jelszókulcs

angolul: passkey

alapterjedő

A jelszókulcs olyan jelszó nélküli belépési mód, amelynél a telefonod vagy géped egy rajta tárolt titkos kulccsal igazolja a weboldalnak, hogy te vagy. A kulcsot ujjlenyomattal, arcfelismeréssel vagy PIN-kóddal oldod fel, jelszót nem kell begépelned.

Érthetően

A jelszó olyan, mint egy titkos szó, amelyet te is tudsz, és a weboldal is ellenőriz. Ha kiszivárog vagy kicsalják tőled, bárki beléphet vele, főleg ha több oldalon is ugyanazt használod. A jelszókulcs inkább egy lakáskulcsra hasonlít, amely nem hagyja el a zsebedet: a weboldal csak a zárat őrzi, a kulcs nálad marad.

A gyakorlatban ez azt jelenti, hogy belépéskor nem gépelsz semmit. A telefonod vagy a laptopod megkérdezi, tényleg te vagy-e (ujjlenyomat, arc, PIN-kód), és a háttérben elintézi a többit.

A legnagyobb előnye, hogy nincs titok, amit elárulhatnál, és a weboldalról sem lehet olyat ellopni, amivel be lehetne lépni a nevedben. Egy hamis banki oldal hiába néz ki megtévesztően, a jelszókulcs csak az igazi oldal címén működik, így az adathalász csalások nagy része egyszerűen lepattan róla.

Ez azért lett különösen fontos, mert a mesterséges intelligenciával ma már hibátlan magyarsággal, tömegesen készülnek megtévesztő levelek és hamis oldalak. A jelszókulcs nem csak a te éberségedre bízza a védelmet.

Hogyan működik

Amikor jelszókulcsot hozol létre egy szolgáltatásnál, az eszközöd egy összetartozó kulcspárt készít: egy titkosat és egy nyilvánosat.
A nyilvános kulcsot megkapja a weboldal. A titkos kulcs az eszközöd védett tárolójában vagy a jelszókezelődben marad. Ha szinkronizálod, csak titkosítva kerül át a többi eszközödre, olvasható formában soha.
Belépéskor a weboldal küld egy egyszer használatos feladványt, amelyet csak a titkos kulccsal lehet helyesen aláírni.
A böngésző ellenőrzi, hogy a kérés valóban attól a webcímtől jön-e, amelyhez a kulcs tartozik. Az eszközöd megkérdezi, hogy te vagy-e (ujjlenyomat, arc vagy PIN-kód), és csak ezután írja alá a feladványt.
A weboldal a nyilvános kulccsal ellenőrzi az aláírást, és beenged. Az ujjlenyomatod vagy az arcképed közben nem hagyja el a készüléket.

Példa a mindennapokból

Be akarsz lépni a levelezésedbe egy új laptopon, és jelszó helyett egy QR-kód jelenik meg. Beolvasod a telefonoddal, ráteszed az ujjad az érzékelőre, és már bent is vagy. A telefonnak a laptop közelében kell lennie, mert a két eszköz Bluetooth-on ellenőrzi, hogy egymás mellett vannak. Közben semmit nem gépeltél be, amit egy csaló kileshetne vagy kicsalhatna tőled.

Kit érint

mindenkiA nagy levelező-, közösségi és vásárlóoldalak sorra ajánlják fel, így előbb-utóbb te is találkozol a kérdéssel, hogy létrehozol-e jelszókulcsot.

banki ügyfél, befektetőA pénzügyi fiókokat célzó adathalász csalások ellen ez az egyik leghatásosabb védelem, mert a hamis oldalon nem működik. → Pénz

vállalkozó, vezetőA céges fiókok feltörése nagyon gyakran ellopott vagy újrahasznált jelszóval kezdődik, és a jelszókulcs ezt a kaput zárja be.

fejlesztőNeked kell beépítened a belépési folyamatba. Azt is végig kell gondolnod, hogyan fér hozzá egy AI-agent a fiókhoz úgy, hogy ne kelljen kiadni neki a felhasználó kulcsát. → Kód

Gyakori félreértés

TévhitA jelszókulcs használatakor a weboldal megkapja és eltárolja az ujjlenyomatomat vagy az arcképemet.

ValójábanA biometrikus adat csak a saját készülékeden nyitja ki a kulcsot, onnan nem megy tovább. A weboldal csupán egy nyilvános kulcsot lát, amellyel önmagában semmit sem lehet kezdeni.

Korlátok és kockázatok

Ha elveszíted az eszközödet, és a kulcs nincs szinkronizálva vagy nincs tartalék belépési módod, nehézkes lehet visszaszerezni a fiókot.
A szinkronizált jelszókulcsok biztonsága azon a fiókon múlik (Apple, Google, Microsoft vagy jelszókezelő), amelyben tárolod őket, ezért azt különösen védd.
Sok szolgáltatás a jelszókulcs mellett meghagyja a régi jelszavas belépést is, így a gyenge láncszem megmarad, amíg azt ki nem kapcsolod vagy erős jelszóra nem cseréled.
Nem véd meg minden csalástól: ha a telefonodat feloldva megszerzik, vagy rávesznek, hogy te magad hagyj jóvá egy utalást, a jelszókulcs nem segít.

Hasonló, de nem ugyanaz

jelszókezelő – A jelszókezelő hagyományosan jelszavakat tárol és tölt ki helyetted. A jelszókulcsnál viszont nincs jelszó, amit ki lehetne tölteni vagy el lehetne lopni. Sok jelszókezelő ma már jelszókulcsokat is tud tárolni.
kétlépcsős azonosítás – Ott a jelszó mellé jön egy második lépés (például SMS-kód). A jelszókulcs egyetlen mozdulattal váltja ki mindkettőt, mert egyszerre igazolja, hogy nálad van az eszköz és hogy te vagy az. A kódokkal ellentétben nem lehet kicsalni.
biometrikus azonosítás – Az ujjlenyomat vagy arcfelismerés csak a készüléken tárolt kulcsot oldja fel. A weboldal felé maga a kulcs igazol téged, nem a tested.

Kapcsolódó fogalmak

Tágabb

hitelesítés, jelszó nélküli belépés, kiberbiztonság

Szűkebb

szinkronizált jelszókulcs, eszközhöz kötött jelszókulcs

Rokon

biztonsági kulcs, kétlépcsős azonosítás, adathalászat, jelszókezelő, biometrikus azonosítás, nyilvános kulcsú titkosítás

Röviden a története

A jelszókulcs alapját adó WebAuthn szabványt a W3C 2019 márciusában fogadta el hivatalos webes ajánlásként. A szabvány a FIDO Alliance iparági szövetséggel közös munka eredménye (FIDO2). 2022 májusában az Apple, a Google és a Microsoft közösen jelentette be, hogy rendszereik támogatni fogják a több eszköz között szinkronizálható jelszókulcsokat. Ettől kezdve terjedt el a nagyközönség körében a passkey név.

Hol tart most

2026 végén a nagy operációs rendszerek, böngészők és jelszókezelők mind támogatják, és a nagy szolgáltatók egyre gyakrabban ezt ajánlják fel alapértelmezett belépési módként. A jelszót azonban még nem váltotta le: a legtöbb oldalon a kettő egymás mellett él.

Állapot: 2026. november

Más nevei

passkey · passkeys · jelszókulcs · jelkulcs · azonosítókulcs · hozzáférési kulcs · FIDO2-hitelesítő adat

Források

A szócikk gépi szerkesztéssel készült és gépi szakmai lektoráláson ment át; a „hírekben” rész az Agent Age sztorijaiból automatikusan frissül.