Trecerea de la parole la passkeys pare, la prima vedere, o actualizare simplă de securitate. În practică, pentru o organizație, schimbarea este mai apropiată de un proiect de identitate digitală decât de o setare bifată într-o consolă de administrare. Cele mai sensibile trei puncte sunt compatibilitatea, recuperarea accesului și folosirea dispozitivelor partajate. Dacă acestea nu sunt clarificate dinainte, migrarea poate bloca oamenii exact când au nevoie să intre rapid în conturi și aplicații.
Primul pas este inventarul. O companie nu trece „la passkeys” în abstract, ci în Microsoft 365, Google Workspace, VPN, SSO, aplicații interne, CRM sau instrumente HR. Microsoft arată în documentația Entra ID că organizațiile pot lucra cu profiluri diferite de passkeys și că platforma suportă atât passkeys sincronizate, cât și passkeys device-bound stocate pe chei FIDO2 sau în Microsoft Authenticator. Asta contează fiindcă, în lumea reală, compatibilitatea nu înseamnă doar dacă browserul afișează opțiunea de autentificare, ci și ce tip de credential permiți, pentru ce utilizatori și pe ce dispozitive.
De aici vine și regula de bază: migrarea trebuie făcută pe loturi, nu printr-un anunț general de tipul „de mâine renunțăm la parole”. Echipa IT trebuie să verifice versiunile de sistem de operare, browserele acceptate, existența blocării de ecran și suportul furnizorului de identitate pentru serviciile critice. În paralel, merită separate rolurile obișnuite de conturile sensibile. Pentru un angajat care lucrează zilnic de pe laptopul și telefonul de serviciu, o experiență cu passkeys sincronizate poate fi mai comodă. Pentru administratori sau pentru medii strict controlate, o cheie hardware FIDO2 ori o opțiune device-bound poate fi mai ușor de guvernat.
A doua zonă critică este recuperarea. Orice proiect de autentificare eșuează dacă funcționează doar cât timp nimeni nu își pierde telefonul, nu își schimbă laptopul și nu își deteriorează cheia hardware. Microsoft recomandă Temporary Access Pass în Entra ID ca metodă temporară pentru onboarding și pentru reînrolarea metodelor passwordless. Tradus în termeni practici, asta înseamnă că noul flux de recuperare trebuie testat cap-coadă înainte să fie redus rolul parolei în procesele zilnice. Helpdesk-ul trebuie să știe cine verifică identitatea angajatului, cine emite accesul temporar, cât timp rămâne valabil și cum se revocă o metodă pierdută.
Un alt detaliu important este comunicarea internă. Trecerea la passkeys nu trebuie prezentată ca dispariția instantanee a parolelor. În multe organizații va exista o perioadă de coexistență între metodele vechi și cele noi, tocmai pentru a evita blocajele și pentru a permite excepții controlate. Mesajul corect pentru angajați este că parola nu mai rămâne metoda principală, nu că toate procedurile anterioare sunt șterse peste noapte.
Capitolul cel mai sensibil rămâne cel al dispozitivelor partajate. Google avertizează explicit în documentația pentru conturile Google să nu fie creat un passkey pe un dispozitiv folosit în comun, deoarece o persoană care poate debloca acel dispozitiv ar putea obține și acces la cont. În practică, asta afectează recepții, call-centere, retail, laboratoare, puncte de lucru și orice stație folosită pe ture. În astfel de scenarii, stația poate fi comună, dar credentialul nu ar trebui să fie. Varianta mai sigură este ca passkey-ul să stea pe un dispozitiv personal gestionat sau pe o cheie hardware FIDO2, nu pe calculatorul partajat.
Pentru un rollout sănătos, organizația are nevoie de câteva reguli simple: un pilot restrâns, testarea recuperării înainte de lansare, separarea rolurilor critice de utilizatorii obișnuiți și o politică clară pentru dispozitivele partajate. Passkeys pot reduce riscul asociat phishing-ului și reutilizării parolelor, dar beneficiul apare doar când implementarea ține cont de realitatea operațională. Compatibilitatea, recuperarea și modul de lucru pe dispozitive comune nu sunt detalii secundare. Ele decid dacă migrarea va fi fluidă sau dacă va crea fricțiuni exact acolo unde securitatea ar trebui să simplifice accesul, nu să îl complice.
