Passkeys 2026 – Autentificare
Fără Parolă pentru Firme

De ce parolele clasice nu mai sunt suficiente în 2026

Peste 80% din breșele de securitate din ultimii ani au la origine o parolă: furată prin phishing, scursă într-un breach, ghicită prin brute force sau reutilizată din alt cont compromis. Industria a încercat ani la rând să rezolve problema prin reguli de complexitate, schimbări obligatorii și autentificare în doi factori – fără succes real.

Soluția nu este o parolă mai bună. Soluția este să eliminăm complet parolele. Asta fac passkeys – iar în 2026 sunt suportate nativ în Microsoft 365, Google Workspace, Apple, GitHub, Amazon, eMAG, ANAF, majoritatea băncilor din România și mii de alte aplicații. Schimbarea este reală, accelerată și ireversibilă.

Ce sunt passkeys – pe înțelesul oricui

Un passkey este o credențială digitală bazată pe criptografie asimetrică (chei publice și private). Înlocuiește parola clasică cu o pereche de chei matematice, dintre care:

• Cheia privată rămâne pe dispozitivul tău (telefon, laptop, hardware key) și nu părăsește niciodată dispozitivul, nici măcar criptat.
• Cheia publică se stochează pe serverul aplicației (Microsoft, Google etc.) și nu poate fi folosită fără cheia privată pereche.

Când te autentifici, serverul îți trimite o „provocare" criptografică pe care doar dispozitivul tău o poate semna folosind cheia privată – iar tu deblochezi semnarea prin biometrie (amprentă, FaceID) sau cod PIN local. Serverul verifică semnătura cu cheia publică și îți permite accesul. Nu există parolă schimbată cu serverul, nu există secret de furat.

De ce passkeys schimbă regulile jocului – cele 6 avantaje reale

1. Imune la phishing

Un passkey este legat criptografic de domeniul real al aplicației. Dacă un atacator îți trimite un email cu link spre micr0soft-login.ro, browserul tău (sau dispozitivul) refuză automat să folosească passkey acolo – pentru că domeniul nu corespunde. Spre deosebire de o parolă pe care utilizatorul o scrie unde i se cere, passkey-ul nu poate fi „păcălit". Acesta este probabil cel mai mare beneficiu de securitate pentru firmele românești, unde phishing-ul rămâne vectorul #1 al atacurilor.

2. Imun la breach-uri ale serverelor

Când un serviciu este spart și baza de date scurge, atacatorii obțin doar chei publice – care sunt inutilizabile fără cheia privată corespondentă (rămasă pe dispozitivul tău). Nu mai există „parole scurse" de testat pe alte conturi.

3. Mai rapid decât parola

Studii Microsoft și Google din 2024-2025 arată că autentificarea cu passkey durează în medie ~8 secunde, față de ~30 secunde cu parolă + SMS/cod 2FA. Pentru o firmă cu 20 angajați care se autentifică de 8 ori pe zi, asta înseamnă peste 50 ore economisite anual.

4. MFA inclus nativ

Passkey-ul este în sine multi-factor: combină posesia dispozitivului (factor „ceva ce ai") cu biometria sau PIN-ul local (factor „ceva ce ești" / „ceva ce știi"). Nu mai trebuie să introduci coduri SMS, să cauți coduri TOTP în aplicație separată sau să accepți pushuri suplimentare. Vezi de ce 2FA tradițional are limitări.

5. Sincronizare securizată între dispozitive

Passkeys moderne se sincronizează automat prin iCloud Keychain (Apple), Google Password Manager, Microsoft Authenticator sau gestori terți (1Password, Bitwarden). Dacă schimbi telefonul, passkey-urile sunt deja acolo – fără reconfigurare manuală.

6. Standard deschis (FIDO2 / WebAuthn)

Passkeys nu sunt o tehnologie proprietară. Sunt standardizate de FIDO Alliance și W3C, suportate identic pe iOS, Android, Windows, macOS, Linux și de browserele Chrome, Edge, Safari, Firefox. Nu există blocare la un vendor sau ecosistem.

Cum arată în practică – fluxul utilizatorului final

Prima înregistrare a unui passkey

1. Te loghezi normal cu parola existentă pe contul Microsoft / Google / al firmei
2. Mergi în Security settings → Sign-in methods → Add passkey
3. Sistemul îți cere biometria (amprenta / FaceID) sau PIN-ul Windows Hello
4. În 2-3 secunde passkey-ul este creat și legat de cont
5. Opțional, poți repeta procesul pentru a adăuga și alte dispozitive (laptop + telefon + hardware key)

Autentificarea de zi cu zi

1. Apeși „Sign in" pe site sau aplicație
2. Apare un dialog: „Folosește amprenta / FaceID pentru a te autentifica pe nume.firma.ro"
3. Confirmi cu biometria (sub o secundă)
4. Ești logat. Fără parolă, fără cod 2FA, fără atac de phishing posibil.

Plan concret de implementare pentru firma ta

Suportul real în ecosistemul firmelor românești în 2026

Strategia hibridă – passkeys + password manager pentru tranziție

Realitatea pentru orice firmă: nu toate aplicațiile folosite zilnic vor suporta passkeys în 2026. Recomandarea practică este o strategie hibridă pe 2-3 ani:

• Conturi critice și suportate (Microsoft 365, Google, banking, GitHub, admin servere) → passkey OBLIGATORIU, parola dezactivată dacă serviciul permite
• Conturi care nu suportă încă passkeys → password manager (Bitwarden Business, 1Password Teams) cu parolă unică generată automat + 2FA via aplicație authenticator
• Conturi cu acces critic la date sensibile → passkey pe hardware key (YubiKey 5) pentru rezistență maximă, fără sincronizare în cloud

Pentru context complet despre managementul tradițional al parolelor pe perioada de tranziție, citește și ghidul nostru pentru managementul parolelor în firme.

Recovery – ce facem dacă cineva pierde dispozitivul

Cea mai mare frică a firmelor la passkeys este: „și dacă pierdem accesul?". Răspunsul este o procedură clară de account recovery:

Pentru utilizatori obișnuiți (90% din cazuri)

1. Passkey-urile sunt sincronizate prin iCloud Keychain / Google Password Manager / Bitwarden – disponibile automat pe noul telefon
2. Înregistrarea unui nou dispozitiv se face cu unul existent (sau cu hardware key de rezervă)
3. Dacă pierzi tot: admin firma resetează contul prin Microsoft 365 Admin Center / Google Workspace Admin → utilizatorul își înregistrează passkey nou

Pentru conturi admin / critice

1. Minim 2 passkeys înregistrate per cont: telefon principal + hardware key (YubiKey) ținut în siguranță fizică (seif birou)
2. Cont admin de „break-glass" separat, cu passkey pe hardware key dedicat, folosit doar pentru recovery
3. Procedură scrisă, testată trimestrial

Hardware keys – când au sens și care sunt cele bune

Un hardware security key (YubiKey, Google Titan, Feitian) este un dispozitiv fizic ca un USB stick care stochează passkeys offline. Nu se sincronizează în cloud, deci este imun la compromisul contului tău cloud. Recomandăm pentru:

• Conturi admin Microsoft 365 / Google Workspace
• Conturi de acces la servere și NAS critice
• Conturi GitHub cu acces la cod sursă important
• Conturi de banking pentru contul firmei (acolo unde banca suportă)
• Acces VPN pentru administrare infrastructură

Modele recomandate (2026)

• YubiKey 5 Series (~50-70 EUR): standardul de aur, suportă FIDO2/WebAuthn, U2F, OTP, smart card. Modele USB-A, USB-C, NFC, Lightning – pentru orice scenariu.
• YubiKey Bio (~85-95 EUR): cu cititor de amprentă integrat, util pentru a evita PIN-ul de fiecare dată.
• Google Titan Security Key (~30-35 EUR): alternativă mai accesibilă, suportă FIDO2/U2F, mai simplu funcțional.
• Feitian / Token2: opțiuni mai ieftine, certificate FIDO, recomandate doar pentru deployment-uri mari unde se contează fiecare euro.

Passkeys în contextul conformității – NIS2, GDPR, ISO 27001

Trecerea la passkeys nu doar îmbunătățește securitatea operațional – este și un argument puternic în orice audit de conformitate:

• NIS2: cerința de „autentificare cu mai mulți factori sau soluții bazate pe identitate" – passkeys o îndeplinesc nativ și sunt menționate explicit în ghidurile ENISA.
• GDPR Art. 32: măsuri tehnice „adecvate" pentru protecția datelor – passkeys reduc dramatic riscul breșelor de tip „credențiale compromise".
• ISO 27001: controalele A.9.4.2 (autentificare sigură) și A.9.4.3 (sisteme de management al parolelor) sunt acoperite superior de passkeys vs parolă + 2FA.
• Asigurări cibernetice: tot mai mulți asigurători recunosc passkeys drept „compensating control" puternic și oferă reduceri de primă.

Greșelile clasice de evitat la migrarea spre passkeys

• Înregistrezi un singur passkey per cont. Pierzi dispozitivul, pierzi accesul. Minim 2 passkeys pe conturile importante.
• Dezactivezi parola înainte de adopția generală. Provoci panică în echipă. Rulează 30-60 zile cu ambele active.
• Forțezi hardware key pe toată firma. Cost inutil pentru utilizatorii obișnuiți; rezervă YubiKey pentru admin și conturi critice.
• Nu setezi politici de admin în M365/Workspace. Activează enforcement passkey pentru grupurile critice (admin, finance, HR), lasă opțional pe restul.
• Uiți de scenariul „angajat pleacă". Procedura clară: revoci toate passkeys utilizatorului din Admin Console, în aceeași zi.
• Lipsa unei comunicări clare. Echipa rezistă schimbării dacă nu înțelege de ce. Sesiune de 30 minute la kickoff cu exemple practice de phishing evitat.
• Nu testezi recovery. Trimestrial, simulezi pierderea unui dispozitiv și verifici că procedura funcționează.

Costuri reale și ROI pentru o firmă mică-medie

Ce întrebări îți punem când venim să implementăm passkeys

La iSoft Consulting nu vindem licențe pentru passkeys – funcționalitatea este inclusă gratuit în Microsoft 365 / Google Workspace. Clienții ne plătesc pentru a evita greșelile clasice și pentru implementare corectă. Întrebările cu care începem:

• Câți utilizatori ai și ce roluri critice există (admin, finance, HR)?
• Ce platforme principale folosiți (M365, Google Workspace, ambele)?
• Aveți deja 2FA activat? Pe ce metodă (SMS, TOTP, push)?
• Ce dispozitive au utilizatorii (laptop Windows/Mac, telefoane Android/iPhone, modele de min. 2-3 ani)?
• Există aplicații critice care NU suportă încă passkeys (ERP-uri locale, software contabilitate)?
• Ai un password manager corporate sau utilizatorii folosesc soluții personale?
• Ai cerințe de conformitate (NIS2, ISO 27001, audit cyber insurance)?
• Cum gestionezi acum ieșirea unui angajat – revocați accesul în câte ore?

Întrebări frecvente

Trebuie să schimb telefonul sau laptopul pentru passkeys?

Nu, în 99% din cazuri. Orice iPhone de la iOS 16+, orice Android cu Google Play Services recent și orice laptop Windows 10/11 cu Windows Hello sau Mac cu Touch ID/Face ID suportă passkeys. Vechimea acceptată este aproximativ 4-5 ani.

Funcționează passkeys offline, fără internet?

Da pentru semnarea criptografică locală, dar autentificarea pe un serviciu cloud (M365, Google) necesită conexiune pentru a comunica cu serverul. Pentru aplicațiile care folosesc passkey pentru login local (laptop, NAS local), funcționează complet offline.

Pot folosi același passkey pe mai multe dispozitive?

Da, prin sincronizarea automată (iCloud Keychain, Google Password Manager, gestori terți). Alternativ, poți înregistra passkey-uri separate per dispozitiv pentru izolare maximă – recomandat pentru conturi extrem de sensibile.

Ce se întâmplă cu vechile parole după implementarea passkey?

Inițial coexistă – poți alege la fiecare login între parolă și passkey. După adopția generală (60-90 zile), poți dezactiva parola pentru conturile suportate, ca să elimini complet vectorul de phishing pentru acel cont.

Sunt passkeys mai sigure decât SMS 2FA sau aplicație authenticator?

Mult mai sigure. SMS 2FA este vulnerabil la SIM swap și interceptare; aplicațiile TOTP pot fi phishing-uite în timp real. Passkeys sunt singura metodă recunoscută ca rezistentă la phishing prin design (FIDO Alliance, NIST SP 800-63B).

Ce fac dacă un site folosit de firmă nu suportă încă passkeys?

Păstrezi parola unică generată automat de password manager + 2FA via aplicație authenticator (Microsoft Authenticator, Authy). Nu folosi SMS pentru conturile importante. Pe măsură ce serviciul adaugă suport passkey, migrezi imediat.

Putem implementa passkeys etapizat, departament cu departament?

Da, este chiar recomandat. Începi cu IT/admin (cei mai tehnici), apoi management, apoi departamente operaționale. Microsoft 365 și Google Workspace permit configurare pe grupuri – enforcement passkey doar pentru grupul „pilot" inițial, extindere ulterioară.

Cât durează training-ul pentru un utilizator nou?

15-30 minute pentru a învăța să înregistreze și să folosească passkeys. Cei mai mulți utilizatori sunt surprinși cât de simplu este – „doar pun degetul și sunt logat" – și după o săptămână nu mai vor să se întoarcă la parole.