Passkeys versus wachtwoorden delen: wat verandert er echt?

De belofte van het wachtwoordloze tijdperk

Passkeys worden gepresenteerd als de opvolger van wachtwoorden. Apple, Google en Microsoft ondersteunen ze breed. Grote diensten als GitHub, PayPal en Google zelf laten gebruikers inloggen met Face ID of een vingerafdruk, zonder wachtwoord. De belofte: nooit meer een wachtwoord onthouden, nooit meer een wachtwoord vergeten, nooit meer een wachtwoord dat gestolen kan worden.

Het klinkt als het einde van de problemen waar dit blog over gaat. Maar de werkelijkheid is genuanceerder — en wachtwoorden zullen nog jaren een rol spelen, ook in professionele omgevingen.

Wat is een passkey precies?

Een passkey is een cryptografisch sleutelpaar dat gekoppeld is aan een specifiek apparaat en een specifieke dienst. Bij registratie genereert je apparaat een privésleutel (opgeslagen op het apparaat, nooit gedeeld) en een publieke sleutel (opgeslagen bij de dienst). Bij inloggen bewijst je apparaat dat het de privésleutel heeft, zonder die sleutel ooit te versturen.

Dit heeft twee grote voordelen ten opzichte van wachtwoorden:

1. Phishing-resistent: een aanvaller kan geen neppagina bouwen die een passkey kan stelen, omdat de passkey cryptografisch gebonden is aan de echte domeinnaam.
2. Geen wachtwoorddatabase: als de dienst gehackt wordt, is er geen wachtwoordhash om te kraken — de publieke sleutel is waardeloos zonder de privésleutel op jouw apparaat.

Wat passkeys niet oplossen: het delingsprobleem

Hier ligt de kern van de discussie. Passkeys zijn per definitie persoonlijk en apparaatgebonden. Je kunt een passkey niet "delen" zoals je een wachtwoord deelt. Dat is precies de bedoeling — maar het creëert een fundamenteel probleem voor alle scenario's waarbij toegang gedeeld moet worden.

Denk aan:

• Een gedeeld admin-account voor een dienst die maar één login ondersteunt
• Tijdelijke toegang voor een externe contractant
• Een developer die een collega toegang moet geven tot een testomgeving
• Een teamaccount voor sociale media

In al deze gevallen lost een passkey het probleem niet op — en is een wachtwoord (mits goed beheerd en veilig gedeeld) nog steeds de enige werkende oplossing.

Gedeelde passkeys: een opkomende standaard

De FIDO Alliance werkt aan standaarden voor het veilig synchroniseren van passkeys via wachtwoordmanagers (Apple iCloud Keychain, Google Password Manager, 1Password). Dit maakt het technisch mogelijk om een passkey te "delen" binnen een vertrouwde set apparaten.

Maar dit heeft beperkingen:

• Werkt alleen als alle betrokkenen hetzelfde ecosysteem gebruiken
• Is bedoeld voor persoonlijk gebruik, niet voor tijdelijke externe toegang
• De meeste implementaties zijn in 2026 nog niet rijp voor enterprise-gebruik

Wachtwoorden blijven nodig: vijf scenario's

1. Legacy systemen. Een aanzienlijk deel van de software in gebruik — van interne applicaties tot gespecialiseerde SaaS — ondersteunt geen passkeys en zal dat op korte termijn ook niet doen. Wachtwoorden zijn hier de enige optie.

2. Externe partijen en contractanten. Je kunt een externe bureau niet vragen een passkey te registreren voor jouw interne systeem. Tijdelijke toegang via een wachtwoord is hier praktischer.

3. Gedeelde serviceaccounts. API-toegang, systeem-tot-systeem communicatie en service accounts werken doorgaans niet met passkeys.

4. Noodsituaties. Als iemand ziek is of onverwacht wegvalt, moet een collega snel toegang kunnen overnemen. Passkeys zijn aan het apparaat gekoppeld; dat apparaat is dan niet beschikbaar.

5. Onboarding en overdracht. Zelfs als een systeem passkeys ondersteunt, is er een initieel moment waarop iemand toegang krijgt — en dat moment vereist een veilig kanaal.

De rol van PassTransfer in een passkey-wereld

PassTransfer blijft relevant voor alle situaties waarin credentials gedeeld moeten worden. Naarmate passkeys breder worden geadopteerd, verschuift het gebruik misschien van reguliere wachtwoorden naar andere soorten secrets: tijdelijke codes, herstelcodes, API tokens, of de wachtwoorden van de systemen die passkeys nog niet ondersteunen.

De one-time link met versleuteling en automatische verwijdering blijft de veiligste methode voor die overdracht, ongeacht wat er gedeeld wordt.

Conclusie

Passkeys zijn een echte verbetering voor persoonlijk inloggen en maken phishing structureel moeilijker. Maar ze lossen het probleem van het veilig delen van toegang niet op. Wachtwoorden, API keys en andere gedeelde credentials blijven een realiteit voor teams die samenwerken, externe partijen inschakelen en legacy systemen beheren. De behoefte aan een veilige manier om die te delen — via PassTransfer — verdwijnt niet met de komst van passkeys.