Lo pernah nggak sih ngerasa frustrasi karena lupa password akun yang udah lama nggak dibuka? Atau panik karena harus reset password di tengah-tengah checkout barang incaran? Kalau iya, lo nggak sendirian. Dan kabar baiknya, ada teknologi yang mungkin bakal bikin semua drama itu berakhir: passkey.
Tapi tunggu dulu. Sebelum lo bayangin dunia tanpa password sama sekali, ada baiknya kita bedah bareng. Apakah passkey benar-benar sesempurna itu? Dan yang lebih penting—apakah kita, sebagai pengguna, siap melepas kebiasaan yang udah mendarah daging selama puluhan tahun?
Password Itu Kayak Mantan: Susah Dilupakan, Tapi Harus
Gini deh. Password itu sebenarnya teknologi kuno yang cuma “dipatch” terus-terusan. Dulu cuma teks biasa, terus ditambah syarat minimal 8 karakter, huruf besar, angka, simbol… dan apa hasilnya? Kita semua jadi punya password yang susah diingat tapi gampang ditebak. Atau lebih parah, kita pakai password yang sama di mana-mana.
FIDO Alliance, konsorsium yang udah lebih dari satu dekade ngurusin standar autentikasi, bilang kalau password itu “sucks” . Bukan karena kita bodoh, tapi karena sistemnya memang cacat dari awal. Rahasia yang sama harus dikirim berulang kali ke server, dan di setiap perjalanan itu ada celah buat dicuri.
Nah, passkey ini beda fundamentally. Dia nggak ngirim rahasia apa pun ke server. Yang dikirim cuma “tanda tangan” kriptografi yang dibuat khusus buat satu sesi login. Ibaratnya, kalau password itu kayak lo ngasih kunci rumah ke siapa pun yang ngaku sebagai tetangga, passkey itu kayak lo punya sistem di mana pintu cuma bisa dibuka dari dalam, dan lo cukup nunjukin wajah lo ke kamera.
Tapi… Seramai Itu Kah?
Data terbaru bilang iya. FIDO Alliance mencatat ada sekitar 5 miliar passkey yang aktif digunakan di seluruh dunia per Mei 2026 . Amazon aja udah punya lebih dari 500 juta pelanggan yang mengaktifkan passkey, naik hampir tiga kali lipat dalam dua tahun .
Yang lebih menarik: tingkat keberhasilan login pakai passkey mencapai 93%, sementara login pakai MFA tradisional cuma 78%. Dan passkey juga hampir tiga kali lebih cepat, ngirit rata-rata 27 detik per login . Buat lo yang sering bolak-balik buka aplikasi bank atau e-commerce, 27 detik itu lumayan banget kalau dikali sepuluh kali sehari.
Di Indonesia sendiri, sebenarnya udah ada langkah ke arah sana. Peruri, lewat produk XPass-nya, udah mulai nawarin solusi single sign-on yang mendukung passkey ke instansi pemerintah kayak BPOM . VIDA, perusahaan identitas digital lokal, juga udah showcase implementasi passwordless authentication buat institusi finansial . Jadi bukan cuma wacana di negara maju doang.
Wajah dan Sidik Jari: Kunci yang Nggak Bisa Lo Lupa
Ini bagian yang bikin passkey terasa “ajaib” buat pengguna awam. Lo nggak perlu ngetik apa-apa. Cukup tatap layar HP, atau tempelin jempol di sensor, dan… masuk.
Secara teknis, passkey itu sepasang kunci kriptografi—kunci publik dan kunci privat. Kunci publik disimpan di server situs, kunci privat tetap di perangkat lo (HP, laptop, atau password manager). Waktu lo login, server ngirim “tantangan” yang cuma bisa dijawab dengan kunci privat lo. Tapi lo nggak perlu tahu kuncinya apa, karena sistem operasi yang ngurus semuanya, dan lo cuma perlu verifikasi biometrik buat “membuka” kunci itu .
Yang bikin passkey lebih aman dari password adalah: kunci privatnya nggak pernah meninggalkan perangkat lo. Jadi kalau ada kebocoran data di server, hacker cuma dapet kunci publik yang nggak berguna. Dan karena passkey terikat ke domain situs (origin), dia nggak bisa dipakai di situs palsu. Phishing jadi jauh lebih susah.
Tapi Jangan Senang Dulu. Ada Jebakannya.
Oke, sekarang bagian yang sering nggak diceritain di artikel-artikel teknologi. Passkey itu memang lebih aman dan lebih cepat. Tapi dia bukan tanpa cela.
Pertama, soal perangkat. Passkey itu “hidup” di perangkat lo. Kalau lo bikin passkey di iPhone, terus lo mau login di laptop teman yang lagi dipinjem, gimana? Ada sih mekanismenya—biasanya lewat scan QR code dan Bluetooth—tapi itu cuma jalan kalau HP lo ada di dekat lo, nyala, dan terkoneksi . Kalau HP lo ketinggalan di rumah? Ya nggak bisa.
Kedua, soal sinkronisasi. Ada dua jenis passkey: yang disinkronkan (lewat iCloud Keychain atau Google Password Manager) dan yang terikat ke perangkat (kayak Windows Hello atau YubiKey). Yang disinkronkan lebih praktis karena bisa diakses dari banyak perangkat, tapi ada trade-off-nya: kalau akun cloud lo (Apple ID atau Google) dibajak, semua passkey lo ikut berisiko . Jadi sekarang titik lemahnya bukan lagi di masing-masing situs, tapi di satu akun cloud yang lo pakai buat nyimpen semuanya.
Ketiga, soal pemulihan akun. Ini yang paling sering dilupakan. Passkey menghilangkan kebutuhan ngetik password, tapi nggak menghilangkan kebutuhan buat recovery kalau something goes wrong. Kalau lo kehilangan akses ke perangkat yang nyimpen passkey, lo harus balik ke mekanisme pemulihan situs tersebut—yang seringkali ya… password juga, atau email link, atau kode OTP . Jadi di saat paling genting, lo bisa terjebak balik ke metode lama yang justru lebih rentan.
Riset Keamanan: Passkey Bukan Benteng Tak Terbobol
Dan ada satu lagi yang perlu lo tahu. Meskipun passkey dirancang tahan phishing, bukan berarti dia nggak bisa diserang sama sekali.
Penelitian dari SpecterOps di Black Hat USA 2026 nemuin teknik yang mereka sebut “Pass-the-Passkey.” Intinya, Windows nyimpen signature autentikasi yang pernah dibuat (misalnya pakai YubiKey) dalam bentuk yang bisa dibaca. Signature itu bisa dipakai ulang buat nyamar sebagai pengguna lain di Microsoft Entra ID . Untungnya, Microsoft udah nge-patch sebagian besar rantai serangan ini lewat update Juli 2026.
Unit 42 juga nemuin celah di passkey yang disinkronkan lewat Google Password Manager. Kalau malware udah jalan di perangkat korban, dia bisa akses kunci privat passkey yang tersinkronisasi .
Yang perlu digarisbawahi: serangan-serangan ini membutuhkan kondisi tertentu—biasanya malware udah harus ada di perangkat lo dulu. Jadi bukan berarti passkey itu rapuh. Tapi ini pengingat bahwa nggak ada sistem keamanan yang 100% sempurna. Passkey mempersempit celah, bukan menutup semuanya.
Kesalahan yang Sering Dilakuin Pengguna Baru
Kalau lo baru mau mulai pakai passkey, ada beberapa hal yang sebaiknya dihindari.
Jangan enroll passkey di semua tempat tanpa mikir. Mulai dari akun yang paling penting dan sering dipakai—email utama, bank, atau e-commerce. Jangan langsung loncat ke semua akun karena lo bakal kewalahan ngurusnya.
Jangan abaikan perangkat cadangan. Kalau lo cuma punya satu passkey di satu HP, dan HP itu hilang, lo bakal ribet. Pastikan passkey lo tersinkronisasi ke cloud (kalau memungkinkan) atau daftarkan lebih dari satu perangkat.
Jangan asal pilih password manager. Kalau lo pakai layanan pihak ketiga buat nyimpen passkey, pastikan layanan itu kredibel dan punya mekanisme pemulihan yang jelas. Baca review, cek reputasi.
Dan yang paling penting: jangan panik kalau ada prompt biometrik aneh. Banyak orang langsung curiga waktu tiba-tiba muncul Face ID atau sidik jari pas mau login. Itu normal—itu memang cara passkey bekerja . Yang nggak normal adalah kalau lo diminta verifikasi biometrik di situs yang nggak lo kenal atau nggak lo buka.
Jadi, Apakah Password Bakal Mati?
Jawaban jujurnya: belum tentu dalam waktu dekat. FIDO Alliance sendiri nyatet bahwa 57% organisasi masih mengandalkan metode berbasis password sebagai cara utama karyawan login . Dan meskipun 90% konsumen udah familiar sama passkey, baru 75% yang udah mengaktifkannya di setidaknya satu akun .
Tapi arahnya udah jelas. Passkey bukan lagi eksperimen laboratorium. Dia udah dipakai miliaran kali, diadopsi sama raksasa teknologi, dan mulai masuk ke institusi publik di Indonesia. Pertanyaannya bukan lagi “apakah passkey bakal menggantikan password?” tapi “kapan lo bakal mulai pakai?”
Dan mungkin jawabannya: sekarang. Coba buka pengaturan keamanan akun Google atau Apple lo, cari opsi “Passkey” atau “Kunci Akses,” dan aktifkan. Nggak perlu langsung hapus password lo semua. Cukup mulai dari satu akun. Rasain sendiri bedanya.
Kalau udah nyoba, gue penasaran—lo bakal balik ke password, atau malah males kalau harus ngetik lagi?
