מפתחות גישה Passkeys הם דרך להתחבר לחשבון בלי סיסמה: המכשיר שומר מפתח ייחודי לכל אתר או אפליקציה, ואתם מאשרים את הכניסה בטביעת אצבע, בזיהוי פנים או בקוד הנעילה של המכשיר. אין סיסמה שאפשר לגנוב או להקליד באתר מזויף, ולכן מפתח גישה עמיד הרבה יותר בפני פישינג.
מה זה מפתח גישה, במילים פשוטות?
במקום סיסמה שאתם זוכרים ומקלידים, המכשיר יוצר עבורכם מפתח דיגיטלי שקשור לחשבון ולאתר המסוים. Google כותבת שאי אפשר לשתף מפתח גישה, להעתיק אותו, לרשום אותו או למסור אותו בטעות למישהו, ולכן הוא עמיד יותר בפני פישינג. כדי להשתמש בו פותחים את נעילת המכשיר, והמידע הביומטרי נשאר במכשיר.
השם בעברית משתנה בין החברות: Google משתמשת ב"מפתח גישה", ו-Apple קוראת לאותו דבר "מפתח התחברות". מדובר באותו תקן, שלפי PayPal פותח על ידי FIDO Alliance וארגון W3C, ו-Amazon מציינת שהוא עובד ברוב הפלטפורמות והדפדפנים הגדולים.
בפועל זה נראה כך: אתם מקישים על שם המשתמש, הטלפון מבקש טביעת אצבע או קוד, והכניסה מושלמת. PayPal מסבירה שכל מפתח קשור לזהות של אתר או אפליקציה מסוימים. לכן אתר מזויף עם כתובת דומה לא יכול לקבל אותו, גם אם נראה בדיוק כמו המקורי.
איך מפעילים מפתח גישה בכל פלטפורמה
לפי Google, יוצרים את מפתח הגישה על המכשיר שבו תשתמשו בו:
- היכנסו לכתובת myaccount.google.com/signinoptions/passkeys.
- הקישו על "יצירת מפתח גישה" ואשרו שוב.
- פתחו את נעילת המכשיר בטביעת אצבע, בזיהוי פנים או בקוד.
- לניהול: בחשבון Google עוברים אל "אבטחה וכניסה", ותחת "אופן הכניסה לחשבון Google" בוחרים "מפתחות גישה ומפתחות אבטחה".
Google מציינת שבמכשירי Android שמחוברים לחשבון ייתכן שכבר נוצרו לכם מפתחות גישה אוטומטית, ושגם אחרי יצירת מפתח אפשר עדיין להיכנס עם סיסמה.
Apple (iPhone, iPad ו-Mac)
Apple שומרת מפתחות התחברות ב"צרור המפתחות של iCloud", ולשם כך צריך להפעיל אותו וגם אימות בשני גורמים. כשאתר או אפליקציה מציעים לשמור מפתח התחברות, מקישים על "המשך". המפתחות מופיעים ביישום "סיסמאות", והכניסה נעשית ב-Face ID, ב-Touch ID או בקוד המכשיר.
Microsoft
לפי Microsoft, נכנסים ל-account.live.com/proofs/manage, בוחרים Add a new way to sign in or verify ואז Face, Fingerprint, PIN, or Security Key, ובוחרים איפה לשמור את המפתח. Microsoft גם הודיעה שתתחיל להפסיק בהדרגה את השימוש ב-SMS לאימות ולשחזור בחשבונות אישיים.
וואטסאפ
WhatsApp כותבת בבלוג הרשמי שמפעילים דרך Settings, Account ו-Passkeys. מי שמשתמש גם ב-Android וגם ב-iOS יכול להוסיף יותר ממפתח אחד לאותו חשבון.
פייסבוק, מסנג'ר ואינסטגרם
לפי מרכז העזרה של פייסבוק, ייתכן שתתבקשו ליצור מפתח גישה כש-Meta צריכה לאשר שזה אתם, למשל בהתחברות. מנהלים אותו במרכז החשבונות, תחת "סיסמה ואבטחה" ו-Passkey. באייפון נדרשים iPhone 8 ומעלה עם iOS 16 ומעלה, ו-iCloud עם אימות דו-שלבי. ב-Android נדרשים Android 9 ומעלה ונעילת מסך. המפתח משמש גם במסנג'ר, וב-2026 Meta הודיעה שהוא עובד גם באינסטגרם.
Amazon ו-PayPal
ב-Amazon: Your Account, Login & security, ולחיצה על Set up ליד Passkeys. Amazon מציינת שאפשר ליצור מפתח אחד לכל ספק מפתחות, ושבאתרי Amazon של מדינות אחרות צריך מפתח נפרד. ב-PayPal, מרכז העזרה לישראל מציין שהאפשרות זמינה לחשבונות אישיים ופרימיום זכאים, ונוצרת מטלפון נעול בדפדפן Chrome או Safari.
ומה קורה אם הטלפון אבד?
ברוב המקרים המפתחות לא הולכים לאיבוד יחד עם הטלפון, כי הם מסונכרנים לחשבון הענן שלכם:
- Apple: מפתחות ההתחברות מסונכרנים בצרור המפתחות של iCloud בהצפנה מקצה לקצה. Apple כותבת שאפשר לשחזר אותם גם אם כל המכשירים אבדו, בתנאים מחמירים.
- Google: מפתחות שנשמרו במנהל הסיסמאות של Google זמינים בכל מכשיר שמחובר ל-Chrome או ל-Android עם אותו חשבון Google. אם מכשיר אבד, Google ממליצה להסיר את מפתח הגישה שלו מהחשבון.
- PayPal: לפי PayPal, אם המכשיר אבד או נגנב עדיין אפשר להיכנס עם סיסמה או קוד חד-פעמי, ולהסיר את המפתח מהחשבון.
- פייסבוק: הסרת מפתח היא סופית, ואחריה חוזרים לשיטות הכניסה האחרות, כמו סיסמה.
השוואה: סיסמה, קוד SMS, אפליקציית אימות ומפתח גישה
| שיטה | מה התוקף צריך כדי להיכנס | עמידות בפני פישינג |
|---|---|---|
| סיסמה בלבד | רק את הסיסמה, שאפשר לגנוב באתר מזויף או בדליפה | נמוכה |
| קוד SMS | סיסמה וגם את הקוד, שאפשר להוציא מכם באתר מזויף או להשיג בהשתלטות על מספר הטלפון | חלקית |
| אפליקציית אימות | סיסמה וגם קוד מהאפליקציה, שעדיין אפשר להקליד באתר מזויף | טובה יותר, לא מלאה |
| מפתח גישה | את המכשיר שלכם פתוח, כי אין קוד או סיסמה שאפשר למסור | גבוהה |
על הסכנה שבקודי SMS קראו במדריך SIM Swap: כיצד גונבים את מספר הטלפון. אם עדיין אין לכם הגנה נוספת בכלל, התחילו עם המדריך לאימות דו-שלבי.
מה מפתח גישה לא פותר
מפתח גישה מגן על רגע ההתחברות. הוא לא מגן על הפעלה שכבר פתוחה: אם נוזקה גונבת את עוגיית ההפעלה מהדפדפן אחרי שנכנסתם, התוקף יכול להשתמש בה בלי מפתח ובלי סיסמה. הסבר מלא במאמר Cookie Hijacking: גניבת עוגיות דפדפן שעוקפת סיסמה.
טעויות נפוצות
- ליצור מפתח גישה במחשב ציבורי או משותף. Meta ממליצה לא לעשות זאת.
- למסור למישהו את קוד הנעילה של הטלפון. המפתח נפתח באותו קוד.
- להסיר את שיטות השחזור הישנות לפני שבדקתם שהמפתח עובד בכל המכשירים שלכם.
- לסרוק קוד QR להתחברות שלא אתם יזמתם.
- להניח שמפתח גישה אחד מגן על כל החשבונות. צריך ליצור מפתח בכל שירות בנפרד.
מה שונה בישראל
כשמחפשים מפתחות גישה Passkeys בממשקים בעברית, תפגשו שני שמות: "מפתח גישה" אצל Google ו"מפתח התחברות" אצל Apple. לא מדובר בשני דברים שונים. מרכז העזרה של PayPal לישראל מתייחס במפורש למפתחות גישה, ו-Amazon מציינת שמפתח שיצרתם באתר אחד שלה לא יעבוד אוטומטית באתר של מדינה אחרת, למשל Amazon.co.uk.
אם החשבון כבר נפרץ, מפתח גישה לא יחזיר אותו. במקרה כזה פועלים לפי מסלול השחזור הרשמי של הפלטפורמה, ואפשר גם לשקול דיווח למערך הסייבר הלאומי במוקד 119.
שאלות נפוצות
אם יש לי מפתח גישה, הסיסמה עדיין עובדת?
ברוב השירותים כן. Google כותבת שגם אחרי יצירת מפתח גישה אפשר להיכנס עם הסיסמה, ו-Amazon מציינת אותו דבר. לכן הסיסמה עדיין צריכה להיות חזקה וייחודית, ואימות דו-שלבי נשאר חשוב כשכבת הגנה נוספת לצד מפתח הגישה. כדאי לבדוק בהגדרות של כל שירות אילו שיטות כניסה פעילות.
מה קורה אם הטלפון שלי נגנב?
מי שגנב את הטלפון צריך גם לפתוח את הנעילה שלו כדי להשתמש במפתח. PayPal, למשל, מציינת שאי אפשר לגשת לחשבון בלי לפתוח קודם את המכשיר שאבד. היכנסו לחשבון ממכשיר אחר והסירו את המפתח של הטלפון הגנוב, כפי ש-Google ממליצה.
החברות רואות את טביעת האצבע שלי?
לא. לפי Google, המידע הביומטרי נשאר במכשיר. Meta כותבת שטביעת אצבע או סריקת פנים לעולם אינן משותפות איתה, ו-Amazon מציינת שמפתחות הגישה והמידע הביומטרי לא נמסרים לה. Apple כותבת שמפתחות ההתחברות מוצפנים כך שאף אחד, כולל Apple, לא יכול לראות אותם.
מפתח גישה מגן גם מפני גניבת עוגיות דפדפן?
לא. מפתח גישה מגן על שלב ההתחברות, אבל אם נוזקה גונבת את עוגיית ההפעלה אחרי שכבר נכנסתם, התוקף יכול להשתמש בה בלי מפתח. לכן חשוב לשמור על מכשיר נקי ומעודכן, ולנתק הפעלות לא מוכרות ברשימת ההתחברויות של כל חשבון.
אפשר להשתמש באותו מפתח גישה בכמה מכשירים?
כן, אם הוא מסונכרן. מפתחות ב-iCloud זמינים בכל המכשירים שמחוברים לאותו חשבון Apple, ומפתחות במנהל הסיסמאות של Google זמינים בכל מכשיר Android או Chrome עם אותו חשבון Google. ב-Amazon אפשר מפתח אחד לכל ספק, ובוואטסאפ אפשר להוסיף כמה מפתחות.
צריכים עזרה?
אם כבר איבדתם גישה לחשבון, SecureBack יכולה לבחון את המקרה איתכם, ואנחנו מציעים בדיקה ראשונית ללא עלות. אנחנו אף פעם לא מבקשים סיסמאות, קודי אימות או גישה למכשיר, ועובדים רק דרך הערוצים הרשמיים של הפלטפורמה. ההחלטה הסופית היא של הפלטפורמה, ולכן אין התחייבות לתוצאה.
אפשר לכתוב לנו ב-וואטסאפ או להתקשר ל-054-3001016. פרטים נוספים בעמוד ליווי בשחרור חשבון פייסבוק.