PASSKEYS ВМЕСТО ПАРОЛЕЙ: ПОРА ЛИ МАЛОМУ БИЗНЕСУ ОТКАЗЫВАТЬСЯ ОТ SMS-КОДОВ

Passkey — это ключ доступа, который позволяет входить без запоминаемого пароля. Устройство создаёт криптографическую пару: закрытый ключ остаётся у пользователя, а сервер хранит только открытый. Face ID, отпечаток или PIN используются локально и на сайт не передаются.

Главное преимущество — защита от классического фишинга. Пароль и SMS-код человек может ввести на поддельном сайте. Passkey привязан к настоящему домену, поэтому чужой сайт не может использовать созданный для него ключ. NIST отдельно указывает, что одноразовые коды, которые пользователь вручную переносит в сессию, не относятся к методам, устойчивым к фишингу.

Но из этого не следует, что SMS нужно отключать завтра. Самая опасная ошибка — сделать основной вход сильным, а восстановление аккаунта слабым. Если после потери телефона поддержку можно убедить выдать доступ по одному простому подтверждению, атакующий просто обойдёт passkey через recovery.

Для малого бизнеса рабочая стратегия на 2026 год — passkey-first, а не passkey-only:

— сначала измерить текущие логины, SMS, ошибки и обращения в поддержку;
— добавить ключ доступа как дополнительный способ входа;
— разрешить несколько ключей на аккаунт и проверить вход с другого устройства;
— заранее протестировать восстановление после потери всех ключей;
— провести пилот на одной группе пользователей;
— только после стабильных показателей делать passkey предпочтительным и сокращать привычный вход.

Ориентиры нашего пилота: успешность входа от 98%, успешное восстановление от 95%, ноль критических блокировок и снижение SMS-входов минимум на 40% относительно исходного уровня. Это управленческие пороги для проверки, а не отраслевой норматив.

Экономику тоже нельзя считать только как «цена SMS × количество кодов». Нужно учитывать поддержку пользователей, разработку, тестирование на устройствах, сопровождение и фактическую стоимость авторизационных сообщений по своему договору. Если окупаемость получается слабой, passkeys всё равно могут быть оправданы безопасностью — но тогда это уже не проект экономии.

Кому стоит начинать раньше: администраторам, сотрудникам с доступом к деньгам, CRM и чувствительным данным. Кому не стоит спешить: сервисам со старыми устройствами и WebView, общими логинами, отсутствием телеметрии или неготовым восстановлением доступа.

Полный разбор, ROI/TCO-модель, readiness audit, playbook и готовый 30-дневный сценарий:
https://bizmicroscope.ru/technology/passkeys-vmesto-paroley-sms-kodov-2026/

#БизнесПодМикроскопом #Технологии