Passkey Authentication

TL;DR: Passkey adalah pengganti password berbasis kriptografi pada perangkat pengguna. Pengguna login dengan biometrik atau PIN perangkat, tanpa perlu mengingat password. Per April 2026, sebagian besar layanan besar sudah mendukung passkey karena lebih tahan phishing dan kebocoran kredensial.

Apa itu Passkey?

Passkey adalah pasangan kunci publik dan privat yang disimpan di perangkat pengguna, biasanya melalui sistem operasi atau password manager. Saat login, perangkat menggunakan kunci privat untuk menandatangani permintaan autentikasi, sementara server hanya menyimpan kunci publik. Pendekatan ini berbasis standar WebAuthn dan FIDO2.

Berbeda dengan password tradisional yang sering disimpan dalam database dan rentan bocor, passkey tidak pernah meninggalkan perangkat pengguna. Konsep ini melengkapi pendekatan keamanan modern seperti zero trust dan menjadi alternatif yang lebih kuat dari sistem berbasis JWT atau OAuth yang masih bergantung pada kredensial awal.

Cara Kerja Singkat

Saat pertama kali mendaftar, perangkat membuat pasangan kunci. Kunci publik dikirim ke server, kunci privat disimpan aman di perangkat. Saat login berikutnya, server mengirim challenge, perangkat menandatanganinya menggunakan kunci privat, server memverifikasi tanda tangan dengan kunci publik. Pengguna hanya perlu memverifikasi identitasnya dengan biometrik atau PIN.

Kenapa Penting?

Untuk produk SaaS, e-commerce, dan layanan publik, passkey mengurangi biaya dukungan akibat lupa password serta menutup vektor serangan phishing yang masih jadi salah satu sumber kebocoran data terbesar. Untuk pemilik website bisnis di Indonesia, mengimplementasikan passkey sebagai opsi tambahan dapat meningkatkan kepercayaan pengguna, terutama setelah berlakunya UU Pelindungan Data Pribadi.

Pertanyaan Umum

Apakah passkey menggantikan password sepenuhnya?

Belum, sebagian besar layanan masih menyediakan password sebagai fallback. Namun arah industri jelas menuju passkey-first.

Apakah passkey aman jika perangkat hilang?

Passkey biasanya tersinkron via iCloud Keychain, Google Password Manager, atau password manager pihak ketiga, sehingga bisa dipulihkan di perangkat baru dengan otentikasi akun cloud yang sesuai.