Hesla jsou bezpečnostní past a vy je pořád používáte. Existuje náhrada, kterou nelze ukrást ani podvrhnout

Třetina lidí na světě loni zažila kompromitaci účtu nebo dostala oznámení o úniku dat. Společný jmenovatel: heslo.

Zdroj fotografie: Lukáš Altman (Mobify.cz)

Problém není v tom, že si lidé volí slabá hesla. Problém je v samotném principu. Heslo je sdílené tajemství, znáte ho vy a zná ho server. Dá se opsat na falešný web, použít znovu na jiné službě a po úniku databáze rozjet masový útok na tisíce účtů najednou. Americký federální standard NIST výslovně uvádí, že hesla nejsou odolná proti phishingu. A přesto je v roce 2026 většina z nás stále používá jako hlavní bránu ke svým účtům. Přitom existuje technologie, která celý tento model obrací naruby.

Co je passkey a proč funguje jinak než heslo

Passkey, česky přístupový klíč, je přihlašovací údaj postavený na asymetrické kryptografii. Místo jednoho sdíleného tajemství vznikne při registraci pár klíčů: soukromý a veřejný. Soukromý klíč zůstává ve vašem zařízení, veřejný klíč dostane server. Při přihlášení server pošle výzvu, vaše zařízení ji podepíše soukromým klíčem a server ověří podpis veřejným klíčem. Žádné heslo nikam neputuje.

Odemykáte to stejně jako telefon, otiskem prstu, obličejem nebo PINem. Biometrická data přitom zůstávají v zařízení a službě se neodesílají. Google to ve své dokumentaci říká explicitně: biometrie slouží jen k lokálnímu odemčení klíče, ne k ověření na serveru.

Proč passkey nelze ukrást ani podvrhnout

„Nelze ukrást“ znamená: při úniku databáze serveru útočník získá jen veřejný klíč. S ním se nepřihlásí. Soukromý klíč nikdy server neopustil, takže neexistuje žádná databáze hesel k prolomení, žádný credential stuffing, žádné hromadné zneužití.

„Nelze podvrhnout“ je ještě zajímavější. Každý passkey je kryptograficky svázaný s konkrétní doménou služby; v terminologii standardu W3C WebAuthn jde o takzvané RP ID a origin binding. Prakticky to znamená jediné: když vás phishingový e-mail pošle na falešnou stránku banky s překlepem v adrese, prohlížeč passkey jednoduše nenabídne. Doména nesedí. Žádné rozhodování uživatele, žádné „vypadá to důvěryhodně“. Kryptografie rozhodne za vás.

Právě proto NIST řadí passkeys mezi autentizátory odolné vůči phishingu, na rozdíl od hesel, jednorázových SMS kódů i aplikačních OTP, které lze přesměrovat do jiné relace.

Pět miliard klíčů, ale stále ne všude

FIDO Alliance k květnu 2026 odhaduje pět miliard aktivních passkeys na světě. Tři čtvrtiny uživatelů mají alespoň jeden nastavený, pravidelně je ale používá 49 %. Amazon hlásí přes 175 milionů zákazníků s aktivním passkey a na mobilu ho nabízí jako výchozí způsob přihlášení.

Brzdy adopce jsou reálné:

• Ne všechny weby a aplikace passkeys podporují.
• 16 % organizací stále považuje heslo s dvoufaktorovým ověřením za dostatečné.
• 24 % firem čeká na dozrání standardů a lepší UX.
• Část uživatelů chce heslo jako zálohu pro případ ztráty zařízení.

A tady je zásadní háček: dokud služba nechává heslo nebo SMS kód jako rovnocennou alternativu vedle passkey, nejslabší článek autentizace zůstává v provozu. Útočník nepůjde přes kryptografii, půjde přes resetovací formulář s heslem.

Jak je na tom Česko

V českém prostředí je situace specifická. Nejviditelněji se bezheslové přihlašování prosazuje přes federované identitní služby, MojeID od CZ.NIC a Bank iD. MojeID na svém webu uvádí tisíce napojených služeb soukromého i veřejného sektoru, mezi nimi Alzu, Seznam, iDNES, ČSFD, Portál občana nebo datové schránky. Podporuje i přihlášení bezpečnostním klíčem.

Důležitá nuance: přihlášení přes MojeID nebo Bank iD není totéž co nativní passkey přímo na webu dané služby. Jde o federovanou cestu, ověříte se u prostředníka, který potvrdí vaši identitu cílové službě. Bank iD navíc funguje na principu bankovních přihlašovacích údajů s potvrzením v mobilní aplikaci, tedy jinou větví autentizace. Státní Identita občana pracuje s eObčankou, NIA ID a Mobilním klíčem eGovernmentu, kryptograficky příbuzné koncepty, ale jiný slovník i UX než „spotřebitelské passkeys“.

Ve veřejně dohledatelných podkladech se nám nepodařilo spolehlivě potvrdit plošné nasazení nativních passkeys přímo na loginech velkých českých bank a e-shopů. Česko tedy bezheslovou autentizaci zná, ale spíš přes identitní prostředky než přes passkey tlačítko na přihlašovací stránce.

Jak začít a co dělat, než to bude všude

Nastavení passkey zabere minutu. Přihlásíte se do účtu na podporované službě (Google, Microsoft, Amazon), v nastavení zabezpečení zvolíte vytvoření passkey a potvrdíte otiskem, obličejem nebo PINem. Nepotřebujete žádný speciální hardware ani správce hesel. Android ukládá passkeys do Google Password Manageru, Apple do iCloud Klíčenky, Microsoft do svého správce přihlašovacích údajů. Synchronizace mezi zařízeními funguje automaticky.

Při ztrátě telefonu se passkeys obnoví po přihlášení do stejného cloudového účtu na novém zařízení. Přechod mezi ekosystémy, z Androidu na iPhone a naopak, je dnes snazší než dříve: Google i Apple už umožňují import a export passkeys mezi správci hesel. Kdo chce maximální kontrolu, může sáhnout po hardwarovém klíči YubiKey, kde je passkey nekopírovatelně vázaný na fyzické zařízení; Yubico ale doporučuje mít vždy záložní klíč.

A co služby, které passkeys zatím nenabízejí? Silné unikátní heslo ve správci hesel a nejsilnější dostupné dvoufaktorové ověření. Není to ideální, ale je to lepší než jedno heslo na dvacet účtů.

Pět miliard passkeys na světě ukazuje, že nejde o laboratorní experiment. Jde o hotovou infrastrukturu, která čeká na to, až ji zbývající služby, a uživatelé, přestanou ignorovat.