Passkey（密碼金鑰）就是一種新的登入方法。它讓你使用手機或電腦的指紋、人臉辨識、PIN 碼或裝置密碼登入網站，而不用每次輸入傳統密碼。
💡 最簡單的說法：Passkey 就像一把只屬於你的電子鑰匙。你用手機解鎖它，網站就知道是你本人在登入。
一、Passkey 到底是甚麼？
你可以把傳統密碼想像成一個口令。你把口令告訴網站，網站再拿它來核對你的身份。如果有人騙到這個口令，就可能冒充你登入帳戶。
Passkey 的做法不同。當你建立 Passkey 時，手機或電腦會為你的帳戶製作一對特別的電子鑰匙。一把是「公開鑰匙」，可以交給網站保存；另一把是「私密鑰匙」，只留在你的裝置或密碼管理工具內。
門鎖比喻：
網站只會拿到公開鑰匙，拿不到真正能登入帳戶的私密鑰匙。這就像你把門鎖的資料交給管理處，但把真正的鑰匙留在自己身邊。
二、登入時發生了甚麼事？
實際使用時，過程通常很簡單：
點擊登入
你在網站按下「使用 Passkey 登入」。
解鎖驗證
手機或電腦要求你掃描指紋、進行人臉辨識，或輸入 PIN 碼。
密碼學對話
裝置確認是你本人後，使用藏在裝置內的私密鑰匙完成驗證。
順利登入
網站核對成功，你便完成登入。
你不需要看到這些複雜的密碼學運算。對使用者來說，整件事就像平時解鎖手機一樣。
三、為甚麼 Passkey 比密碼安全？
最主要的原因是：Passkey 不需要把一組可以重複使用的密碼交給網站。
傳統密碼很容易遇到以下問題。你可能在假網站輸入密碼，也可能在多個網站使用同一個密碼；網站資料庫被盜後，密碼也可能被騙徒拿去其他網站嘗試。
Passkey 通常只會在正確的網站上運作。即使你誤入外觀相似的假網站，裝置也不會交出真正帳戶所需的登入證明。因此，Passkey 對網路釣魚和密碼重用攻擊有較強的抵抗力。
| 傳統密碼 | Passkey（密碼金鑰） |
|---|---|
| 需要記住一串文字 | 通常只需解鎖手機或電腦 |
| 可能被騙徒套取（網路釣魚） | 不會直接把私密鑰匙交給網站 |
| 很多人會重用相同密碼 | 每個帳戶可以有不同的電子鑰匙 |
| 容易在假網站輸入 | 通常會核對是否為正確網站 |
| 網站需要處理與保存密碼 | 網站主要保存公開鑰匙 |
當然，Passkey 不是魔法。它不能阻止所有騙案。如果有人騙你交出帳戶復原資料、把自己的裝置加進你的帳戶，或在你的手機安裝惡意程式，你仍然可能遇到風險。因此，看到可疑連結和訊息時，仍然要保持警覺。
四、Passkey 和指紋有甚麼分別？
這是最常見的疑問。可以用以下方式分辨：
| 名稱 | 它的作用 |
|---|---|
| 指紋或人臉辨識 | 確認是你本人，准許裝置使用 Passkey |
| PIN 碼或裝置密碼 | 解鎖手機或電腦，也可以授權登入 |
| 密碼管理器 | 幫你儲存密碼，也可能儲存 Passkey |
| Passkey | 真正用來向網站證明你可以登入的電子鑰匙 |
因此，Passkey 並不是「把指紋上傳到網上」。指紋通常只在你的裝置內處理，用來解鎖登入功能。Google 和 Apple 都表示，相關生物辨識資料不會提供給網站或服務供應商。
五、Passkey 會不會只在一部手機上？
不一定。很多 Passkey 可以在你自己的多部裝置之間安全同步。例如，你換了新手機，平台可能會把原有 Passkey 安全地帶到新裝置。
你也可以用手機登入電腦。網站可能會在電腦上顯示 QR code，你用手機掃描後，再用指紋、人臉辨識或 PIN 確認。完成後，電腦便會登入帳戶。
不過，實際功能要視乎三件事：網站是否支援 Passkey、你的手機和電腦是否支援，以及你使用哪一個平台或密碼管理器。有些 Passkey 只留在一部裝置或實體安全金鑰內，不會自動同步。這種做法適合需要更嚴格保護的情況，但換裝置時可能要重新設定。
六、如果手機遺失，Passkey 怎麼辦？
如果你的 Passkey 可以安全同步到其他裝置，你通常可以在另一部已信任的裝置上找回或使用它。如果 Passkey 只存在遺失的手機內，你便可能需要使用另一個登入方法或帳戶復原程序。
| 情況 | 建議做法 |
|---|---|
| 手機遺失 | 盡快鎖定或清除手機，並從帳戶移除該裝置 |
| 在共用電腦使用 | 不要在共用裝置建立 Passkey |
| 更換手機 | 先確認新手機可以登入，再重設舊裝置的 Passkey |
| 忘記 PIN 碼 | 使用裝置或帳戶提供的復原方法 |
| 網站不支援 Passkey | 暫時使用密碼或其他驗證方式 |
七、Passkey 是否代表以後完全不用密碼？
未必。Passkey 的目標是減少對密碼的依賴，但現時很多網站仍然保留密碼，讓使用者在其他裝置或特殊情況下登入。你可能會同時看到以下幾種登入方式：
| 登入方式 | 主要用途 |
|---|---|
| Passkey | 日常快速及安全登入 |
| 傳統密碼 | 暫時未支援 Passkey 的情況 |
| 備用電郵或電話 | 帳戶復原 |
| 驗證器或實體安全金鑰 | 額外保護帳戶 |
所以，不要在建立 Passkey 後立即刪除所有其他登入方式。先確認 Passkey 可以正常使用，並確保自己仍有可靠的帳戶復原方法。
八、我應該怎樣開始使用 Passkey？
你可以先在常用而且明確支援 Passkey 的服務上試用。一般步驟如下：
- 更新手機、電腦和瀏覽器。
- 確認手機已經設定螢幕鎖定。
- 到帳戶的「安全性」或「登入方式」設定。
- 尋找「Passkey」或「密碼金鑰」選項。
- 按照畫面指示，用指紋、人臉辨識或 PIN 建立。
- 登出後重新登入，測試 Passkey 是否正常運作。
九、常見問題 FAQ
1. Passkey 是不是密碼？
不是。密碼是你需要記住並輸入的一串文字；Passkey 是由裝置管理的電子鑰匙。你通常只需解鎖裝置，便可以使用它。
2. 網站會不會知道我的指紋？
一般不會。指紋或人臉辨識主要在裝置本機完成，網站收到的是驗證結果，而不是你的原始生物辨識資料。
3. 如果別人知道我的 PIN，會不會登入我的帳戶？
如果對方同時拿到你的手機，而且可以用 PIN 解鎖，風險會增加。請使用不易猜測的 PIN 或裝置密碼。手機遺失後，也要盡快鎖定裝置及移除相關 Passkey。
4. Passkey 比雙重驗證更安全嗎？
Passkey 可以把「擁有裝置」和「解鎖裝置」結合在一起，而且設計上能抵抗釣魚。不過，帳戶的整體安全程度仍取決於網站的設計、帳戶復原方法和你的裝置安全性。
5. Passkey 可以分享給朋友嗎？
不應該。Passkey 是為你的帳戶和裝置建立的個人登入憑證。若要讓別人使用服務，應使用網站提供的正式共享功能，不要把自己的裝置或帳戶解鎖方式交給別人。
結語：把「記密碼」變成「解鎖自己的裝置」
Passkey 的概念其實不難。傳統登入是「輸入口令」，Passkey 則是「用自己的裝置證明身份」。你平時看到的可能只是一次指紋掃描或 PIN 解鎖，但背後已經由裝置完成一個更安全的驗證程序。
只要記住以下三點，就掌握了 Passkey 的核心：
Passkey 不是指紋。 指紋只是解鎖裝置和授權登入的方法。
真正重要的私密鑰匙不會交給網站。 網站主要使用公開鑰匙來核對登入。
Passkey 可以減少釣魚和密碼重用風險，但仍要保護好手機、PIN 和帳戶復原資料。
簡單而言，Passkey 就是讓登入變得更方便，也讓我們不必再依賴大量容易被盜的密碼。它未必會立即取代所有密碼，但已經是更安全登入方式的重要一步。
延伸閱讀：更多專題與技術深度解析
精選相關金融科技、合規指南與行業深入洞察
eKYC 與 Passkey 的關係：前者確認「你是誰」，後者確認「是你本人」
深度解析 eKYC 與 Passkey 的核心區別與協同機制。從開戶身份核實到日常無密碼登入，拆解兩者如何完美結合打造金融級數碼身份安全閉環。
一文看懂 Passkey 的「全新操作體驗」
告別複雜密碼與短訊驗證碼！從註冊、日常登入、跨裝置掃碼到雲端同步，深度解析 Passkey 的 4 大流暢情境與安全原理。
Claude 引入 eKYC 的應用場景與未來趨勢預測
深入剖析 Anthropic 旗下 Claude 引入 eKYC 電子身份驗證的背景架構、四大核心應用場景及六大未來趨勢預測。探討生成式 AI 與 Agentic AI 如何從無門檻匿名走向實名合規營運。