Passkey là gì? Passkey (khóa truy cập) là cách đăng nhập không cần mật khẩu, dựa trên tiêu chuẩn FIDO: người dùng xác nhận bằng vân tay, khuôn mặt hoặc mã PIN mở khóa thiết bị. Passkey dùng cặp khóa mã hóa, website chỉ giữ khóa công khai nên không có mật khẩu nào để lộ hay bị lừa nhập vào trang giả.
Bài viết giải thích cơ chế passkey, so sánh với mật khẩu và OTP, cách bật passkey trên các nền tảng lớn, cách triển khai cho nhân viên và xử lý khi mất điện thoại. Thông tin cập nhật tháng 10/2026.
Passkey là gì?
Theo FIDO Alliance, passkey là thông tin xác thực dựa trên tiêu chuẩn FIDO, cho phép đăng nhập bằng cách giống như mở khóa thiết bị: sinh trắc học, mã PIN hoặc hình vẽ mở khóa. Passkey thay mật khẩu bằng cặp khóa mã hóa (FIDO Alliance).
Có hai loại:
- Passkey đồng bộ: được đồng bộ giữa các thiết bị của người dùng qua dịch vụ đám mây như Trình quản lý mật khẩu của Google hoặc iCloud Keychain.
- Passkey gắn với thiết bị: không rời khỏi một thiết bị duy nhất, ví dụ khóa bảo mật vật lý FIDO.
| Đặc điểm | Passkey đồng bộ | Passkey gắn với thiết bị |
|---|---|---|
| Khi mất thiết bị | Khôi phục được trên thiết bị mới | Mất theo thiết bị, cần phương án dự phòng |
| Kiểm soát của doanh nghiệp | Thấp hơn | Cao hơn |
| Phù hợp | Cá nhân, nhân viên văn phòng | Tài khoản quản trị, kế toán |
Cơ chế hoạt động của passkey
- Khi tạo passkey, thiết bị sinh ra một cặp khóa: khóa riêng tư giữ trên thiết bị hoặc trình quản lý passkey, khóa công khai gửi cho website.
- Khi đăng nhập, website gửi một thử thách (một chuỗi dữ liệu ngẫu nhiên).
- Người dùng mở khóa thiết bị bằng vân tay, khuôn mặt hoặc PIN; thiết bị dùng khóa riêng tư ký vào thử thách.
- Website kiểm tra chữ ký bằng khóa công khai. Đúng thì cho đăng nhập.
Vân tay, khuôn mặt không được gửi lên website; chúng chỉ dùng để mở khóa thiết bị (FIDO Alliance).
Mỗi passkey gắn với đúng tên miền đã đăng ký, nên trang giả như “g00gle-login.com” không có passkey nào để dùng. Nếu máy tính không có passkey, có thể quét mã QR bằng điện thoại; Bluetooth được dùng để xác nhận hai thiết bị ở gần nhau (FIDO Alliance).
Passkey có an toàn hơn mật khẩu không?
Có. FIDO Alliance mô tả passkey là “chống lừa đảo và an toàn ngay từ thiết kế” (FIDO Alliance).
| Tiêu chí | Mật khẩu | Passkey |
|---|---|---|
| Bị lộ khi website bị tấn công | Có thể lộ | Website chỉ giữ khóa công khai, không dùng được để đăng nhập |
| Bị lừa nhập vào trang giả | Dễ bị | Passkey gắn với đúng tên miền, trang giả không dùng được |
| Dùng lại trên nhiều trang | Phổ biến | Mỗi trang một passkey riêng |
| Phải nhớ | Có | Không |
So sánh passkey với OTP SMS và ứng dụng xác thực
OTP tốt hơn chỉ dùng mật khẩu, nhưng mã 6 số vẫn có thể bị lừa đọc qua điện thoại hoặc nhập vào trang giả. Cơ quan An ninh mạng và Hạ tầng Hoa Kỳ (CISA) xác định FIDO/WebAuthn là hình thức xác thực đa yếu tố chống lừa đảo phổ biến duy nhất hiện có (Cybersecurity Dive, 11/2022), và khuyến nghị không dùng SMS làm yếu tố xác thực thứ hai vì tin nhắn SMS không được mã hóa (CISA, 12/2024).
| Tiêu chí | Mật khẩu | Mật khẩu + OTP SMS | Mật khẩu + app xác thực (TOTP) | Passkey |
|---|---|---|---|---|
| Chống trang giả mạo | Không | Không, mã có thể bị nhập vào trang giả | Không, mã có thể bị nhập vào trang giả | Có, gắn với tên miền |
| Rủi ro chiếm SIM, chặn tin nhắn | Không liên quan | Có | Không | Không |
| Dữ liệu bí mật nằm trên máy chủ | Có (mã băm mật khẩu) | Có | Có (khóa bí mật TOTP) | Không, chỉ khóa công khai |
| Thao tác khi đăng nhập | Gõ mật khẩu | Gõ mật khẩu và mã | Gõ mật khẩu, mở app, gõ mã | Vân tay, khuôn mặt hoặc PIN |
Số liệu từ các nhà cung cấp lớn:
- Microsoft cho biết tỷ lệ đăng nhập thành công bằng passkey khoảng 98%, so với khoảng 32% với mật khẩu, và đăng nhập bằng passkey nhanh gấp 8 lần mật khẩu kèm xác thực đa yếu tố. Microsoft ghi nhận 7.000 cuộc tấn công mật khẩu mỗi giây. Tài khoản Microsoft tạo mới nay “không mật khẩu theo mặc định” (Microsoft, 5/2025).
- Google cho biết đến 5/2024, passkey đã được dùng hơn 1 tỷ lần trên hơn 400 triệu tài khoản Google (Google Security Blog). Từ 10/2023, Google đặt passkey làm lựa chọn đăng nhập mặc định cho tài khoản cá nhân, bật sẵn tùy chọn “Bỏ qua mật khẩu khi có thể” và cho biết passkey nhanh hơn mật khẩu 40% (Google, 10/2023).
- Khảo sát của FIDO Alliance (5/2025) với 1.389 người tại 5 quốc gia: 69% đã bật passkey cho ít nhất một tài khoản, và 48% trong 100 website hàng đầu hỗ trợ passkey (FIDO Alliance).
- Khảo sát nhân Ngày Passkey Thế giới 7/5/2026 (11.000 người tiêu dùng và 1.400 doanh nghiệp từ 500 nhân viên tại 10 quốc gia): 75% người tiêu dùng đã bật passkey cho ít nhất một tài khoản; 68% doanh nghiệp đã hoặc đang triển khai passkey cho nhân viên, và 35% doanh nghiệp đã triển khai ghi nhận ít yêu cầu đặt lại mật khẩu hơn. FIDO Alliance ước tính khoảng 5 tỷ passkey đang được sử dụng (FIDO Alliance, 5/2026).
Passkey không bảo vệ được nếu thiết bị đã mở khóa rơi vào tay kẻ gian hoặc máy nhiễm mã độc chiếm phiên đăng nhập. Vẫn cần khóa màn hình và cảnh giác với mã độc, như trong bài fanpage bị hack phải làm sao.
Cách bật passkey cho Google
Theo hướng dẫn của Google (Google Account Help):
- Truy cập myaccount.google.com/signinoptions/passkeys và đăng nhập.
- Chọn “Tạo khóa truy cập” (Create a passkey), xác nhận lại.
- Mở khóa thiết bị bằng vân tay, khuôn mặt hoặc PIN.
- Lặp lại trên các thiết bị khác nếu cần. Muốn lưu passkey vào khóa bảo mật vật lý, chọn “Dùng thiết bị khác” trên cùng trang, cắm khóa và nhập PIN hoặc chạm cảm biến vân tay của khóa.
Yêu cầu: Windows 10, macOS Ventura, ChromeOS 109, Android 9 hoặc iOS 16 trở lên; trình duyệt Chrome 109+, Edge 109+, Safari 16+ hoặc Firefox 122+; thiết bị phải bật khóa màn hình. Không tạo passkey trên thiết bị dùng chung. Tài khoản Google Workspace có thể bị giới hạn bởi cài đặt của quản trị viên: nhân viên có thể không đăng nhập được chỉ bằng passkey, nhưng vẫn tạo được passkey làm bước thứ hai trong xác minh 2 bước hoặc phương án khôi phục (Google Account Help).
Cách tạo passkey cho Microsoft, Apple và Facebook
Tài khoản Microsoft cá nhân (Outlook, Xbox, OneDrive) theo Microsoft Support:
- Trên thiết bị muốn lưu passkey, đăng nhập account.live.com/proofs/manage.
- Chọn “Add a new way to sign in or verify”, rồi “Face, Fingerprint, PIN, or Security Key”.
- Chọn nơi lưu (trình quản lý mật khẩu, điện thoại, khóa bảo mật hoặc Windows Hello) và xác nhận bằng khuôn mặt, vân tay hoặc PIN.
iPhone, iPad và máy Mac: passkey lưu trong ứng dụng Mật khẩu, đồng bộ qua iCloud Keychain. Trên website hỗ trợ, vào cài đặt tài khoản, chọn tạo passkey và bấm Tiếp tục; tài khoản Apple phải bật xác thực hai yếu tố (Apple Support).
Facebook và Messenger: từ 6/2025, ứng dụng Facebook trên iOS và Android hỗ trợ passkey: vào Cài đặt > Trung tâm tài khoản để tạo. Từ 23/9/2025, passkey này dùng được cho cả Messenger (Meta, cập nhật 9/2025).
Passkey tại Việt Nam
Tính đến tháng 10/2026, chúng tôi chưa tìm thấy công bố chính thức nào từ ngân hàng hoặc ví điện tử lớn tại Việt Nam về đăng nhập bằng passkey chuẩn FIDO cho khách hàng. Cần phân biệt:
- Vân tay, khuôn mặt trong app ngân hàng: thường là tính năng riêng của ứng dụng. Từ 01/7/2024, chuyển tiền trực tuyến trên 10 triệu đồng phải xác thực sinh trắc học (LuatVietnam); đây là xác minh danh tính khi giao dịch, không phải passkey.
- Passkey cho hệ thống nội bộ: VinCSS công bố MoMo đã dùng giải pháp FIDO2 của hãng cho nhân viên đăng nhập công cụ nội bộ (VinCSS, 8/2024).
Cách thực tế nhất là bật passkey cho các tài khoản đã hỗ trợ sẵn: Google, Microsoft, Facebook, Apple và các công cụ SaaS công ty đang dùng (xem thêm SaaS là gì).
Triển khai passkey cho tài khoản nhân viên
Google Workspace
Quản trị viên vào Bảng điều khiển quản trị > Bảo mật > Xác thực > Không dùng mật khẩu (Passwordless) (Google Workspace Admin Help):
- Ở thẻ Skip passwords, đánh dấu “Allow users to skip their password and authenticate with a passkey” và lưu.
- Với nhóm nhạy cảm, dùng Passkeys restriction để chỉ cho phép passkey trên khóa phần cứng; passkey trên điện thoại khi đó không dùng được nữa.
- Bật tính năng này không xóa mật khẩu hiện có và không tự bật xác minh 2 bước.
Microsoft 365 (Microsoft Entra ID)
Passkey (FIDO2) có sẵn ở mọi phiên bản Entra ID, kể cả bản miễn phí, không cần mua thêm giấy phép (Microsoft Learn):
- Người có vai trò Authentication Policy Administrator vào Entra ID > Security > Authentication methods > Policies, chọn Passkey (FIDO2).
- Ở thẻ Configure, đặt Allow self-service set up là Yes, chọn loại passkey cho phép; ở thẻ Enable and Target, chọn nhóm người dùng.
- Nhân viên tự đăng ký tại mysignins.microsoft.com/security-info; họ phải hoàn tất xác thực đa yếu tố trong vòng 5 phút trước đó.
Lộ trình gợi ý 4 bước
| Giai đoạn | Việc làm | Đối tượng |
|---|---|---|
| 1. Thí điểm | Bật passkey cho một nhóm nhỏ, ghi lại thắc mắc | Ban giám đốc, IT |
| 2. Tài khoản rủi ro cao | Bắt buộc passkey, ưu tiên khóa phần cứng | Quản trị viên, kế toán, người giữ fanpage và tài khoản quảng cáo |
| 3. Mở rộng | Hướng dẫn toàn công ty, đưa vào quy trình onboarding nhân viên mới | Toàn bộ nhân viên |
| 4. Thu hẹp phương án yếu | Gỡ OTP SMS ở nơi đã có passkey, rà soát định kỳ | Toàn bộ tài khoản |
Mỗi tài khoản quản trị nên có ít nhất hai passkey hoặc khóa bảo mật, một cái cất nơi an toàn.
Mất điện thoại thì passkey ra sao?
- Passkey đồng bộ không mất theo điện thoại. Trình quản lý mật khẩu của Google đồng bộ passkey giữa các thiết bị, được mã hóa đầu cuối bằng mã PIN của trình quản lý mật khẩu; trên thiết bị mới cần nhập PIN này hoặc khóa màn hình Android (Google). Passkey trên iPhone đồng bộ qua iCloud Keychain và có thể khôi phục kể cả khi mất mọi thiết bị, với mật khẩu iCloud, mã SMS và mã khóa thiết bị (Apple).
- Thu hồi passkey trên máy bị mất: từ thiết bị khác, vào tài khoản Google, mục Bảo mật, chọn Khóa truy cập và khóa bảo mật rồi xóa passkey của máy bị mất; với passkey do Android tự tạo, đăng xuất máy đó trong mục Quản lý tất cả thiết bị. Sau khi đăng xuất, passkey của máy Android đó vẫn có thể dùng thêm tối đa 6 giờ, nên cần làm sớm (Google Account Help).
- Kẻ nhặt được máy vẫn cần mở khóa màn hình mới dùng được passkey, nên phải đặt khóa màn hình mạnh.
Checklist khi mất điện thoại hoặc khóa bảo mật
Doanh nghiệp nên kết hợp passkey với chính sách bảo mật chung, xem an ninh mạng cho doanh nghiệp vừa và nhỏ.
Những sai lầm thường gặp khi dùng passkey
- Tạo passkey trên máy dùng chung: ai mở được máy đó cũng đăng nhập được tài khoản của bạn.
- Chỉ có một passkey: mất thiết bị là mất đường vào; luôn có phương thức dự phòng.
- Khóa màn hình yếu: PIN “1234” hay ngày sinh làm passkey mất phần lớn tác dụng.
- Nghĩ bật passkey là đã tắt mật khẩu: mật khẩu cũ vẫn còn và vẫn là cửa sau nếu yếu.
- Để passkey công ty trong tài khoản đám mây cá nhân: khi nhân viên nghỉ việc, passkey vẫn nằm trong iCloud hoặc Google cá nhân của họ.
- Chủ quan với lừa đảo qua điện thoại: passkey không chặn được cuộc gọi giả danh dụ bạn cài phần mềm điều khiển máy, xem cách nhận biết cuộc gọi deepfake.
FAQ: Câu hỏi thường gặp về passkey
Passkey là gì?
Passkey là cách đăng nhập không cần mật khẩu theo tiêu chuẩn FIDO, xác nhận bằng vân tay, khuôn mặt hoặc PIN mở khóa thiết bị, dựa trên cặp khóa mã hóa. Khóa riêng tư nằm trên thiết bị hoặc trình quản lý mật khẩu của bạn, website chỉ giữ khóa công khai.
Passkey có an toàn hơn mật khẩu không?
Có. Website chỉ lưu khóa công khai nên không có mật khẩu để lộ, và passkey gắn với đúng tên miền nên không thể bị lừa nhập vào trang giả. Microsoft ghi nhận tỷ lệ đăng nhập thành công bằng passkey khoảng 98%, so với 32% với mật khẩu.
Cách bật passkey cho Google?
Vào myaccount.google.com/signinoptions/passkeys, chọn “Tạo khóa truy cập”, mở khóa thiết bị bằng vân tay, khuôn mặt hoặc PIN. Thiết bị cần bật khóa màn hình. Với tài khoản Google Workspace, quản trị viên phải cho phép thì mới đăng nhập được chỉ bằng passkey.
Mất điện thoại thì passkey ra sao?
Passkey đồng bộ qua Trình quản lý mật khẩu của Google hoặc iCloud Keychain vẫn dùng được trên thiết bị khác. Nên vào tài khoản từ thiết bị khác để xóa passkey của máy bị mất và đăng xuất máy đó. Passkey gắn với thiết bị (như khóa USB) thì mất theo thiết bị, nên cần phương án dự phòng.
Doanh nghiệp nhỏ có cần mua khóa bảo mật phần cứng không?
Không bắt buộc cho mọi người. Passkey đồng bộ trên điện thoại đã đủ tốt cho phần lớn nhân viên. Khóa phần cứng nên dành cho tài khoản quản trị, kế toán và người quản lý tài khoản quảng cáo, vì dễ kiểm soát và thu hồi khi nhân viên nghỉ việc.
Có nên bỏ hẳn mật khẩu khi dùng passkey?
Chưa nên với mọi tài khoản. Nhiều dịch vụ vẫn giữ mật khẩu làm phương án dự phòng, nên vẫn cần mật khẩu mạnh, không dùng lại và bật xác thực hai lớp.
Kết luận
Tóm lại: passkey thay mật khẩu bằng cặp khóa mã hóa, an toàn hơn và nhanh hơn cả mật khẩu lẫn mã OTP.
- Không có mật khẩu để lộ, không bị lừa nhập vào trang giả; bật cho Google, Microsoft, Facebook chỉ mất vài bước.
- Doanh nghiệp nên bắt đầu từ tài khoản quản trị và tài khoản rủi ro cao, dùng cài đặt có sẵn trong Google Workspace và Microsoft Entra.
- Passkey đồng bộ không mất theo điện thoại; luôn có phương án dự phòng và xóa passkey của máy bị mất ngay.
