Kata sandi punya cacat bawaan yang tidak bisa diperbaiki dengan aturan panjang karakter: ia adalah rahasia yang harus dititipkan ke pihak lain. Sekuat apa pun kata sandimu, kalau server tempatnya disimpan bocor, rahasia itu ikut bocor.
Passkey mengambil pendekatan berbeda. Perangkatmu menyimpan satu kunci privat yang tidak pernah dikirim ke mana pun, dan layanan hanya menyimpan kunci publik yang tidak berguna kalau dicuri. Saat masuk, perangkat membuktikan kepemilikan kunci tanpa mengungkapkannya.
Kenapa ini kebal phishing
Passkey terikat pada alamat situs tempat ia dibuat. Kalau kamu tertipu membuka situs palsu yang tampak identik, perangkatmu tidak akan menawarkan kunci apa pun, karena alamatnya tidak cocok. Perlindungan ini bekerja bahkan saat penggunanya sedang lengah.
Hambatannya ada di perpindahan perangkat dan pemulihan akun. Kalau ponsel hilang, harus ada jalan masuk cadangan yang tidak justru mengembalikan kelemahan kata sandi. Kebanyakan layanan menyelesaikannya dengan menyelaraskan passkey lewat akun sistem operasi.
Untuk sekarang, saran yang masuk akal: aktifkan passkey di layanan yang menyediakannya, tapi jangan buru-buru menghapus metode cadangan sebelum kamu yakin punya cara masuk kembali.
Bagaimana dengan pengelola kata sandi
Passkey tidak membuat pengelola kata sandi jadi usang. Justru sebaliknya: kebanyakan pengelola kata sandi kini juga menyimpan passkey, sehingga kunci itu ikut berpindah saat kamu ganti perangkat, tanpa terikat pada satu merek ponsel atau satu sistem operasi.
Perpindahan ke passkey juga tidak harus serentak. Layanan yang paling layak didahulukan adalah yang kalau jebol berdampak paling luas — surel utama dan akun yang jadi pintu pemulihan akun lain. Sisanya bisa menyusul perlahan.
Satu hal yang tetap tidak berubah: keamanan akunmu pada akhirnya sekuat pintu belakangnya. Kalau pemulihan akun masih bisa dilakukan dengan menjawab pertanyaan yang jawabannya ada di media sosialmu, teknologi masuk secanggih apa pun tidak banyak menolong.