Klucz dostępu (passkey): co to jest i jak go włączyć w Google i Microsoft

Klucz dostępu (ang. passkey) to sposób logowania bez hasła: zamiast wpisywać ciąg znaków, potwierdzasz tożsamość odciskiem palca, skanem twarzy albo PIN-em, którym odblokowujesz telefon lub komputer. Włączysz go w ustawieniach bezpieczeństwa konta Google (myaccount.google.com/signinoptions/passkeys) albo Microsoft (account.live.com/proofs/manage), a na iPhonie i Macu klucze zapisują się w pęku kluczy iCloud. Poniżej wyjaśniamy, jak to działa, jak dodać i usunąć klucz oraz skąd bierze się kod QR przy logowaniu na komputerze.

Klucz dostępu – co to jest w praktyce

Passkey to dane logowania oparte na standardach FIDO2 i WebAuthn, rozwijanych przez FIDO Alliance razem z Google, Apple i Microsoftem. Przy tworzeniu klucza powstaje para kluczy kryptograficznych: publiczny trafia na serwer serwisu, a prywatny zostaje na Twoim urządzeniu lub w menedżerze haseł i nigdy nie jest wysyłany do serwisu.

Podczas logowania serwis wysyła zadanie do podpisania, a urządzenie podpisuje je kluczem prywatnym dopiero wtedy, gdy je odblokujesz. Odcisk palca czy obraz twarzy nie opuszczają telefonu – serwis dostaje jedynie podpisaną odpowiedź, a nie dane biometryczne.

Dlaczego to bezpieczniejsze od hasła

• Odporność na phishing – klucz jest przypisany do konkretnej domeny, więc nie zadziała na fałszywej stronie podszywającej się pod bank czy pocztę.
• Nie da się go podać – nie można go podyktować oszustowi przez telefon ani wpisać w formularz.
• Wyciek bazy niewiele daje – serwer przechowuje tylko klucz publiczny, który bez klucza prywatnego jest bezużyteczny.
• Brak powtarzania – każdy serwis dostaje osobny klucz.

Klucze dzielą się na synchronizowane (kopiowane między Twoimi urządzeniami przez menedżer haseł) i przypisane do urządzenia, np. zapisane na fizycznym kluczu USB/NFC. Definicje obu typów znajdziesz w słowniku passkeys.dev.

Gdzie przechowywane są klucze dostępu

Klucz zapisuje tzw. dostawca kluczy, czyli menedżer haseł. Najczęściej spotkasz:

• Menedżer haseł Google – Android i Chrome; klucze są kopiowane na konto Google, a przy pierwszym kluczu Chrome prosi o ustawienie PIN-u Menedżera haseł Google (pomoc Chrome).
• Pęk kluczy iCloud i aplikacja Hasła – iPhone, iPad, Mac; synchronizacja jest szyfrowana end-to-end (Apple).
• Windows Hello – klucz zapisany lokalnie na komputerze z Windows.
• Menedżer haseł Microsoft oraz zewnętrzne menedżery, np. Bitwarden czy 1Password.
• Fizyczny klucz bezpieczeństwa FIDO2 – np. YubiKey, chroniony własnym PIN-em.

Klucz dostępu Google: jak włączyć

Według pomocy Google (stan na październik 2026) potrzebujesz komputera z Windows 10, macOS Ventura lub ChromeOS 109 (albo nowszymi) bądź telefonu z Androidem 9 lub iOS 16 i nowszymi. Obsługiwane przeglądarki to m.in. Chrome i Edge od wersji 109, Safari od 16 i Firefox od 122. Urządzenie musi mieć włączoną blokadę ekranu.

1. Wejdź na myaccount.google.com/signinoptions/passkeys i zaloguj się.
2. Kliknij Utwórz klucz dostępu.
3. Odblokuj urządzenie odciskiem palca, twarzą lub PIN-em.
4. Aby zapisać klucz na fizycznym kluczu bezpieczeństwa, wybierz Użyj innego urządzenia i postępuj zgodnie z instrukcjami.

Na telefonach z Androidem Google może utworzyć klucz automatycznie po zalogowaniu na konto. Dodanie klucza nie usuwa dotychczasowych metod logowania i odzyskiwania konta, a jeśli masz włączoną weryfikację dwuetapową, logowanie kluczem pomija drugi krok.

Klucz dostępu Google – jak wyłączyć lub usunąć

Jeśli wolisz logować się hasłem, nie musisz kasować kluczy. W ustawieniach bezpieczeństwa konta, w sekcji Sposób logowania się w Google, wyłącz opcję Pomijaj hasło, gdy to możliwe. Przy pojedynczym logowaniu możesz też kliknąć Wypróbuj inny sposób – Google bierze to pod uwagę i rzadziej proponuje klucz.

Aby usunąć klucz całkowicie:

1. Otwórz myaccount.google.com i przejdź do Zabezpieczenia i logowanie.
2. Wybierz Klucze dostępu i klucze bezpieczeństwa.
3. Wskaż klucz i kliknij Usuń.

Klucz utworzony automatycznie przez telefon z Androidem usuniesz, wylogowując to urządzenie w sekcji Zarządzaj wszystkimi urządzeniami. Gdy po usunięciu nadal widzisz monit, sprawdź, czy klucza nie przechowuje zewnętrzny menedżer haseł.

Klucz dostępu Microsoft: jak dodać

Od 1 maja 2025 r. nowe konta Microsoft są domyślnie zakładane bez hasła, co firma ogłosiła na swoim blogu bezpieczeństwa. Właściciele starszych kont mogą dodać passkey samodzielnie (instrukcja Microsoft, stan na październik 2026):

1. Na urządzeniu, na którym chcesz zapisać klucz, zaloguj się na account.live.com/proofs/manage.
2. Wybierz Dodaj nowy sposób logowania lub weryfikowania.
3. Kliknij Twarz, Odcisk palca, PIN lub Klucz zabezpieczeń.
4. Zatwierdź zapis w proponowanym miejscu lub wybierz inne: menedżer haseł, telefon (przez kod QR), fizyczny klucz albo Windows Hello.
5. Potwierdź operację twarzą, odciskiem palca lub PIN-em.

Klucz dostępu Microsoft – kod QR i usuwanie

Kod QR pojawia się, gdy klucz ma trafić na telefon lub tablet. Zeskanuj go aparatem urządzenia mobilnego albo skanerem w aplikacji Microsoft Authenticator i postępuj zgodnie z poleceniami; może być potrzebne parowanie przez Bluetooth.

Klucz usuniesz na tej samej stronie zabezpieczeń: rozwiń sekcję kluczy dostępu i wybierz usunięcie. Klucz zapisany w Windows Hello skasujesz w Ustawienia → Konta → Klucze dostępu. Microsoft ostrzega, by przed usunięciem dodać inną metodę weryfikacji – skasowanie wszystkich danych zabezpieczających na 30 dni blokuje zmiany w ustawieniach zabezpieczeń i płatności.

Klucz dostępu na iPhonie i Macu

U Apple klucze trafiają do pęku kluczy iCloud, więc są dostępne na wszystkich urządzeniach zalogowanych na to samo konto Apple; od iOS 18 przeglądasz je w aplikacji Hasła. Na Macu przy logowaniu możesz potwierdzić klucz Touch ID albo wybrać Inne opcje logowania → iPhone, iPad lub urządzenie Android i zeskanować kod QR (instrukcja Apple).

Skąd kod QR przy logowaniu na komputerze

Gdy logujesz się na komputerze, który nie ma Twojego klucza, przeglądarka może wyświetlić kod QR. To mechanizm logowania między urządzeniami („hybrid”): skanujesz kod telefonem, na którym jest klucz, i odblokowujesz go. Wymagany jest włączony Bluetooth, bo oba urządzenia muszą być fizycznie blisko – to dodatkowa ochrona, bo zdjęcie kodu przesłane przez oszusta nic nie da.

W Google wygląda to tak: podajesz login, klikasz Wypróbuj inny sposób → Użyj klucza dostępu, skanujesz kod aparatem telefonu (z włączonym Bluetoothem), wybierasz logowanie kluczem dostępu i potwierdzasz odciskiem palca, twarzą lub PIN-em.

Co, jeśli zgubisz telefon

Klucze synchronizowane nie giną razem z telefonem – po zalogowaniu na nowym urządzeniu na to samo konto Google lub Apple znów są dostępne (w Chrome potwierdzisz to PIN-em Menedżera haseł Google, u Apple przez procedurę odzyskiwania pęku kluczy iCloud). Google zaleca, by na urządzeniu, nad którym masz kontrolę, zalogować się na konto i usunąć klucz z utraconego sprzętu; warto też przejrzeć listę w sekcji Zarządzaj wszystkimi urządzeniami.

Gorzej z kluczami przypisanymi do jednego urządzenia, np. zapisanymi tylko w Windows Hello lub na kluczu USB. Dlatego zawsze miej drugi sposób logowania: zapasowy klucz, aktualny numer telefonu lub e-mail odzyskiwania. Jeśli telefon skradziono, sprawdź też, czy Twoje dane nie wyciekły.

Które serwisy obsługują klucze dostępu

Poza Google, Microsoftem i Apple passkeye obsługuje coraz więcej usług. W Polsce przykładem jest Allegro – według Antyweb klucz dodasz w ustawieniach konta, w sekcji Bezpieczeństwo, w zakładce Klucze dostępu. W przypadku banków i innych usług obsługę kluczy dostępu najlepiej sprawdzić w ustawieniach bezpieczeństwa danego serwisu. Gdy serwis proponuje klucz, monit zwykle pojawia się sam po zalogowaniu hasłem.

Klucz dostępu nie zwalnia z ostrożności: fałszywe SMS-y wciąż próbują wyłudzić kody i dane kart. Jak je zgłaszać, opisaliśmy w poradniku o numerze 8080 i CERT Polska. Więcej tekstów o bezpieczeństwie znajdziesz w dziale Technologie i Web.

Najczęściej zadawane pytania

Klucz dostępu – co to jest po polsku?

To polska nazwa passkeya, czyli danych logowania opartych na standardzie FIDO2, które zastępują hasło. Logujesz się tak, jak odblokowujesz telefon: odciskiem palca, twarzą albo PIN-em.

Jak wyłączyć klucz dostępu Google?

W ustawieniach bezpieczeństwa konta Google wyłącz opcję „Pomijaj hasło, gdy to możliwe”, a Google zacznie pytać najpierw o hasło. Konkretny klucz usuniesz w sekcji „Klucze dostępu i klucze bezpieczeństwa”.

Czy Google lub Microsoft widzą mój odcisk palca?

Nie. Dane biometryczne zostają na urządzeniu, a serwis dostaje tylko kryptograficzne potwierdzenie, że urządzenie zostało odblokowane przez właściciela.

Dlaczego przy logowaniu kluczem dostępu Microsoft lub Google pojawia się kod QR?

Komputer nie ma zapisanego klucza, więc proponuje użycie telefonu. Skanujesz kod telefonem z kluczem i potwierdzasz logowanie; potrzebny jest włączony Bluetooth.

Czy mogę mieć klucz dostępu i hasło jednocześnie?

Tak, w przypadku istniejących kont Google i Microsoft hasło nadal działa obok klucza. W Microsoft możesz je usunąć w ustawieniach konta, ale wcześniej upewnij się, że masz zapasową metodę logowania.