Google 在 2026 年 10 月 8 日於官方部落格發布一則說明，配合網路安全意識月（Cybersecurity Awareness Month），呼籲使用者改用 passkey 登入帳號。文章的核心主張很直接：passkey 能讓登入應用程式或網站變得比密碼更容易，同時也更安全。它背後的類比並不複雜，就是把登入時的驗證方式，換成平常解鎖自己裝置的方式，也就是指紋、臉部掃描，或裝置本身的 PIN 碼。
背景：為什麼要換掉密碼
傳統登入依賴使用者設定一組密碼，並且在每次登入時正確輸入。這套做法把安全責任放在人身上：使用者必須記住多組密碼、避免重複使用同一組，還要能判斷自己當下連上的究竟是不是真正的網站。密碼本身是一段靜態字串，一旦被洩漏或被騙取，攻擊者就能拿它去登入，而使用者往往在事後才察覺。來源指出，passkey 的設計目標之一，正是要抵抗釣魚這類常見的線上攻擊，而這恰好是密碼長期難以穩定做到的部分。
Passkey 是什麼
Passkey 是一種不需要輸入密碼的登入憑證。當使用者要登入某個應用程式或網站時，不再手動打出帳號密碼，而是改用平常解鎖裝置的方式完成身分確認，包括指紋、臉部掃描或裝置 PIN 碼。換句話說，驗證的行為從「輸入一段只有你知道的字串」，轉變為「通過裝置本身的身分確認」。來源明確表示，這種方式比密碼更容易使用，也比密碼更安全。這裡的「更容易」不只是少打幾個字，而是省去記憶與管理密碼的負擔；「更安全」則來自它與密碼在結構上的根本差異。
生物辨識資料留在裝置上
對在意生物特徵資料流向的人來說，來源提供了一個關鍵說明：指紋或臉部掃描這類生物辨識資料會留在裝置上，不會被分享給 Google。這一點相當重要，因為生物辨識不像密碼那樣可以隨時更換，一旦被集中儲存或在傳輸過程中外洩，後果幾乎無法回收。把比對與驗證留在裝置端處理，等於讓使用者不必把最敏感的身分特徵交給遠端服務，也降低了單一服務遭到入侵時連帶暴露生物特徵的風險。
抗釣魚的關鍵差異
來源把抗釣魚列為 passkey 與密碼最關鍵的差異。釣魚攻擊的典型手法，是誘導使用者在偽造的頁面上輸入帳號密碼，一旦送出，憑證就落入攻擊者手中。Passkey 的運作方式與此不同：它不是一組可以被打字輸入、複製或轉交給他人的固定字串，因此使用者即使被引導到錯誤的頁面，也不會像輸入密碼那樣把可被重複使用的憑證交出去。正因如此，來源形容 passkey 在設計上就能抵抗這類常見的線上攻擊，而不是靠使用者額外提高警覺來補救。
設定方式
來源給出的操作步驟相當精簡。使用者前往 g.co/passkeys，點選「建立 passkey」（Create a passkey），再依畫面提示完成後續流程即可。從描述來看，整個設定被定位成一次性的切換動作，使用者建立完成後，之後登入就能改用裝置的解鎖方式，而不必再走輸入密碼的流程。
影響與限制
這項說明的實務意義，在於把登入安全從「使用者要更小心」推向「機制本身更不容易被騙」。對個人使用者而言，少記一組密碼、少一次在假頁面上輸入帳密的機會，都是直接的好處；對服務提供者而言，降低釣魚得手的機率也意味著減少帳號遭盜用後的處理成本。不過，passkey 仍是一項需要使用者主動建立的設定，並非自動生效，使用者必須自己走完建立流程才會享受到好處。此外，驗證最終落在裝置的解鎖機制上，因此實際體驗與安全強度，也會與裝置本身提供的指紋、臉部或 PIN 功能有關。來源並未交代跨裝置使用、備援登入方式或帳號復原等情境的細節，這些仍是實際採用 passkey 時值得留意的環節。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。