Konec hesel se blíží. Jak bude vypadat přihlašování bez nich?

Ještě nedávno bylo heslo základním stavebním kamenem prakticky každého přihlašování. Dnes už se velcí poskytovatelé snaží jeho význam systematicky snižovat. Ne proto, že by hesla najednou přestala fungovat, ale protože jejich bezpečnostní model je ze své podstaty špatně škálovatelný.

Uživatel musí tajemství vytvořit, zapamatovat si ho nebo si ho někde uložit a čas od času zadat do počítače. Služba musí ověřit, že jí uživatel předložil správné tajemství. Útočník se mezitím snaží stejné tajemství získat. A takových tajemství je typicky třeba spravovat desítky.

Passkeys tento model obracejí. Místo sdíleného tajemství používají kryptografický pár klíčů a soukromá část zůstává pod kontrolou zařízení nebo správce přihlašovacích údajů. Server nikdy nedostane heslo, které by mohl útočník ukrást z databáze. A především: uživatel nemá co vyplnit do falešného přihlašovacího formuláře.

Technologie už není jen experimentem pro pár technologických nadšenců. Podle studie FIDO Alliance zveřejněné v květnu 2026 používá svět přibližně pět miliard passkeys. Passkey si aktivovalo nejméně na jednom účtu 75 procent dotazovaných lidí a 68 procent organizací je už nasadilo nebo právě nasazuje pro přihlašování zaměstnanců.

A právě teď se změna dostává do další fáze. Microsoft oznámil, že od 1. září 2026 začne v Microsoft Entra ID postupně nastavovat passkeys jako výchozí autentizační zkušenost pro uživatele, kteří dosud používají SMS nebo hlasové ověření. Od února 2027 hodlá Microsoft přestat poskytovat SMS a hlas jako vlastní službu pro MFA (multifaktorová autentizace) v Entra ID.

Neznamená to ale, že hesla ze dne na den zmizí. Plyne z toho ale něco důležitějšího: passwordless přestává být experimentální směr a stává se součástí běžné infrastruktury.

Heslo je problémem už ve chvíli, kdy vznikne

Základní problém hesel není v tom, že by uživatelé neuměli vymyslet dostatečně složité heslo. Problémem je samotná architektura.

V dobře navrženém systému se samozřejmě heslo neukládá v otevřené podobě, ale ani hashování neřeší celý problém. Heslo může být odcizeno na klientovi, zachyceno phishingem, získáno prostřednictvím škodlivého softwaru nebo znovu použito na jiné službě.

A právě poslední vlastnost je mimořádně důležitá. Člověk může mít desítky nebo stovky účtů, ale jeho schopnost vytvářet a spravovat unikátní tajemství má své limity. Password manager tento problém výrazně snižuje, ale neodstraňuje zcela.

Passkey mění samotný princip: Při registraci vytvoří autentikátor kryptografický pár klíčů. Soukromý klíč zůstává v autentikátoru, zatímco veřejný klíč je předán službě. Při přihlašování server pošle výzvu a zařízení ji podepíše soukromým klíčem. Server ověří podpis pomocí veřejného klíče.

WebAuthn, standardizovaný W3C, přitom váže přihlašovací údaj ke konkrétní službě, respektive k jejímu originu. Webový prohlížeč a autentikátor tak nedovolí použít přihlašovací údaj vytvořený pro jednu doménu na jiné doméně.

Pro útočníka je to zásadní rozdíl. Když uživatel zadá heslo na falešném webu, útočník ho může okamžitě použít proti skutečné službě. U passkey takový mechanismus nefunguje. Kryptografická operace je svázána s legitimním webovým originem a soukromý klíč neopouští autentikátor.

Proto se o passkeys mluví jako o phishing-resistant autentizaci. Nejde jen o to, že je passkey „silnější heslo“. Je to jiný bezpečnostní model. FIDO Alliance jej přímo staví na kryptografii veřejného klíče a odolnosti proti phishingu.

Passkey není otisk prstu

Když se uživatel přihlašuje pomocí passkey, může na telefonu nebo počítači použít otisk prstu, rozpoznání obličeje nebo PIN. To ale neznamená, že otisk prstu je jeho heslem.

Biometrie slouží k odemknutí autentikátoru. Webové službě se biometrický údaj neposílá. To, co služba dostane, je kryptografický důkaz, že autentikátor provedl požadovanou operaci.

Pro uživatele se přitom přihlášení může jevit velmi jednoduše: otevře web, zvolí přihlášení a zařízení požádá o odemčení. Z pohledu infrastruktury se ale pod touto jednoduchostí odehrává poměrně sofistikovaná kryptografická operace.

To je jeden z důvodů, proč jsou passkeys zajímavé. Bezpečnost se přesouvá do vrstvy, kterou uživatel většinou nemusí vůbec chápat.

Passkeys nejsou vždy stejné

Pro IT administrátora je důležité vědět, že pod označením passkey se dnes skrývají poněkud odlišné modely. První možností je device-bound passkey. Soukromý klíč je svázán s konkrétním zařízením nebo hardwarovým bezpečnostním klíčem a není určen k synchronizaci mezi zařízeními.

Druhou možností je synced passkey. Přihlašovací údaj je bezpečně synchronizován prostřednictvím správce přihlašovacích údajů, například Apple iCloud Keychain nebo Google Password Manager. Uživatel tak může mít stejný passkey k dispozici na více vlastních zařízeních. Microsoft Entra ID v současnosti podporuje oba přístupy.

Rozdíl je důležitý především ve firemním prostředí. Synchronizace řeší jeden z největších problémů klasického passwordless přístupu: co se stane, když zaměstnanec ztratí telefon nebo si koupí nový notebook. Pokud je passkey synchronizovaný prostřednictvím důvěryhodného správce, není nutné každý účet znovu ručně registrovat.

Na druhou stranu může organizace v některých situacích požadovat přísnější kontrolu nad tím, kde autentizační klíč vzniká a kde může být použit. U vysoce privilegovaných účtů proto může dávat větší smysl device-bound passkey nebo přímo hardwarový FIDO2 bezpečnostní klíč.

Microsoft Entra ID například umožňuje pomocí passkey profilů rozlišovat mezi synchronizovanými a device-bound klíči, vyžadovat attestation a omezovat povolené autentikátory. Administrátor tak nemusí zvolit jednu variantu pro celý podnik.

To je důležitý posun. Debata už není „passkeys ano, nebo ne“, ale jaký typ passkey patří kterému uživateli a jakému riziku.

Proč je phishing s passkey najednou mnohem těžší

Představme si klasický útok: Uživatel dostane e-mail, klikne na odkaz a skončí na stránce, která vypadá jako Microsoft 365. Zadá e-mailovou adresu a heslo. Útočník heslo získá a může ho okamžitě použít.

U passkey tento mechanismus narazí na technický problém. Přihlašovací údaj je vázán na legitimní origin služby. Falešný web nemůže jednoduše přesvědčit autentikátor, aby podepsal výzvu určenou pro skutečný web.

To ovšem neznamená, že passkey dělá uživatele nezranitelným. Pokud je kompromitované samotné zařízení, může útočník získat kontrolu nad tím, co uživatel na zařízení dělá. Pokud útočník ovládne účet správce hesel nebo cloudový účet, který synchronizované passkeys chrání, dostáváme se k úplně jinému problému. Passkeys také neřeší sociální inženýrství, kdy uživatel sám schválí něco, čemu důvěřuje.

Bezpečnostní výhoda je ale zásadní: nejde jednoduše ukrást přihlašovací tajemství a použít ho jinde. Právě proto Microsoft v roce 2026 označuje passkeys za phishing-resistant metodu a postupně je staví před SMS a hlasové ověřování.

MFA nemizí, ale mění se její podoba

Častá otázka zní: když máme passkey, potřebujeme ještě MFA? Záleží na konkrétní definici MFA a na způsobu nasazení.

Passkey může v praxi kombinovat vlastnictví zařízení s lokálním odemčením pomocí PINu nebo biometrie. Z pohledu uživatele tedy často představuje velmi silný autentizační mechanismus bez klasického zadávání hesla a jednorázového kódu.

To je rozdíl oproti tradičnímu modelu: heslo + SMS kód, kde druhý faktor často chrání první faktor, který je sám o sobě stále phishingovatelný. Pokud uživatel zadá heslo na podvodném webu a následně tam přepíše SMS kód, útočník může obě hodnoty využít. Passkey je proti tomuto typu útoku imunní.

To je také důvod, proč pouhé tvrzení „máme MFA“ dnes nestačí. Pro IT oddělení je důležitější otázka, jaký typ MFA používá a proti jakému útoku skutečně chrání. SMS je výrazně lepší než samotné heslo. Passkey je ale z hlediska odolnosti proti phishingu kvalitativně jinde.

Největší slabinou passkeys může být jejich záloha

Passkey odstraňuje jeden problém a vytváří tlak na jiný. Když uživatel zapomene heslo, služba může nabídnout reset. Když ztratí zařízení s jediným passkey s ním svázaným, situace je složitější.

Organizace proto musí ještě před nasazením vyřešit registraci druhého autentikátoru, recovery proces a případnou administrativní obnovu přístupu. To je často důležitější než samotná instalace passkeys.

Představme si administrátora s privilegovaným účtem, který má jediný hardwarový klíč. Klíč ztratí. Pokud organizace nemá připravený druhý klíč nebo řízený recovery proces, bezpečnostní opatření se může změnit v provozní problém.

Opačný extrém není o nic lepší. Pokud organizace vytvoří příliš pohodlný fallback typu „nemáš passkey? Pošli si SMS“, útočník se může pokusit obejít nejsilnější autentizační mechanismus právě přes nejslabší alternativu.

Toto je v současnosti jeden z nejvýznamnějších problémů passwordless světa. Microsoft na něj ostatně důrazně upozorňuje: passkeys samy o sobě nejsou konečnou metou, pokud účet dál chrání slabé fallbacky a recovery mechanismy. Nejsilnější autentizace na světě je zbytečná, pokud lze účet obejít nejslabší cestou obnovy.

Konec správců hesel?

Passkeys neznamenají automaticky konec password managerů. Je pravděpodobné, že ještě dlouho budeme provozovat hybridní svět. Některé služby podporují passkeys, jiné stále vyžadují heslo. Některé interní aplikace mohou používat vlastní autentizační mechanismy. Starší systémy mohou zůstat závislé na heslech ještě mnoho let.

Password managery proto nezmizí přes noc. Naopak mohou být důležitou součástí přechodného období. Mohou dál spravovat klasická hesla tam, kde passkey zatím není k dispozici, a současně sloužit jako úložiště synchronizovaných passkeys.

Rozumné IT oddělení tedy bude přemýšlet o passwordless jako o postupné změně autentizační vrstvy, nikoli jako o jednorázovém projektu „odstraníme všechna hesla“.

Co to znamená pro vlastní aplikace

Dobrou zprávou pro vývojáře je, že nemusejí vymýšlet vlastní kryptografický systém. Základem je WebAuthn, standardizované API pro webové aplikace. Aktuální specifikace WebAuthn Level 3 definuje vytváření a používání veřejných klíčů svázaných s konkrétní službou a autentikátorem.

Aplikace by měla podporovat registraci passkey, přihlášení, správu více autentikátorů a především promyšlenou obnovu účtu. Je potřeba počítat s tím, že jeden uživatel může mít telefon, notebook a bezpečnostní klíč.

Neméně důležité je UX (uživatelské rozhraní). Uživatel nemusí vědět, jestli právě používá WebAuthn, FIDO2, platform authenticator nebo synchronizovaný passkey. Pokud aplikace po něm vyžaduje znalost těchto pojmů, implementace je zbytečně složitá.

Technologie má být pokud možno neviditelná. Uživatel by měl vědět především to, že se může bezpečně přihlásit pomocí svého zařízení.

Ve firmě začínejte postupně

Pokud firma používá Microsoft Entra ID, Google Workspace nebo jiný moderní IAM systém, je lákavé zapnout passkeys globálně. Rozumnější je ale začít tam, kde je poměr bezpečnostního přínosu a rizika nejvyšší. Především u administrátorů, privilegovaných účtů, vzdáleného přístupu a lidí, kteří mají přístup k citlivým systémům. Následovat může pilotní skupina běžných uživatelů.

Microsoft Entra ID dnes umožňuje definovat passkey profily pro konkrétní skupiny a nastavit například odlišná pravidla pro administrátory a běžné zaměstnance. Lze určit, zda jsou povoleny synchronizované nebo device-bound passkeys a v určitých scénářích vyžadovat attestation. To umožňuje poměrně elegantní model: čím vyšší privilegia, tím přísnější autentizátor.

Pro běžného zaměstnance může být synchronizovaný passkey v telefonu ideálním kompromisem mezi bezpečností a pohodlím. Pro správce domény může být vhodnější device-bound klíč uložený na hardwarovém FIDO2 tokenu. Není důvod, aby všichni dostali totéž.

Když zaměstnanec přijde o telefon

A když zaměstnanec přijde o telefon? Tohle je otázka, která by měla zaznít ještě před rolloutem, nikoli po něm.

U synchronizovaných passkeys je situace jednodušší, protože přihlašovací údaje mohou být dostupné na dalších zařízeních přihlášených ke stejnému poskytovateli. Apple například synchronizuje passkeys prostřednictvím iCloud Keychain a Google prostřednictvím Google Password Manageru.

U device-bound autentikátoru je nutné počítat s náhradním způsobem přístupu. V podnikové infrastruktuře by proto měl mít uživatel podle rizikového profilu možnost zaregistrovat více autentikátorů. Administrátor by měl mít definovaný proces, jak starý autentikátor zneplatnit a nový zaregistrovat.

Hesla nezmizí tak rychle, jak se říká

Titulek „konec hesel“ je lákavý, ale realita bude méně dramatická. Hesla budou existovat ještě dlouho. Zůstanou ve starších aplikacích, u starších zařízení, v některých B2B systémech a v nejrůznějších okrajových případech.

Navíc ani velcí poskytovatelé zatím nemohou jednoduše předpokládat, že každý uživatel má zařízení schopné bezpečně používat passkey. Směr je však zřejmý.

FIDO Alliance v letošním průzkumu uvádí, že 82 procent organizací považuje plně passwordless autentizaci pracovníků za svůj konečný cíl. Současně už 28 procent organizací podle stejného průzkumu tohoto stavu dosáhlo.

Co by měl IT profesionál udělat dnes

Není potřeba okamžitě převést celou firmu na passkeys. Je ale vhodný čas zjistit, jak na tom organizace skutečně je.

Prvním krokem je inventura autentizačních metod. Kolik účtů stále používá heslo a SMS? Které účty používají phishing-resistant MFA? Kdo má administrátorská oprávnění? Jak vypadá recovery? A kolik aplikací už dnes WebAuthn podporuje?

Druhým krokem by mělo být rozhodnutí, kde má smysl použít synchronizovaný passkey a kde device-bound autentikátor.

Třetím je odstranění zbytečných fallbacků. Pokud je hlavní přihlášení chráněné passkey, ale při problému lze účet obnovit pomocí SMS na telefonní číslo, bezpečnostní přínos se výrazně zmenšuje.

A konečně je potřeba myslet na životní cyklus. Registrace nového zaměstnance, ztracený telefon, odchod zaměstnance z firmy, výměna notebooku, ztráta bezpečnostního klíče, kompromitace zařízení. To všechno musí mít svůj proces.

Přihlašování se stane vlastností zařízení

Nejzajímavější na passkeys nakonec není samotná kryptografie. Je to změna uživatelského modelu. Dnešní přihlašování typicky říká: prokaž, že znáš tajemství. Passwordless přihlašování postupně říká: prokaž, že máš oprávněný autentikátor a že ho můžeš použít.

Uživatel přitom nemusí nic opisovat. Zařízení provede kryptografickou operaci a lokálně si ověří, že ji smí provést právě tento člověk. Passkeys proto nejsou jen novou funkcí v přihlašovacím formuláři. Jsou jedním z kroků k tomu, aby se identita stala vlastností kombinace účtu, zařízení, autentikátoru a politiky, nikoli řetězce znaků, který člověk nosí v hlavě.

Microsoftu startuje změnu - passkeys v Entra ID jako výchozí cesta pro další uživatele neznamená okamžitý konec hesel, ale je to další jasný signál, že otázka už nezní, zda passwordless přijde, ale kdy.

---