Password punya masalah bawaan: manusia sulit mengingat sandi yang kuat, dan mudah tertipu memberikannya ke halaman palsu. Passkey dirancang untuk menghapus kedua masalah itu sekaligus โ bukan dengan menyuruh kita lebih rajin, melainkan dengan mengubah cara pembuktian identitas bekerja.
Cara kerjanya, tanpa jargon
Saat mendaftarkan passkey, perangkatmu membuat sepasang kunci. Kunci publik dikirim ke layanan, kunci privat tidak pernah meninggalkan perangkatmu dan dibuka dengan sidik jari, wajah, atau PIN perangkat. Saat login, layanan mengirim tantangan, perangkat menandatanganinya. Tidak ada rahasia bersama yang bisa dicuri dari server, dan tidak ada yang bisa kamu ketikkan ke situs palsu.
Kenapa ini penting untuk phishing
Passkey terikat pada domain. Kalau kamu ada di bank-palsu.com, passkey untuk bank-asli.com tidak akan muncul dan tidak bisa dipakai. Perlindungannya bersifat teknis, bukan bergantung pada ketelitian mata kita membaca alamat situs.
Pertanyaan yang paling sering muncul
- Kalau HP-ku hilang? Passkey biasanya tersinkron lewat pengelola sandi atau ekosistem perangkat, jadi bisa dipulihkan di perangkat baru. Daftarkan minimal dua perangkat atau simpan kode cadangan.
- Berarti data biometrikku dikirim ke situs? Tidak. Sidik jari hanya membuka kunci di perangkatmu; yang dikirim adalah tanda tangan digital.
- Harus buang semua password? Belum. Sebagian besar layanan masih menyediakan password sebagai cadangan. Manfaatnya tetap nyata: login harianmu jadi tahan phishing.
Urutan yang masuk akal untuk pengguna biasa
- Aktifkan passkey di email utama lebih dulu โ email adalah kunci pemulihan semua akun lain.
- Lanjut ke akun finansial dan media sosial yang mendukung.
- Pakai pengelola sandi untuk akun yang belum mendukung passkey, dengan sandi unik tiap situs.
- Matikan pemulihan lewat SMS bila ada opsi yang lebih aman, karena nomor bisa dibajak lewat pengambilalihan SIM.
Untuk pemilik produk
Menambahkan passkey kini relatif mudah karena didukung peramban dan sistem operasi besar lewat standar WebAuthn. Yang sering salah bukan implementasinya, melainkan alur pemulihan: jika "lupa passkey" tetap jatuh ke verifikasi SMS yang lemah, kamu hanya memindahkan pintu belakang, bukan menutupnya.
Keamanan sebuah akun sama kuatnya dengan metode pemulihan yang paling lemah.
๐ฌ Diskusi (0)
Sopan, tanpa SARA, tanpa promosi