Passkey چیست؟ راهنمای ورود بدون رمز عبور برای سایت‌ها

FIDO Alliance در ۱۵ اکتبر ۲۰۲۶ برآورد کرد حدود ۷ میلیارد Passkey در جهان استفاده می‌شود و شاخص تازه خود را با داده ۱۵ سرویس مصرف‌کننده منتشر کرد. این عدد، برآورد تعداد اعتبارنامه‌هاست؛ نه تعداد افراد منحصربه‌فرد یا سهم همه سایت‌های جهان. همین گزارش تازه، دلیل انتخاب این موضوع در مجله سوشو است.

برای صاحب وب‌اپلیکیشن، مسئله روزمره ملموس‌تر است: کاربر رمز خود را فراموش می‌کند، کد ورود دیر می‌رسد یا بین دستگاه‌ها سردرگم می‌شود. پیشنهاد ما این است که درباره Passkey از مسیر حل یک مشکل مشخص تصمیم بگیرید، نه صرفاً بزرگی عددهای جهانی.

در راهنمای Google، کاربر حساب خود را با قفل دستگاه، مانند اثر انگشت، تشخیص چهره یا PIN تأیید می‌کند. اعتبارنامه به سایت یا اپلیکیشن مربوط است و سرور کلید عمومی را نگه می‌دارد. داده زیست‌سنجی کاربر به وب‌سایت تحویل داده نمی‌شود. بنابراین لازم نیست از کاربر اثر انگشت بگیرید یا تصویر چهره او را در پایگاه داده سایت ذخیره کنید.

این روش مقاومت در برابر فیشینگ را تقویت می‌کند، چون استفاده از اعتبارنامه به سایت ثبت‌شده وابسته است. با این حال، برداشت درست محصولی این نیست که همه مسئله‌های امنیت حساب تمام شده‌اند. مدیریت نشست، دسترسی‌های حساب و مسیر بازیابی همچنان بخش‌های مستقل طراحی شما هستند.

در ارزیابی پیشنهادی سوشو، وب‌اپلیکیشن‌هایی با ورود پرتکرار، پنل مشتری، اشتراک یا حساب خرید تکرارشونده نامزدهای روشن‌تری هستند. یک سایت معرفی ساده که اصلاً حساب کاربری ندارد، مسئله ورود را تجربه نمی‌کند؛ افزودن عضویت فقط برای استفاده از Passkey معمولاً هدف محصول را پیچیده می‌کند.

یک مثال فرضی، سامانه آموزشی با دانشجویان بازگشتی است. تیم می‌تواند ابتدا چند کاربر داوطلب را وارد پایلوت کند و ببیند آیا پیدا کردن گزینه ورود و برگشت به درس برای آن‌ها روشن است. این پیشنهاد سناریوی آزمایش است و نباید به‌عنوان نتیجه واقعی یک مشتری یا وعده کاهش هزینه معرفی شود.

راهنمای autofill در web.dev پیشنهاد می‌کند ورود با Passkey در تجربه آشنای فرم نام کاربری در کنار روش‌های موجود عرضه شود. این الگو از کاربر نمی‌خواهد از ابتدا به خاطر بیاورد کدام روش را قبلاً فعال کرده است. فعال‌سازی چنین رابطی به پشتیبانی مرورگر هدف وابسته است.

توصیه اجرایی ما این است که نام گزینه‌ها فارسی و قابل فهم باشد: «ورود با Passkey» همراه با توضیح کوتاه «با قفل دستگاهتان تأیید کنید». برای کاربر تازه‌وارد، توضیح ایجاد Passkey را با ورود روزمره مخلوط نکنید. پیام خطا نیز باید قدم بعدی را نشان دهد، نه فقط یک کد فنی.

راهنمای ثبت در web.dev، ارتباط حساب کاربر، مرورگر، ارائه‌دهنده Passkey و کلید عمومی سرور را توضیح می‌دهد. پیاده‌سازی واقعی به WebAuthn و بررسی سمت سرور نیاز دارد؛ افزودن یک دکمه با ظاهر جدید، به‌تنهایی ورود بدون رمز ایجاد نمی‌کند.

چک‌لیست پیشنهادی ما باید قبل از پایلوت پاسخ دهد: کاربر دستگاهش را عوض کند چه می‌شود؟ اگر به هیچ روش ثبت‌شده‌ای دسترسی نداشته باشد چه راهی دارد؟ چه کسی می‌تواند یک اعتبارنامه را از حساب حذف کند؟ پاسخ‌ها را با سیاست محصول و سطح حساسیت حساب هماهنگ کنید و مسیر پشتیبانی را هم آزمایش کنید.

پیشنهاد سوشو یک مسیر چهارمرحله‌ای است: ابتدا وضعیت فعلی ورود را اندازه بگیرید، سپس پایلوت داوطلبانه بسازید، رفتارهای خطا و بازیابی را اصلاح کنید و بعد درباره گسترش تصمیم بگیرید. معیارها می‌توانند تکمیل ورود، زمان رسیدن به حساب و تعداد درخواست پشتیبانی مرتبط باشند. هیچ درصد بهبود را قبل از مشاهده داده خودتان وعده ندهید.

اگر قصد اضافه کردن Passkey به سایت یا پنل خود دارید، فهرست روش‌های ورود فعلی، دستگاه‌های مخاطبان و سیاست بازیابی را آماده کنید. این سه ورودی کمک می‌کنند دامنه کار، تست‌های لازم و مسیر مناسب توسعه وب‌اپلیکیشن روشن شود.