Passkey 改變的是登入方式，不只是少打一組密碼

Passkey 是建立在 FIDO 標準上的登入方式，用加密金鑰取代傳統密碼。使用者仍需要用指紋、臉部辨識、PIN 或裝置解鎖確認身份，但不再把一組可重複使用的密碼輸入網站。

網站保存公開金鑰，而不是你的密碼

傳統密碼是一段秘密文字，可能被釣魚網站騙走，也可能因資料外洩被拿去其他網站重複嘗試。Passkey 建立時會產生一組公私鑰，服務保存公開金鑰，私密金鑰留在使用者裝置或 Passkey Provider 中。登入時是完成加密驗證，不是送出密碼。

這也代表網站資料庫外洩時，攻擊者不會直接拿到一組可在其他網站重複輸入的密碼。Passkey 對 Credential Stuffing 的防護價值，來自它不再依賴可重複使用的共享秘密。

它比較抗釣魚，但不是沒有邊界

Passkey 會和正確的服務來源建立關聯。外觀相似的假登入頁，不能像傳統密碼一樣要求你手動輸入一段秘密文字。需要注意的是，如果同一個帳號仍保留簡訊驗證、弱恢復流程或容易被客服社交工程繞過的入口，攻擊者可能改攻擊較弱的恢復通道。

啟用前先準備恢復方式

主要 Email、雲端硬碟、支付工具、工作帳號或社群主帳號，都適合優先考慮 Passkey。但啟用前要確認有可靠的恢復方式，例如備援裝置、安全金鑰或恢復碼，也要看服務是否仍保留較弱的登入入口。

換手機與遺失裝置時要先想清楚

Passkey 有同步型與裝置綁定型差異。同步型較適合一般使用者跨裝置使用；裝置綁定型可能更依賴特定裝置或安全金鑰。啟用後仍應確認帳號恢復流程，否則裝置遺失時可能變成另一種登入困難。

生物辨識資料通常不會傳給網站；指紋或臉部辨識是在本機確認你能解鎖裝置。網站收到的是驗證結果，而不是你的指紋影像或臉部資料。