un moment în care parolele au devenit, pentru foarte mulți utilizatori, un compromis prost între confort și securitate. O parolă simplă este ușor de memorat, dar fragilă. O parolă unică, lungă și complexă este mult mai sigură, dar aproape imposibil de gestionat manual pentru zeci sau sute de conturi. În paralel, atacurile de phishing și tentativele automate de compromitere a conturilor au crescut puternic. Microsoft spunea în 2025 că observase aproximativ 7.000 de atacuri asupra parolelor în fiecare secundă, de peste două ori mai multe decât în anul anterior.

Aici intră în scenă passkeys. Ele promit o autentificare care nu mai depinde de un secret pe care îl scrii, îl memorezi, îl refolosești sau îl poți introduce din greșeală pe un site fals. În locul parolei, contul tău folosește o pereche criptografică: cheia publică rămâne la serviciul online, iar cheia privată este păstrată pe dispozitivul tău sau în managerul tău de credențiale. La autentificare confirmi că ești tu prin Face ID, Touch ID, amprentă, PIN sau codul dispozitivului. Fără să vezi efectiv „parola”, fără să o tastezi și, foarte important, fără ca ea să poată fi furată prin metodele clasice.

Ce sunt passkeys și de ce sunt mai sigure decât parolele

Un passkey este o credențială de autentificare construită pe standardele FIDO și WebAuthn. Spre deosebire de o parolă, care este aceeași informație secretă atât la tine, cât și în sistemul serviciului unde te conectezi, un passkey funcționează cu două componente diferite. Serviciul online stochează doar cheia publică, care nu este utilă unui atacator pentru a se autentifica în locul tău. Cheia privată rămâne pe dispozitiv sau în ecosistemul securizat care îți sincronizează datele.

Acest detaliu schimbă radical natura riscului. În cazul unei baze de date sparte, atacatorii pot obține hash-uri de parole și pot încerca să le spargă ulterior sau să profite de parole refolosite pe alte site-uri. În cazul passkeys, serviciul compromis nu deține cheia privată necesară autentificării. La fel de important, passkeys sunt create pentru un anumit site sau serviciu și nu funcționează pe domenii false care imită pagina originală. De aceea, autorități precum National Cyber Security Centre din Marea Britanie recomandă passkeys în locul parolelor oriunde sunt disponibile.

Pe scurt, passkeys rezolvă trei mari slăbiciuni ale parolelor: nu pot fi ghicite, nu pot fi refolosite între conturi și sunt mult mai rezistente la phishing. Google le descrie drept o formă de autentificare care nu poate fi „ghicită sau reutilizată”, iar Microsoft le poziționează drept viitorul autentificării personale, tocmai pentru că elimină o mare parte din drama asociată cu parolele uitate sau compromise.

Totuși, faptul că passkeys sunt mai sigure nu înseamnă că trebuie tratate superficial. Ele mută punctul critic al securității de la parola în sine către ecosistemul care îți păstrează credențialele: Apple Account, contul Google, Windows Hello, un manager de parole sau o cheie fizică de securitate. Cu alte cuvinte, securitatea se îmbunătățește, dar și responsabilitatea se schimbă. Nu mai trebuie să reții sute de parole, însă trebuie să știi foarte bine ce dispozitive ai autorizat și cum îți recuperezi accesul dacă pierzi unul dintre ele.

De ce marile companii împing utilizatorii spre o lume fără parole

Passkeys nu mai sunt un experiment de laborator sau o funcție de nișă. Google, Apple și Microsoft le-au transformat în piese centrale ale ecosistemelor lor. Apple le sincronizează prin iCloud Keychain și permite folosirea unui iPhone inclusiv pentru autentificarea pe dispozitive non-Apple. Google le oferă pentru Google Account și le gestionează prin Google Password Manager. Microsoft a extins suportul nativ pentru passkeys în Windows, iar actualizările recente ale ecosistemului său arată că firma vrea să reducă tot mai mult dependența de parole.

În 2025, Microsoft a anunțat și schimbări importante în Authenticator: aplicația a încetat să mai primească parole noi și a oprit funcțiile de autofill pentru parole, încurajând utilizatorii să se orienteze către alte soluții de administrare și către metode de autentificare moderne, inclusiv passkeys. Nu înseamnă că Microsoft a „omorât” complet parolele, dar semnalul este puternic: instrumentele de identitate ale următorilor ani vor fi construite în jurul credențialelor fără parolă, nu al parolelor tradiționale.

Și administrațiile de securitate cibernetică au început să vorbească mai direct. NCSC, una dintre cele mai respectate autorități publice din domeniu, spune explicit că industria digitală se îndreaptă rapid către autentificarea fără parolă și recomandă folosirea passkeys oriunde există această opțiune. FIDO Alliance raporta în mai 2026 o accelerare puternică a adopției la nivel global, atât în rândul consumatorilor, cât și al organizațiilor. Chiar dacă nivelul exact al adopției variază între piețe și platforme, direcția industriei nu mai poate fi pusă la îndoială.

Această tranziție nu se petrece doar pentru că passkeys sunt „mai moderne”, ci pentru că parolele au devenit o problemă structurală. Fiecare cont important vine cu propriile cerințe de complexitate, fiecare breșă de securitate produce un nou val de resetări, iar fiecare utilizator care refolosește aceeași parolă pe mai multe site-uri transformă o compromitere locală într-un risc în lanț. Passkeys simplifică experiența de autentificare și, simultan, reduc unele dintre cele mai frecvente vectori de atac.

Cum adopți passkeys fără să îți blochezi singur accesul la conturi

Cea mai mare greșeală pe care o poți face este să vezi passkeys ca pe un întrerupător: azi parole, mâine fără parole. În realitate, tranziția trebuie făcută etapizat, mai ales pentru conturile importante. Pentru început, merită să activezi passkeys pe serviciile care îți oferă această opțiune fără să elimini imediat metodele de autentificare existente. Google spune clar că parolele și verificarea în doi pași continuă să funcționeze pentru conturile Google, chiar dacă passkeys reprezintă direcția viitorului.

Ordinea contează. Primul pas logic este să te ocupi de conturile care îți controlează celelalte conturi: adresa principală de e-mail, Apple Account, Google Account, Microsoft Account și, după caz, managerul tău de parole. Dacă pierzi accesul la unul dintre acestea, recuperarea altor servicii poate deveni mult mai complicată. Înainte să te grăbești să activezi passkeys peste tot, verifică datele de recuperare: număr de telefon, adrese alternative de e-mail, coduri de backup și, unde există, metode suplimentare de autentificare.

A doua regulă este să nu te bazezi pe un singur dispozitiv. Dacă passkeys sunt salvate într-un manager sincronizat precum iCloud Keychain sau Google Password Manager, ele pot fi disponibile și pe celelalte dispozitive de încredere din același ecosistem. NCSC explică faptul că managerul de credențiale face backup și sincronizare tocmai pentru a reduce riscul de a pierde accesul odată cu un telefon deteriorat sau dispărut. Asta nu te scutește de grijă, dar îți oferă o plasă de siguranță mult mai bună decât o parolă memorată doar în cap sau într-un fișier text uitat pe desktop.

În același timp, nu presupune că toate passkeys se comportă identic. Unele sunt sincronizate prin ecosistemul Apple, Google sau Microsoft, altele pot fi păstrate în manageri de parole terți, iar unele pot exista pe chei hardware de securitate. Pentru utilizatorul obișnuit, varianta sincronizată în ecosistemul de dispozitive este cea mai simplă. Pentru conturile cu adevărat critice, mai ales profesionale, poate avea sens și o cheie fizică de rezervă sau cel puțin o metodă de recuperare documentată clar.

Ce faci dacă îți pierzi telefonul, schimbi laptopul sau rămâi fără dispozitivul principal

Aceasta este întrebarea care îi face pe mulți să ezite: dacă autentificarea depinde de telefonul meu, ce se întâmplă când telefonul dispare. Răspunsul depinde de modul în care ai configurat passkeys. Dacă ele sunt sincronizate printr-un manager de credențiale legat de contul tău principal, cum este iCloud Keychain pe Apple sau Google Password Manager, în mod normal le poți recupera după ce te autentifici sigur pe un dispozitiv nou. NCSC menționează explicit backupul și sincronizarea passkeys între dispozitive de încredere ca parte din modelul lor de siguranță.

Dar „în mod normal” nu înseamnă „automat, în orice situație”. Dacă îți pierzi telefonul și, în același timp, nu mai ai acces la adresa de e-mail de recuperare, la numărul de telefon asociat sau la un al doilea dispozitiv deja conectat, intri în zona complicată a recuperării de cont. Google arată că, în cazul pierderii unei chei de securitate, utilizatorul trebuie să se autentifice cu parola și cu o altă metodă secundară, apoi să elimine cheia pierdută și să adauge una nouă. Microsoft recomandă, când treci pe dispozitive noi, să configurezi mai întâi noile passkeys și abia după aceea să ștergi credențialele vechi din cont.

Acesta este motivul pentru care trecerea la passkeys nu trebuie să fie doar o bifă în setări, ci un mic audit personal de securitate. Înainte să renunți la metode vechi sau să elimini un dispozitiv din cont, verifică dacă ai cel puțin două căi de acces realiste către conturile esențiale. Poți avea un telefon principal și un laptop sincronizat, un laptop și o tabletă, un passkey în ecosistemul tău plus o cheie hardware de backup, ori un passkey plus coduri de recuperare păstrate offline. Important este să nu construiești toată securitatea vieții tale digitale pe un singur obiect care poate fi uitat într-un taxi sau poate ceda într-o seară de duminică.

Pentru conturile sensibile, este util și să verifici periodic lista de metode de autentificare active. Dacă ai testat passkeys pe mai multe telefoane, tablete sau browsere, unele credențiale vechi pot rămâne în cont după ce nu mai folosești respectivele dispozitive. Microsoft are documentație dedicată administrării passkeys salvate, iar recomandarea practică este simplă: păstrezi ce recunoști și ce folosești, elimini ce nu mai este relevant.

Strategia realistă pentru următorii ani: passkeys în față, parolele în rezervă

În 2026, passkeys nu au înlocuit complet parolele și nici nu o vor face instantaneu. Există încă site-uri care nu le suportă, servicii care le oferă doar parțial și utilizatori care depind de ecosisteme amestecate, cu Windows, Android, iPhone, Mac și browsere diferite. Chiar și Google, unul dintre principalii promotori ai tehnologiei, precizează că utilizatorii pot continua să se conecteze prin metoda tradițională în anumite scenarii, inclusiv atunci când folosesc un dispozitiv nou și nu au la îndemână telefonul cu passkey.

Asta înseamnă că strategia sănătoasă nu este „șterge toate parolele”, ci „mută autentificarea de zi cu zi pe passkeys, dar păstrează un plan de recuperare solid”. În practică, parolele vor rămâne o perioadă metoda de rezervă pe multe conturi, însă nu ar mai trebui să fie prima linie de apărare acolo unde ai o alternativă mai bună. Pentru serviciile care oferă passkeys, autentificarea fără parolă ar trebui activată. Pentru cele care nu oferă încă suport, un manager de parole serios și autentificarea multifactor rămân indispensabile. Microsoft recomandă în continuare parole unice și puternice, MFA sau passkeys pentru conturile personale, ceea ce confirmă că lumea digitală se află într-o etapă de tranziție, nu la capătul drumului.

Pentru utilizatorul obișnuit, cele mai bune obiceiuri sunt surprinzător de simple. Activezi passkeys pentru conturile importante atunci când sunt disponibile. Îți protejezi foarte bine contul Apple, Google sau Microsoft care le sincronizează. Îți menții actualizate metodele de recuperare. Nu elimini din grabă metodele vechi până nu ești sigur că ai alternative funcționale. Revizuiești periodic dispozitivele și credențialele asociate conturilor. Iar dacă folosești multe platforme diferite, te gândești serios la un manager de parole și passkeys care îți oferă mai multă flexibilitate între ecosisteme.

Parolele mor încet nu pentru că industria a decis să complice inutil lucrurile, ci pentru că modelul lor a ajuns la limită. Oamenii nu pot gestiona perfect zeci de secrete complexe, iar atacatorii au devenit prea buni la a exploata această slăbiciune. Passkeys nu rezolvă orice problemă de securitate, însă schimbă regulile jocului într-un mod favorabil utilizatorului: mai puține lucruri de memorat, mai puține ocazii de a cădea în capcane și un nivel de protecție semnificativ mai apropiat de realitățile internetului actual. Pregătirea pentru această eră nu înseamnă să renunți haotic la parole, ci să îți construiești treptat un sistem de acces mai sigur, mai simplu și mai greu de compromis.