Seorang staf keuangan menerima email yang tampak resmi, lalu mengetik kata sandi akun kantornya di halaman login palsu. Beberapa menit kemudian, penyerang sudah masuk ke sistem dan membuka data transaksi perusahaan.
Kasus seperti ini mendorong banyak layanan meninggalkan kata sandi. Pada Mei 2026, FIDO Alliance memperkirakan sekitar 5 miliar passkey sudah aktif digunakan di seluruh dunia.
Angka sebesar itu memunculkan pertanyaan baru bagi tim IT dan pemilik bisnis: apa bedanya WebAuthn vs passkeys, dan mana yang perlu dipilih? Dua istilah ini sering dipakai bergantian, padahal keduanya berada di lapisan yang berbeda.
Apa Itu WebAuthn?
WebAuthn (Web Authentication) adalah standar teknis untuk login tanpa kata sandi di web. Standar ini disusun oleh W3C bersama FIDO Alliance, dan sudah didukung browser utama seperti Chrome, Safari, Firefox, dan Edge.
Cara kerjanya memakai kriptografi kunci publik. Saat Anda mendaftar, perangkat membuat sepasang kunci: kunci privat tetap berada di perangkat, sedangkan kunci publik dikirim ke server situs.
Saat login, server mengirim tantangan acak. Perangkat menandatanganinya dengan kunci privat, lalu server memeriksa tanda tangan itu memakai kunci publik.
Kunci privat tidak pernah meninggalkan perangkat. Jadi tidak ada rahasia yang bisa dicuri dari server, dan tidak ada kata sandi yang bisa diketik ke halaman palsu.
Setiap kunci juga terikat pada alamat situs aslinya. Halaman login tiruan tidak akan bisa meminta perangkat menandatangani tantangan, sehingga serangan phishing gagal sejak awal.
Sebagai contoh, sebuah toko online memakai WebAuthn agar pelanggan bisa login dengan sensor sidik jari di laptop. Pelanggan cukup menempelkan jari, tanpa mengetik apa pun.
Perangkat atau alat yang memegang kunci disebut authenticator, misalnya sensor biometrik bawaan ponsel atau kunci keamanan USB. WebAuthn mengatur cara browser dan server berbicara dengan authenticator tersebut.
Apa Itu Passkeys?
Passkey adalah kredensial login tanpa kata sandi yang dibangun di atas WebAuthn. Bagi pengguna, passkey terlihat sederhana: masuk ke akun dengan sidik jari, pengenalan wajah, atau PIN perangkat.
Bedanya dengan kunci WebAuthn biasa terletak pada kemudahan membawanya. Banyak passkey bisa disinkronkan lewat layanan seperti iCloud Keychain atau Google Password Manager, dengan enkripsi di sepanjang prosesnya.
Ganti ponsel tidak lagi berarti kehilangan akses. Passkey ikut berpindah ke perangkat baru selama Anda masuk ke akun penyedia yang sama.
Passkey juga bisa dipakai lintas perangkat. Anda dapat login di komputer lain dengan memindai kode QR memakai ponsel.
Bayangkan seorang pengguna mendaftar di aplikasi belanja lewat ponsel, lalu membuka situs yang sama di laptop kantor. Ia cukup memindai kode QR dan mengonfirmasi dengan wajahnya.
Jadi WebAuthn adalah standar teknisnya, sedangkan passkey adalah kredensial yang benar-benar dipakai pengguna sehari-hari. Keduanya tidak bersaing. Passkey berjalan di atas WebAuthn.
6 Perbedaan WebAuthn vs Passkeys yang Perlu Dipahami
Setelah memahami definisi masing-masing, kini perbedaannya bisa dilihat lebih jelas. Enam poin berikut membantu Anda membedakan peran keduanya sebelum menyusun rencana penerapan.
1. Standar Teknis vs Kredensial Pengguna
WebAuthn adalah spesifikasi yang mengatur cara browser, server, dan authenticator saling berkomunikasi. Passkey adalah kredensial hasil dari aturan itu, yaitu kunci login yang dimiliki pengguna.
Sebagai gambaran, WebAuthn mirip standar soket listrik. Passkey adalah kabel pengisi daya yang Anda colokkan ke soket itu.
2. Pengembang vs Pengguna Akhir
Pengembang berurusan langsung dengan WebAuthn karena merekalah yang menulis kode pendaftaran dan verifikasi di aplikasi. Pengguna akhir tidak pernah melihat istilah ini. Mereka hanya mengenal passkey, biasanya lewat tombol “Buat passkey” saat mendaftar.
Sebagai contoh, tim developer aplikasi pembayaran memanggil API browser untuk membuat dan memeriksa kunci. Pelanggannya hanya mengetuk tombol dan memindai wajah.
3. Cara Penyimpanan Kunci
Pada implementasi WebAuthn klasik, kunci privat sering terkunci di satu perangkat, misalnya kunci keamanan USB. Passkey umumnya bisa disinkronkan lewat akun penyedia platform dan tetap terenkripsi.
Kunci USB yang tertinggal di kantor tidak bisa dipakai untuk login dari rumah. Passkey yang tersimpan di akun Google atau Apple tetap bisa dipakai dari ponsel atau laptop lain.
4. Pemulihan Akses saat Perangkat Hilang
Kunci yang terikat pada satu perangkat membawa risiko: pemilik bisa terkunci dari akunnya jika perangkat itu hilang. Karena itu, penerapan WebAuthn murni biasanya meminta pengguna mendaftarkan minimal dua authenticator. Passkey yang disinkronkan memperkecil risiko ini karena kuncinya ikut pulih bersama akun penyedia.
Seorang karyawan kehilangan ponsel saat perjalanan dinas. Dengan passkey tersinkronisasi, ia bisa login ke laptop baru setelah memulihkan akun Apple atau Google miliknya.
5. Pengalaman Login Lintas Perangkat
WebAuthn menyediakan mekanisme dasarnya, tetapi kenyamanan lintas perangkat bergantung pada cara platform mengemasnya. Passkey sudah menyertakan fitur seperti login lewat kode QR dan koneksi Bluetooth jarak dekat.
Anda hendak masuk ke komputer bersama di ruang rapat. Pilih opsi memakai ponsel, pindai kode QR, lalu konfirmasi dengan sidik jari di ponsel.
6. Tanggung Jawab Implementasi
Menerapkan WebAuthn berarti membangun dan memelihara alur kriptografi di sisi server, termasuk penyimpanan kunci publik dan validasi tantangan. Menawarkan passkey menuntut keputusan produk tambahan: kapan menawarkannya, bagaimana pemulihannya, dan apa yang terjadi jika pengguna menolak.
Bayangkan sebuah marketplace yang sudah mengaktifkan WebAuthn di backend. Jika tombol ajakan membuat passkey tidak pernah ditampilkan kepada pelanggan, fitur itu nyaris tidak dipakai.
Ringkasan Perbedaan dalam Tabel
Enam poin di atas bisa dirangkum dalam satu tampilan agar lebih mudah dibandingkan. Simpan tabel ini sebagai acuan cepat saat berdiskusi dengan tim teknis.
| Aspek | WebAuthn | Passkeys |
|---|---|---|
| Jenis | Standar teknis web | Kredensial login berbasis standar FIDO |
| Pengguna utama | Pengembang dan tim IT | Pengguna akhir |
| Penyimpanan kunci | Sering terikat satu perangkat | Umumnya bisa disinkronkan antarperangkat |
| Pemulihan akses | Perlu authenticator cadangan | Ikut pulih bersama akun penyedia |
| Login lintas perangkat | Bergantung pada implementasi | Tersedia lewat kode QR dan Bluetooth |
| Fokus kerja | Alur kriptografi di server | Desain pengalaman dan kebijakan produk |
Tabel ini menunjukkan bahwa WebAuthn berada di sisi teknis, sedangkan passkey berada di sisi pengalaman pengguna. Bisnis perlu menyiapkan keduanya agar login tanpa kata sandi berjalan aman dan tetap mudah dipakai.
5 Rekomendasi Menerapkan WebAuthn dan Passkeys di Bisnis
Memahami perbedaannya baru separuh pekerjaan. Lima rekomendasi berikut membantu tim Anda menerapkan keduanya tanpa membuat pengguna kebingungan atau menciptakan celah baru.
1. Mulai dari Akun Berisiko Tinggi
Tidak semua akun perlu perlindungan yang sama sejak hari pertama. Akun administrator, keuangan, DevOps, dan akses ke data pelanggan layak mendapat giliran lebih dulu.
Perusahaan logistik, misalnya, mewajibkan passkey untuk tim keuangan yang mengelola pembayaran vendor. Karyawan lain menyusul secara bertahap.
2. Sediakan Metode Login Cadangan selama Masa Transisi
Tidak semua pengguna memakai perangkat yang mendukung passkey. Sebagian masih memegang ponsel lama atau browser yang belum diperbarui.
Pada aplikasi layanan kesehatan, pasien lansia dengan ponsel lama tetap bisa masuk memakai kode OTP. Opsi itu bisa dihapus setelah mayoritas pengguna berpindah.
3. Rancang Alur Pemulihan Akun Sejak Awal
Pemulihan akun sering menjadi titik terlemah. Penyerang cukup memakai fitur lupa akses jika prosesnya longgar, dan seluruh keunggulan passkey ikut hilang.
Jika pemulihan hanya meminta jawaban pertanyaan keamanan, penyerang bisa menebaknya dari data di media sosial. Verifikasi identitas berlapis jauh lebih aman.
4. Gunakan Pustaka yang Sudah Teruji
Menulis verifikasi WebAuthn dari nol rawan salah, sebab satu kekeliruan validasi saja bisa membuka celah. Pustaka sumber terbuka seperti SimpleWebAuthn untuk JavaScript sudah menangani detail teknis tersebut.
Tim backend Node.js dapat memasang pustaka itu dan fokus pada logika bisnis. Waktu pengembangan lebih singkat, risiko salah implementasi pun mengecil.
5. Edukasi Pengguna dengan Bahasa Sederhana
Istilah seperti kunci publik tidak akan menenangkan pengguna awam. Jelaskan manfaatnya, bukan mekanismenya.
Tulis “Masuk lebih cepat dengan sidik jari, tanpa kata sandi” pada tombol pendaftaran. Kalimat ini lebih mudah dipahami daripada “Daftarkan kredensial WebAuthn”.
Kesimpulan WebAuthn vs Passkeys
WebAuthn adalah standar teknis yang mengatur cara login tanpa kata sandi bekerja di web. Passkey adalah bentuk kredensial yang dipakai pengguna, dan ia berjalan di atas standar tersebut.
Pertanyaannya bukan memilih salah satu. Bisnis membutuhkan dukungan WebAuthn di sisi server agar passkey bisa dipakai pelanggan, dan keberhasilannya ditentukan oleh alur pemulihan serta cara mengenalkannya kepada pengguna.
Siap Mengelola Identitas Digital sebagai Strategi Keamanan Bisnis?
Request demo sekarang dan pelajari bagaimana solusi IAM membantu memusatkan proses login pengguna melalui Single Sign-On (SSO), mengotomatisasi onboarding karyawan, serta melindungi data perusahaan dari akses tidak sah tanpa mengganggu produktivitas akibat login berulang.
FAQ
Tidak sama. WebAuthn adalah standar teknis yang dipakai pengembang, sedangkan passkey adalah kredensial login yang dibangun di atas standar tersebut dan dipakai oleh pengguna akhir.
Umumnya ya. Passkey terikat pada alamat situs asli dan tidak bisa diketik ke halaman palsu, sehingga serangan phishing yang mencuri kata sandi tidak berlaku.
Jika passkey Anda disinkronkan lewat akun seperti Google atau Apple, kunci itu bisa dipulihkan di perangkat baru setelah Anda masuk ke akun tersebut.
