Co drugi tydzień ktoś z zespołu MŚP wpisuje hasło do Microsoft 365 na stronie, która wygląda jak login.microsoftonline.com, ale nią nie jest. Sam manager haseł czasem to wychwyci, sam MFA opóźni atak o kilka sekund, ale nie zawsze zatrzyma. Passkey — jedyna szeroko dostępna dziś technologia, która ten scenariusz eliminuje strukturalnie — bo klucza po prostu nie da się wpisać na fałszywej stronie.
W 2026 passkeys nie są już „technologią jutra". Microsoft, Google, banki, Allegro, Facebook, LinkedIn — wszyscy główni dostawcy, z którymi MŚP pracuje na co dzień, mają je włączone. A jednak w polskich firmach, do których wchodzimy, passkey ma może 5% pracowników. Poniżej: co to jest, dlaczego to działa, i jak wdrożyć bez zamknięcia księgowej poza kontem w piątek o 16:30.
Co to właściwie jest passkey
Passkey to kryptograficzny klucz zapisany na Twoim telefonie, laptopie albo fizycznym pendrivie (YubiKey, Google Titan). Zamiast wpisywać hasło, potwierdzasz logowanie odciskiem palca, PIN-em albo Face ID. Klucz nigdy nie opuszcza urządzenia — na serwer trafia tylko podpis, że masz dostęp. Nie da się go ukraść przez wyciek bazy haseł, bo w bazie hasła nie ma.
Cztery rzeczy, które warto zrozumieć, żeby zdjąć aurę „magii" z tej technologii:
- Passkey jest przywiązany do domeny. Klucz zarejestrowany dla
microsoft.comnie zadziała namicr0soft-login.pl. To nie kwestia dobrych intencji — protokół po prostu nie pozwala. - Nie da się go „powiedzieć przez telefon" ani wkleić do formularza. Nie ma czego przekazać atakującemu, nawet jeśli bardzo Cię przekona.
- Klucz jest synchronizowany między Twoimi urządzeniami przez Apple iCloud Keychain, Google Password Manager albo 1Password/Bitwarden. Nowy telefon? Loginy same się pojawiają.
- MFA znika jako oddzielny krok — passkey sam w sobie jest „coś, co masz" plus „coś, czym jesteś" (biometria/PIN). Nie ma już SMS-a, nie ma aplikacji autoryzującej otwieranej co pięć minut.
Dlaczego to jest lepsze niż hasło + MFA
Klasyczne MFA (SMS, kod z aplikacji, push) chroni przed użyciem skradzionego hasła, ale nie chroni przed phishingiem w czasie rzeczywistym. Atakujący stawia fałszywą stronę, którą Ty widzisz jak prawdziwą, wpisujesz login i hasło, dostajesz w telefonie push z pytaniem „czy to Ty?" — klikasz „tak", bo przecież się logujesz. Za trzy sekundy jesteś zalogowany, ale nie u Microsoftu — u atakującego, który już w tle podpiął się do Twojej sesji. Ten scenariusz nazywa się AiTM (adversary-in-the-middle) i w 2025 stał się standardem kampanii phishingowych na firmy.
Passkey w tym scenariuszu po prostu nie zadziała. Przeglądarka sprawdzi, że domena to nie microsoft.com, i klucz nie zostanie użyty. Nie musisz „nie dać się nabrać" — technicznie nie da się dać nabrać.
Gdzie passkey już działa dziś
W lipcu 2026 wygląda to tak dla przeciętnej polskiej MŚP:
- Microsoft 365 — pełne wsparcie, także dla Business Basic. Włącza się w Entra ID (dawniej Azure AD) w ciągu 15 minut.
- Google Workspace — passkey aktywny dla wszystkich planów, w tym Starter. Można ustawić jako wymóg dla całej organizacji.
- Banki — mBank, ING, Santander mają passkey dla klientów firmowych. Alior i BNP na etapie pilotażu. PKO wciąż na SMS.
- Allegro Business, InPost, DHL — passkey dostępny, choć często ukryty pod „bezpieczniejsze logowanie".
- Comarch, enova, Subiekt — brak natywnego wsparcia. Ale jeśli logujesz się przez SSO z Microsoft 365, passkey chroni całe wejście.
Co jeszcze nie działa: większość polskich hurtowni B2B, portale ZUS/e-Urząd Skarbowy (podpis kwalifikowany zamiast tego), starsze wersje ERP działające lokalnie.
Przykład z życia
U jednego z naszych klientów — 18-osobowej kancelarii prawnej w Poznaniu — w ciągu 12 miesięcy odnotowaliśmy cztery kampanie phishingowe na skrzynki M365. Dwie zakończyły się sukcesem atakującego: raz asystentka wpisała hasło na stronie „udającej" SharePoint, raz partner kancelarii kliknął w link z „wiadomości głosowej Teams" i podał kod MFA push. W obu przypadkach atakujący zdążył ustawić regułę przekierowania faktur i wysłać kilka fałszywych powiadomień do klientów, zanim zorientowaliśmy się z logów.
Wdrożenie passkey zajęło nam trzy tygodnie i wyglądało tak:
- Tydzień 1 — pilot: sześciu adminów i partnerów zarejestrowało passkey na swoich telefonach służbowych (iPhone i Android). Kupiliśmy sześć kluczy YubiKey 5C NFC (łącznie 1 080 zł) jako awaryjny backup na wypadek zgubienia telefonu.
- Tydzień 2 — reszta zespołu: 12 osób zarejestrowało passkey na swoich telefonach. Jedno wieczorne szkolenie (60 minut), potem 15-minutowa sesja indywidualna dla trzech osób, które nie miały biometrii włączonej na telefonie.
- Tydzień 3 — wymuszenie: włączyliśmy w Entra ID politykę „passkey lub klucz sprzętowy — wymagane". Hasła nadal istnieją, ale nie da się nimi zalogować z zewnątrz. Cztery osoby zgłosiły „nie widzę okienka" — okazało się, że używały starej przeglądarki Edge; aktualizacja i po sprawie.
Konkretne efekty po sześciu miesiącach: zero udanych prób phishingu (choć próby dalej przychodzą — cztery zablokowane). Onboarding nowego prawnika skrócił się z 40 minut „ustawiania MFA na trzech aplikacjach" do 8 minut „załóż passkey na telefonie". Koszt: 1 080 zł jednorazowo za klucze + zero miesięcznie (M365 Business Premium już to zawiera) + 8 godzin naszej pracy na wdrożenie.
Praktyczne ograniczenia, których nikt nie mówi
Passkey nie jest lekiem na wszystko. Cztery rzeczy, o których warto wiedzieć wcześniej niż w piątek o 16:30:
- Zgubiony telefon = zablokowane konto, jeśli nie ma drugiego passkey na innym urządzeniu. Dlatego każdy użytkownik powinien mieć minimum dwa: telefon + laptop, albo telefon + klucz YubiKey w szufladzie w biurze. Nie pomijaj tego kroku.
- Nie każda aplikacja obsługuje passkey. Stara aplikacja firmowa, do której logujesz się przez lokalne konto (a nie SSO), dalej wymaga hasła. Passkey chroni bramę, nie każde pomieszczenie za nią.
- Współdzielone konta nie mają sensu z passkey. Jeśli w firmie „skrzynka biuro@" jest logowana przez trzy osoby na tym samym haśle — passkey tego nie rozwiąże. Trzeba to rozdzielić na indywidualne konta z uprawnieniami delegowanymi.
- Recovery jest po Twojej stronie. Microsoft/Google nie odzyska Ci konta, jeśli zgubisz wszystkie urządzenia z kluczami. Dlatego admin musi mieć procedurę awaryjnego resetu (klucz zapasowy w sejfie, drugi admin z pełnymi uprawnieniami).
Jak wdrożyć bez chaosu
Cztery zasady, po których wdrożenie zwykle się udaje:
- Zacznij od siebie i jednego admina. Zarejestruj passkey na własnym koncie, przetestuj logowanie z różnych urządzeń, spróbuj celowo zablokować się (odłóż telefon, wyloguj się na laptopie) i odzyskać dostęp. Zanim narzucisz komukolwiek.
- Nie wymuszaj passkey pierwszego dnia. Przez dwa tygodnie pozwól wybrać: passkey lub hasło + MFA. Kto raz spróbuje, nie chce wracać. Dopiero potem włącz wymóg.
- Kup 3–5 kluczy YubiKey jako awaryjny arsenał. Trzymaj je w sejfie. Kosztują 150–200 zł za sztukę i ratują dzień, w którym ktoś zgubi telefon w taksówce.
- Napisz jednostronicową procedurę „co robić, gdy zgubię telefon". Dwa telefony do admina, jeden numer, procedura resetu — na drukowanej kartce, nie w Confluence, do którego trzeba się zalogować.
Passkey a MFA a manager haseł — co ma sens razem
Passkey nie zastępuje managera haseł. Wciąż masz systemy, które passkey nie obsługują — tam potrzebujesz silnych, unikalnych haseł. Manager haseł jest coraz częściej jednocześnie „menedżerem passkey" (Bitwarden, 1Password) — jeden sejf, jedno logowanie.
Passkey zastępuje klasyczne MFA na kontach, na których go włączysz. Nie musisz mieć jednocześnie SMS-a, aplikacji Authenticator i passkey — to nadmiar, który komplikuje życie. Jedno mocne uwierzytelnienie działa lepiej niż trzy słabsze.
Od czego zacząć w tym miesiącu
Nie potrzebujesz projektu na kwartał. Potrzebujesz jednego popołudnia i miesiąca „miękkiego" wdrażania:
- Sprawdź, czy Twoja licencja M365/Google Workspace obsługuje passkey (spoiler: prawie na pewno tak).
- Zarejestruj passkey na swoim koncie. Zobacz, jak działa. Zablokuj się celowo i odblokuj.
- Kup 3–5 kluczy YubiKey do sejfu jako plan B.
- Ogłoś zespołowi, że przez najbliższy miesiąc mogą włączyć passkey — bez przymusu. Pokaż na jednym spotkaniu, jak to zrobić.
- Po miesiącu wymuś passkey lub klucz FIDO dla wszystkich, którzy się zalogują z zewnątrz firmy.
Jeśli nie wiesz, od której strony to ugryźć, żeby nie zablokować zespołowi dostępu do poczty w środku dnia — pogadaj z kimś, kto wdraża passkey w polskich MŚP na co dzień. Pierwsza rozmowa jest bezpłatna i trwa pół godziny.
Passkey nie chroni, bo jest nowoczesny. Chroni, bo nie ma czego wpisać na fałszywej stronie — i to jest cała rewolucja.