Passkeys: så fungerar inloggning utan lösenord

En passkey är ett sätt att logga in utan lösenord. I stället för något du skriver in använder tjänsten ett kryptografiskt nyckelpar, och du bekräftar inloggningen med ansiktet, fingret eller enhetens kod. Den hemliga nyckeln lämnar aldrig din enhet eller lösenordshanterare, så det finns inget som kan fiskas ut på en falsk sida eller läcka från tjänstens databas. På svenska kallar både Apple och Google passkeys för nycklar.

Så fungerar en inloggning med passkey

1. Du skapar en passkey. Tjänsten ber din enhet att skapa ett nyckelpar för just den webbadressen. Den hemliga nyckeln sparas på enheten eller i din lösenordshanterare, och den publika nyckeln skickas till tjänsten.
2. Du loggar in. Tjänsten skickar en slumpmässig utmaning till din enhet.
3. Du låser upp med biometri eller kod. Enheten signerar utmaningen med den hemliga nyckeln. Fingeravtrycket eller ansiktet lämnar aldrig enheten.
4. Tjänsten kontrollerar signaturen med den publika nyckeln. Stämmer den är du inloggad.

Tekniken bygger på de öppna standarderna FIDO2 och WebAuthn från FIDO Alliance och W3C. Apple, Google och Microsoft stöder dem i sina operativsystem och webbläsare.

Varför passkeys är säkrare än lösenord

Hot	Lösenord	Passkey
Nätfiske	Du kan luras att skriva in det på en falsk sida	Fungerar bara på den riktiga webbadressen
Dataintrång hos tjänsten	Läckta lösenord kan knäckas och användas	Tjänsten har bara den publika nyckeln, som inte räcker för att logga in
Återanvändning	Samma lösenord på flera sajter sprider skadan	Varje tjänst får ett eget nyckelpar
Gissning	Korta och vanliga lösenord kan gissas	Nyckeln går inte att gissa
Sms-koder som fångas upp	Engångskoder kan luras ur dig	Det finns ingen kod att lämna ut

Hur långt ett lösenord behöver vara för att stå emot gissning går vi igenom i Hur långt ska ett lösenord vara?

Behövs tvåfaktorsinloggning ändå?

En passkey är i sig två faktorer: något du har (enheten med nyckeln) och något du är eller vet (ansiktet, fingret eller koden som låser upp den). Den amerikanska standarden NIST SP 800-63B-4 godtar synkade passkeys på nivå AAL2, som kräver två faktorer. För den högsta nivån, AAL3, krävs nycklar som inte kan kopieras, till exempel en fysisk säkerhetsnyckel.

Synkade nycklar och säkerhetsnycklar

Typ	Var nyckeln finns	Passar för
Synkad passkey	I iCloud-nyckelringen, Googles lösenordshanterare eller en fristående lösenordshanterare, på alla dina enheter	De flesta privatpersoner. Du förlorar inte nyckeln om du byter telefon
Enhetsbunden passkey	Bara på en enhet, och kan inte kopieras	Arbetskonton med höga krav
Fysisk säkerhetsnyckel	I en liten FIDO2-nyckel för USB eller NFC, till exempel YubiKey	Konton som behöver extra skydd, och som reserv

Du kan också använda en passkey från en annan enhet. Loggar du in på en lånad dator kan du skanna en QR-kod med telefonen och godkänna inloggningen där. Bluetooth måste vara påslaget, eftersom telefonen och datorn ska vara nära varandra.

Vad behöver jag?

Enligt Google behövs följande för att använda nycklar med ett Google-konto. Kraven är ungefär desamma hos andra tjänster.

Enhet eller webbläsare	Lägsta version
iPhone och iPad	iOS 16
Android	Android 9
Mac	macOS Ventura
Windows	Windows 10
ChromeOS	109
Chrome och Edge	109
Safari	16
Firefox	122

Tjänster som har stöd för passkeys

Stödet växer snabbt, men listor på nätet är ofta inaktuella. Här är tjänster där vi har kontrollerat stödet i en källa. Saknas en tjänst betyder det inte att den saknar stöd, bara att vi inte har kunnat bekräfta det.

Tjänst	Passkey	Kommentar
Google-konto	Ja	Heter ”nycklar” i svenska Google. Kan också sparas på en FIDO2-säkerhetsnyckel
Apple (iCloud-nyckelring och appen Lösenord)	Ja	Sparar nycklar för webbplatser och appar och synkar dem mellan Apple-enheter
Microsoft Entra ID (jobb- och skolkonton)	Ja	Standardmetod sedan 1 september 2026
Mynt (svensk företagskortstjänst)	Ja	Stöd sedan augusti 2025, läggs till under säkerhetsinställningarna
Bitwarden (lösenordshanterare)	Ja	Kan spara nycklar och flytta dem till och från Apples Lösenord
Amazon, PayPal, GitHub och LinkedIn	Ja	Läggs till under konto- eller säkerhetsinställningarna

Passkeys och BankID

BankID är också en inloggning utan lösenord och används överallt i Sverige, men det är en e-legitimation som din bank utfärdar och som är kopplad till ditt personnummer. En passkey är en öppen standard som vilken webbtjänst som helst kan använda, och den säger ingenting om vem du är, bara att det är samma person som skapade kontot. De kompletterar varandra: BankID när du behöver styrka din identitet, passkeys för vanliga konton som e-post, sociala medier och webbutiker.

Microsoft ändrar inloggningen på jobbet

Använder du ett Microsoft-konto från jobbet eller skolan har du troligen fått frågan om att skapa en passkey. Sedan 1 september 2026 är passkeys standardmetoden i Microsoft Entra ID, och användare uppmanas att registrera en när de loggar in. 1 februari 2027 upphör Microsofts egna sms- och röstsamtal för inloggning för de flesta användare. Organisationer som fortfarande vill använda sms måste då ha en egen teleoperatör kopplad.

Så skapar du en passkey

iPhone, iPad och Mac

1. Kontrollera att iCloud-nyckelring är påslagen. Den krävs för att skapa nycklar.
2. Logga in på tjänsten och välj att skapa en nyckel, ofta under konto- eller säkerhetsinställningarna. Erbjuder tjänsten det vid inloggning, tacka ja.
3. Bekräfta med Face ID, Touch ID eller enhetens kod. Nyckeln syns sedan i appen Lösenord.

Android

1. Logga in på tjänsten i Chrome eller i dess app och välj att skapa en nyckel.
2. Bekräfta med fingeravtryck, ansikte eller skärmlås. Nyckeln sparas i Googles lösenordshanterare och synkas till dina andra enheter med samma Google-konto.

Windows

1. Logga in på tjänsten i webbläsaren och välj att skapa en nyckel.
2. Bekräfta med Windows Hello, alltså ansikte, fingeravtryck eller PIN-kod. Du kan också välja att spara nyckeln på telefonen genom att skanna en QR-kod, eller på en säkerhetsnyckel.

Behåll lösenordet som reserv tills vidare, och se till att det är långt och unikt. Behöver du ett nytt kan du skapa det i vår lösenordsgenerator.

Jag tappade telefonen. Vad gör jag?

1. Var nycklarna synkade? Ja: de finns kvar på dina andra enheter och kommer tillbaka på en ny telefon när du loggar in med samma Apple- eller Google-konto. Nej, de låg bara på telefonen: logga in på tjänsterna med lösenord, reservkoder eller en annan metod och skapa nya nycklar.
2. Ta bort nyckeln för den förlorade telefonen. Google rekommenderar att du loggar in på Google-kontot från en annan enhet och tar bort nyckeln som hörde till den borttappade telefonen.
3. Spärra eller radera telefonen via Hitta (Apple) eller Hitta min enhet (Google).
4. Skydda huvudkontot. Apple- eller Google-kontot som synkar nycklarna är nu din viktigaste inloggning. Ge det ett långt, unikt lösenord och reservkoder som du förvarar säkert.

Nackdelar att känna till

• Inlåsning. Nycklar har länge varit svåra att flytta mellan Apple, Google och andra lösenordshanterare. FIDO Alliance har därför tagit fram standarder för att föra över nycklar krypterat. Apple har stöd för dem sedan iOS 26, iPadOS 26 och macOS 26, och Bitwarden var en av de första lösenordshanterarna som följde efter. Båda leden måste ha stöd för att en flytt ska fungera.
• Återställning. Tappar du både enheten och åtkomsten till kontot som synkar nycklarna kan det bli krångligt att komma in igen. Spara reservkoder.
• Delade enheter. Den som kan låsa upp din telefon eller dator kan också använda nycklarna på den. Dela inte enhetens kod.
• Inte överallt än. Många tjänster har fortfarande bara lösenord och tvåfaktorsinloggning, och vissa använder passkeys bara som andra steg.

Vanliga frågor om passkeys

Vad heter passkeys på svenska?

Apple och Google använder ordet nyckel, i plural nycklar. Många tjänster skriver ändå passkey, även på svenska.

Ska jag ta bort lösenordet när jag har en passkey?

Inte förrän du har nycklar på minst två enheter, eller en säkerhetsnyckel som reserv. Behåll annars ett långt, unikt lösenord och tvåfaktorsinloggning som reserv.

Kan någon med mitt fingeravtryck använda min passkey?

Biometrin låser bara upp nyckeln på din egen enhet. Någon måste alltså ha både enheten och kunna låsa upp den.

Ser tjänsten mitt fingeravtryck?

Nej. Fingeravtrycket eller ansiktet används bara lokalt för att låsa upp nyckeln. Tjänsten får bara en signatur.

Fungerar passkeys på en dator som inte är min?

Ja. Välj att logga in med en nyckel från en annan enhet, skanna QR-koden med telefonen och godkänn där. Ingen nyckel sparas på den lånade datorn.

Källor

• Google-konto Hjälp: Logga in med en nyckel i stället för ett lösenord
• Apple-support: Logga in på ett konto på datorn med en nyckel
• NIST: SP 800-63B-4, avsnitt om synkbara autentiserare (2025)
• Microsoft 365 Message Center MC1426371: Passkeys by default and retirement of Microsoft-provided SMS and voice authentication (13 juli 2026, uppdaterad 15 september 2026)
• Mynt Hjälpcenter: Logga in med passkeys (29 augusti 2025)
• Business Wire: Bitwarden leads FIDO Alliance Credential Exchange Standards for passkey portability on iOS 26 (15 september 2025)
• heise: Apple promises passkey export function (juni 2025)
• Lock.pub: Hur du ställer in passkeys (2026)
• Passkeys.com: Vad är passkeys?