---
title: "Wat is Passkey? Uitleg en betekenis | Keurig Online"
description: "Een passkey is een inlogmethode zonder wachtwoord, waarbij je apparaat met een cryptografische sleutel bewijst dat jij het bent."
canonical: https://www.keurigonline.nl/begrippenlijst/passkey
last_modified: 2025-12-18
---

[Terug naar begrippenlijst](https://www.keurigonline.nl/begrippenlijst)

# Passkey

Een passkey is een inlogmethode zonder wachtwoord, waarbij je apparaat met een cryptografische sleutel bewijst dat jij het bent.

Een passkey is een manier om in te loggen zonder wachtwoord. Je bevestigt de inlog met je vingerafdruk, je gezicht of de pincode van je telefoon of laptop, en je apparaat bewijst daarna met een cryptografische sleutel aan de website dat jij het bent. Passkeys zijn gebaseerd op de standaarden FIDO2 en WebAuthn.

Bij het aanmaken maakt je apparaat een sleutelpaar. De website bewaart alleen de publieke sleutel, terwijl de privésleutel op je apparaat of in je wachtwoordmanager blijft. Bij het inloggen stuurt de site een willekeurige uitdaging, die je apparaat met de privésleutel ondertekent. Je vingerafdruk verlaat het apparaat nooit, want die ontgrendelt alleen de sleutel.

Het grote voordeel is dat er niets te raden of te onderscheppen valt. Lekt de database van een website, dan liggen er alleen publieke sleutels op straat, en daarmee kan niemand inloggen. Een passkey werkt bovendien alleen op het domein waarvoor hij is gemaakt, dus een nagemaakte inlogpagina heeft er niets aan. Daardoor is een passkey beter bestand tegen phishing dan een wachtwoord met een sms-code.

Er zijn twee soorten. Een gesynchroniseerde passkey staat in een wachtwoordmanager zoals Google Wachtwoordmanager of Bitwarden, die hem via de cloud naar al je apparaten kopieert. Een passkey op een hardwaresleutel verlaat dat ene apparaat nooit. Raak je je telefoon kwijt, dan heb je een andere manier nodig om binnen te komen, dus maak voor belangrijke accounts een tweede passkey of bewaar de herstelcodes.

## Geschiedenis

Passkeys bouwen voort op het werk van de FIDO Alliance en het W3C. De webstandaard [WebAuthn](https://www.w3.org/TR/webauthn-2/) werd in maart 2019 een officiële W3C-aanbeveling, maar inloggen zonder wachtwoord bleef lastig zolang de sleutel aan één apparaat vastzat ([Wikipedia](https://en.wikipedia.org/wiki/WebAuthn)).

Dat veranderde toen Apple, Google en Microsoft op 5 mei 2022 [beloofden](https://fidoalliance.org/apple-google-and-microsoft-commit-to-expanded-support-for-fido-standard-to-accelerate-availability-of-passwordless-sign-ins/) dat inloggegevens voortaan tussen apparaten konden meegaan. Vanaf dat jaar heten ze passkeys.

Belangrijke mijlpalen:

- **4 maart 2019:** WebAuthn Level 1 wordt een W3C-aanbeveling
- **April 2021:** WebAuthn Level 2 volgt
- **5 mei 2022:** Apple, Google en Microsoft kondigen passkeys op al hun platforms aan

## Bronnen

1. **FIDO Alliance** - [Passkeys](https://fidoalliance.org/passkeys/)
2. **W3C (2021)** - [Web Authentication: An API for accessing Public Key Credentials Level 2](https://www.w3.org/TR/webauthn-2/)
3. **passkeys.dev** - [Passkeys developer resources](https://passkeys.dev/)
4. **Google for Developers** - [Passwordless login with passkeys](https://developers.google.com/identity/passkeys)
5. **Bitwarden** - [Storing passkeys](https://bitwarden.com/help/storing-passkeys/)

## Gerelateerde artikelen

Beveiliging 29 jun 2026

[ Website beveiliging tegen AI-phishing: 5-stappenplan \[2026\] ](https://www.keurigonline.nl/blog/website-beveiliging-phishing-ai)

- **TOTP-apps** (Google Authenticator, Authy): kwetsbaar voor AiTM.
- **Push-notificaties:** kwetsbaar voor MFA-fatigue en AiTM.
- **FIDO2 / Passkeys:** volledig phishing-resistent. De browser weigert de sleutel te gebruiken op een ander domein dan het origineel. AiTM is architectureel onmogelijk.

Voor WordPress: installeer een passkey-plugin voor wp-admin. Google Workspace en Microsoft 365 ondersteunen FIDO2 al volledig. Hardware-opties zijn een YubiKey (circa €30 tot €50) of een YubiKey-as-a-Service-abonnement voor teams.