Ключ доступу (passkey) — сучасний стандарт автентифікації з апаратним захистом, який замінює паролі парами криптографічних ключів, що зберігаються на пристроях користувача. Технічно це реалізація стандартів FIDO2 / WebAuthn. На iPhone ключі доступу синхронізуються через «Зв'язку ключів iCloud», на Android — через Менеджер паролів Google, на macOS — через системну зв'язку ключів. GitHub, Apple ID, обліковий запис Google і більшість великих міжнародних онлайн-сервісів у 2026 році вже дозволяють входити з ключем доступу.
Чим ключ доступу відрізняється від пароля
Важливі дві властивості:
По-перше, секрет ніколи не залишає пристрій. Пароль можна ввести на фішинговому сайті — і його вкрадуть. Ключ доступу прив'язаний до домену, який його створив: фішинговий сайт не може попросити ключ підтвердити вхід, браузер відмовить, бо домен не збігається. Таку саму прив'язку до домену завжди давали апаратні ключі безпеки (YubiKey, Solo Key), тепер вона доступна кожному.
По-друге, його неможливо виманити методами соціальної інженерії. Ключ доступу не продиктуєш «працівникові підтримки» і випадково не вставиш в особисте повідомлення в Discord. Він спрацьовує лише тоді, коли ви підтверджуєте вхід біометрією (Face ID, відбиток пальця) або PIN-кодом пристрою.
Що ключ доступу замінює, коли йдеться про криптовалюту
SMS-коди, TOTP-коди, а в багатьох випадках навіть апаратні ключі безпеки. Вхід «пароль + ключ доступу» за суттю дорівнює автентифікації апаратним ключем, тільки роль ключа виконує пристрій, який і так завжди з вами, і купувати окремий YubiKey не потрібно. Для біржового акаунта це скорочує вхід до одного кроку й повністю знімає ризик підміни SIM-картки.
Чимало великих бірж уже підтримують вхід із ключем доступу. Чи є така можливість на вашій біржі, дивіться в налаштуваннях безпеки акаунта та в її офіційній довідці.
Як ключі доступу синхронізуються між пристроями
Ключі доступу, створені на iPhone, через «Зв'язку ключів iCloud» потрапляють на iPad, Mac та інші пристрої Apple. Створені на Android синхронізуються з іншими Android-пристроями через Менеджер паролів Google. Перенесення між платформами (з iPhone на Android) стандарт WebAuthn технічно підтримує, але у 2026 році робити це все ще незручно.
Саме синхронізація відрізняє ключ доступу від YubiKey: фактично ключ лежить «у вашій зв'язці ключів iCloud» або «у вашому акаунті Google» під захистом біометрії пристрою. Тож безпека тепер залежить не лише від самого пристрою, а й від того, наскільки захищений ваш акаунт iCloud або Google.
Ризик єдиної точки відмови
Якщо зламають iCloud, під загрозою опиниться кожен акаунт, захищений ключем доступу з цього Apple ID. Що робити: увімкніть в iCloud розширений захист даних (наскрізне шифрування даних iCloud, зокрема й ключів доступу), налаштуйте контакт і ключ для відновлення, і лише після цього переводьте на ключі доступу акаунти, де лежать важливі для вас кошти.
З Google та сама логіка: увімкніть Додатковий захист (Advanced Protection), налаштуйте способи відновлення і вважайте, що злам акаунта Google означає злам кожного акаунта, захищеного ключем доступу з нього.
Коли YubiKey усе ще кращий за ключ доступу
Для акаунтів, де лежить помітна частина ваших заощаджень, окремий апаратний ключ безпеки (YubiKey 5C NFC, Solo Key) лишається золотим стандартом. Він фізично відокремлений від телефона, не залежить від хмарної синхронізації і не вразливий до зламу акаунта iCloud, від якого ключ доступу сам по собі не захищає. Поширена схема в такому разі: ключ доступу для звичайних входів, YubiKey як резервний захист для найцінніших акаунтів, і обидва зареєстровані.
Що почитати далі: YubiKey, 2FA, Правда про 2FA.