Passkey Index 2026 FIDO: login dengan passkey lebih sering berhasil, lebih cepat, dan menekan phishing serta biaya OTP SMS. Tapi selama password jadi cadangan, celahnya tetap ada. Enam langkah untuk bisnis.
Tim MarkasDevTechnology Partner, Jakarta
Pada 15 Oktober 2026, FIDO Alliance merilis Passkey Index 2026. Temuan utamanya: passkey sudah lewat tahap "tersedia" dan mulai dipakai rutin. Rata-rata, 36% login yang berhasil di perusahaan peserta kini memakai passkey, naik dari sekitar 26% pada indeks tahun lalu. Pesertanya bukan nama kecil: antara lain Amazon, Google, Microsoft, PayPal, Shopify, TikTok, WhatsApp, Mercari, dan JP Morgan Chase.
Dua hari sebelumnya, Dashlane menerbitkan laporan Passkey Power 20 dengan nada yang lebih tajam. Bahkan di domain dengan pemakaian passkey tertinggi yang mereka ukur, yaitu Google, hanya 28% login yang memakai passkey. Artinya sekitar tujuh dari sepuluh login masih lewat jalur lama. Kesimpulan mereka: mendukung passkey sudah bukan pembeda lagi. Yang membedakan adalah keberanian menjadikannya jalur utama.
Bagi bisnis digital, ini bukan sekadar urusan tim keamanan. Login adalah pintu masuk ke checkout, saldo, dan data pelanggan. Setiap login yang gagal adalah calon pelanggan yang pergi.
Passkey adalah kredensial digital berbasis standar FIDO dan W3C yang menggantikan password. Saat pengguna membuat passkey, perangkatnya membuat sepasang kunci. Menurut dokumentasi Google untuk developer, server hanya menyimpan kunci publik, sehingga data yang bocor dari server jauh kurang berharga bagi penyerang. Pengguna cukup membuka kunci perangkat dengan sidik jari, wajah, atau PIN. Data biometrik tidak pernah meninggalkan perangkat.
Yang paling penting: passkey terikat pada identitas situs atau aplikasi yang membuatnya. Browser dan sistem operasi memastikan passkey hanya bisa dipakai di situs aslinya. Jadi pengguna tidak bisa "tertipu" memasukkan passkey di situs palsu, seperti yang sering terjadi dengan password dan kode OTP.
Passkey Index 2026 disusun dari data 15 perusahaan konsumen yang dikompilasi pada 21 September 2026. Angkanya rata-rata antarpeserta, jadi perlu dibaca sebagai gambaran arah, bukan patokan pasti untuk setiap bisnis. Beberapa temuan yang relevan:
Sembilan dari 13 peserta yang menjawab berencana menyediakan akun tanpa password dalam 12 bulan ke depan.
Data Dashlane menunjukkan pola yang sama dari sisi pengguna. Login dengan passkey oleh pengguna Dashlane mencapai 2,5 juta per bulan, hampir dua kali lipat dibanding tahun lalu, dan 57% penggunanya kini menyimpan setidaknya satu passkey. Pertumbuhan tercepat ada di layanan yang menyimpan uang atau data sensitif: keuangan, pembayaran, kesehatan swasta, serta aplikasi HR dan penggajian.
Laporan Dashlane mencatat tidak satu pun dari sepuluh domain teratas mewajibkan passkey. Mereka memakai bujukan: menaruh passkey di tempat yang terlihat, menjual manfaat kecepatan, dan perlahan menghapus metode lemah seperti kode sekali pakai. Cara ini berhasil, tetapi ada batasnya.
Selama password dan OTP SMS masih tersedia sebagai jalur cadangan, penyerang akan memilih jalur itu. Dashlane merumuskannya dengan jelas: passkey yang ditawarkan berdampingan dengan password hanya mengurangi sedikit risiko, sedangkan passkey yang menggantikan password mengurangi banyak risiko.
Kekhawatiran lama soal terkunci di satu ekosistem juga mulai terjawab. Menurut Dashlane, iOS 26 mendukung pemindahan passkey antara Apple Passwords dan pengelola kredensial pihak ketiga lewat Credential Exchange, dan Google Password Manager di Android menyusul pada 2026.
Ada pula sudut baru: agen AI. Ketika agen mulai melakukan transaksi atas nama pengguna, bisnis perlu tahu siapa yang memberi wewenang. CEO FIDO Alliance, Andrew Shikiar, dikutip Dashlane menyebut autentikasi terbuka yang tahan phishing sebagai cara memberi kepercayaan pada transaksi yang dijalankan agen. Kami pernah membahas sisi lain soal ini, yaitu batas akses untuk agen AI.
Banyak aplikasi di Indonesia, dari e-commerce, fintech, hingga aplikasi loyalitas ritel, masih bergantung pada password plus OTP lewat SMS atau WhatsApp. Kode OTP bisa diminta penipu lewat rekayasa sosial, biayanya terus berjalan per pengiriman, dan pengiriman yang gagal membuat pelanggan batal login. Passkey tidak menyelesaikan semua masalah, tetapi menutup salah satu celah yang paling sering dipakai.
Enam langkah praktis yang bisa dimulai:
MarkasDev bekerja sebagai Technology Partner untuk keandalan operasional, dalam tiga fase:
Jika login dan OTP masih menjadi sumber keluhan pelanggan atau biaya yang terus naik, jadwalkan sesi Diagnose untuk memetakan jalan menuju login tanpa password.
Trellix Wise for Private Cloud GA 15 Okt 2026: AI untuk SOC di dalam batas Anda. Survei 600 CISO: 95% alami insiden insider terkait AI, biaya rata-rata 2,4 juta dolar. Lima langkah untuk bisnis.
Sejak 11 Agustus 2026, pedoman aset TIK dan layanan SPBE berlaku. Instansi pusat dan pemda punya waktu sampai 11 Agustus 2027 untuk menyesuaikan. Enam langkah operasional yang bisa dimulai sekarang.
