Passkey คืออะไร ตั้งให้บัญชี Google ใน 10 นาที: เข้าระบบด้วยนิ้วหรือหน้า แทนรหัสผ่าน

อีเมลแจ้งว่า "บัญชีของคุณจะถูกระงับ กดยืนยันที่นี่" หน้าเว็บที่เปิดขึ้นมาหน้าตาเหมือนหน้าเข้าระบบจริงทุกอย่าง เราพิมพ์รหัสผ่านลงไป แล้วรหัสผ่านก็ไปอยู่ในมือคนอื่น

passkey (พาสคีย์) ปิดช่องโหว่นี้ได้ เพราะ passkey ไม่ใช่สิ่งที่เราพิมพ์ เราแค่ปลดล็อกโทรศัพท์ด้วยนิ้ว ใบหน้า หรือ PIN แบบที่ทำอยู่ทุกวัน และ passkey จะไม่ทำงานบนเว็บปลอม

บทความนี้อธิบายว่า passkey คืออะไร ต่างจากรหัสผ่านกับการยืนยัน 2 ขั้นตอนอย่างไร พาตั้งให้บัญชี Google ทีละขั้น และบอกว่าถ้าโทรศัพท์หายจะเกิดอะไรขึ้น

ข้อมูล ณ ตุลาคม 2569 จากหน้าช่วยเหลือของ Google, Apple และ FIDO Alliance (องค์กรที่วางมาตรฐาน passkey) ชื่อปุ่มบนหน้าจออาจต่างไปตามรุ่นเครื่องและภาษา

Passkey คืออะไร: กุญแจอยู่ในเครื่องเรา แม่กุญแจอยู่ที่เว็บ

FIDO Alliance อธิบายไว้ว่า เมื่อสร้าง passkey ให้เว็บหนึ่ง เครื่องเรากับเว็บนั้นจะได้คนละครึ่งของคู่ที่เข้ากันพอดี เครื่องเราถือกุญแจ ส่วนเว็บถือแม่กุญแจ ตอนเข้าระบบ ทั้งสองฝั่งจะเช็กว่ากุญแจไขแม่กุญแจได้หรือไม่ ถ้าได้ก็เข้าระบบได้

สิ่งที่เราต้องทำมีแค่ปลดล็อกเครื่องตามปกติ Google และ FIDO Alliance ระบุว่าข้อมูลลายนิ้วมือหรือใบหน้า อยู่ในเครื่องเรา ไม่ถูกส่งให้ Google

รหัสผ่าน การยืนยัน 2 ขั้นตอน และ passkey ต่างกันตรงไหน

Google เตือนเรื่องรหัสยืนยันไว้ 2 ข้อ คือ อย่าบอกรหัสยืนยันกับใคร เพราะมิจฉาชีพอาจใช้ยึดบัญชี และรหัสที่ส่งทาง SMS หรือโทรศัพท์ อาจถูกโจมตีผ่านเบอร์โทรศัพท์ได้ การยืนยัน 2 ขั้นตอนจึงช่วยให้บัญชีปลอดภัยขึ้น แต่ยังไม่ใช่วิธีที่ปลอดภัยที่สุด

FIDO Alliance นับว่า passkey เป็นการยืนยันหลายขั้นในตัว เพราะต้องมีทั้ง ของที่เรามี (เครื่อง) และ ตัวเรา หรือ สิ่งที่เรารู้ (นิ้ว หน้า หรือ PIN)

ทำไมเว็บปลอมจึงหลอก passkey ไม่ได้

passkey แต่ละตัวผูกกับเว็บเดียว และ เบราว์เซอร์กับระบบปฏิบัติการเป็นผู้เช็กว่าเป็นเว็บจริงหรือไม่ ไม่ต้องพึ่งสายตาเราว่าจะสังเกตชื่อเว็บแปลกๆ ทันหรือเปล่า FIDO Alliance เขียนว่าแม้เราจะกดลิงก์ปลอมไปแล้ว passkey ก็จะไม่พาเราเข้าระบบ

นี่คือความต่างที่สำคัญที่สุด รหัสผ่านปลอดภัยได้เท่ากับความระวังของเราในวันที่เหนื่อยที่สุด ส่วน passkey ไม่ต้องอาศัยความระวังตรงนั้น

แต่ passkey ดูแลแค่ขั้นตอนเข้าระบบ ทางกู้คืนบัญชี เช่น เบอร์โทรและอีเมลสำรอง ยังต้องดูแลเหมือนเดิม รายละเอียดอยู่ในหัวข้อ "ถ้าโทรศัพท์หาย" ด้านล่าง

ตั้ง passkey ให้บัญชี Google ทีละขั้น

เริ่มที่บัญชี Google เพราะคนส่วนใหญ่ใช้ Gmail เป็นอีเมลหลัก และ Google มีหน้าตั้งค่าที่ชัดเจน

เตรียมเครื่องก่อน 2 นาที

• เปิดล็อกหน้าจอ ถ้าเครื่องไม่มีล็อกหน้าจอ จะใช้ passkey ในเครื่องนั้นไม่ได้
• อัปเดตเครื่องและเบราว์เซอร์ Google ระบุรุ่นขั้นต่ำไว้ที่ Android 9, iOS 16, Windows 10 และ macOS Ventura ขึ้นไป
• iPhone, iPad และ Mac ต้องเปิด iCloud Keychain (พวงกุญแจ iCloud) ไว้ก่อน
• ใช้เครื่องของตัวเอง ไม่ใช่เครื่องที่ใช้ร่วมกับคนอื่น (เหตุผลอยู่ในหัวข้อ "ข้อควรรู้ก่อนเปลี่ยนมาใช้ passkey" ด้านล่าง)

ขั้นตอนสร้าง passkey

1. เปิด g.co/passkeys (หรือ myaccount.google.com/signinoptions/passkeys) แล้วเข้าระบบบัญชี Google
2. กด สร้างพาสคีย์
3. ปลดล็อกเครื่องด้วยนิ้ว หน้า หรือ PIN ตามที่หน้าจอบอก
4. ถ้ามีหลายเครื่อง ให้ทำซ้ำในเครื่องที่เหลือ หรือรอให้ระบบชวนสร้างตอนเข้าระบบครั้งถัดไป

เมื่อสร้างเสร็จ ครั้งหน้าที่เข้าบัญชี Google ระบบจะใช้ passkey ก่อนโดยไม่ถามรหัสผ่าน Google เรียกการตั้งค่านี้ว่า ข้ามรหัสผ่านเมื่อเป็นไปได้ ถ้าอยากให้ถามรหัสผ่านก่อนเหมือนเดิม ปิดได้ที่ ความปลอดภัยและการลงชื่อเข้าใช้

Google บอกไว้ด้วยว่า passkey ที่เพิ่งสร้าง อาจต้องรอถึง 7 วัน ก่อนจะใช้เข้าระบบได้ ระหว่างนั้นให้เข้าระบบด้วยวิธีเดิมไปก่อน ถ้ายังใช้ passkey ไม่ได้ในช่วงนี้ ก็ไม่ได้แปลว่าตั้งผิด

เข้าระบบบนคอมพิวเตอร์ที่ไม่มี passkey

บนคอมพิวเตอร์เครื่องอื่น ให้พิมพ์ชื่อบัญชี กด ลองวิธีอื่น แล้วกด ใช้พาสคีย์ หน้าจอจะแสดง QR โค้ด ให้สแกนด้วยโทรศัพท์ที่มี passkey (เปิดบลูทูธไว้) แล้วปลดล็อกโทรศัพท์

FIDO Alliance ระบุว่าเมื่อใช้วิธีนี้ passkey ยังอยู่ในโทรศัพท์ คอมพิวเตอร์ได้แค่สิทธิ์เข้าระบบครั้งนั้นเท่านั้น

ใช้ passkey กับเว็บและแอปอื่น

passkey ไม่ได้มีแค่ใน Google เว็บและแอปที่รองรับจะมีตัวเลือก "passkey" หรือ "พาสคีย์" ในหน้าตั้งค่าความปลอดภัย หรือชวนให้บันทึกตอนเข้าระบบ

บน iPhone คู่มือของ Apple บอกให้กด ดำเนินการต่อ (Continue) เมื่อเห็นตัวเลือกบันทึก passkey จากนั้น passkey จะไปอยู่ในแอป รหัสผ่าน (Passwords) ถ้าไม่เห็นตัวเลือกนี้ แปลว่าเว็บหรือแอปนั้นยังไม่รองรับ

บัญชีไหนควรทำก่อน

ถ้ามีเวลาน้อย ให้เรียงลำดับด้วยคำถามเดียว: ถ้าบัญชีนี้โดนยึด อะไรจะเสียหายตามไปบ้าง

1. อีเมลหลัก เพราะเวลากด "ลืมรหัสผ่าน" ทุกบัญชีจะส่งลิงก์มาที่อีเมลนี้ คนที่ยึดอีเมลได้จึงตั้งรหัสใหม่ให้บัญชีอื่นได้แทบทุกบัญชี
2. บัญชีที่ผูกกับโทรศัพท์ (บัญชี Google บน Android หรือ Apple Account บน iPhone) เพราะเป็นที่เก็บ passkey และรหัสผ่านอื่นๆ ด้วย
3. โปรแกรมจัดการรหัสผ่าน ถ้าใช้อยู่ โปรแกรมนี้คือกุญแจที่เปิดกุญแจทุกดอก
4. บัญชีที่เกี่ยวกับเงินและลูกค้า เช่น บัญชีผู้ดูแลเพจร้าน ร้านค้าออนไลน์ ระบบหลังบ้านของงาน
5. บัญชีโซเชียลส่วนตัว ซึ่งถ้าโดนยึด จะถูกใช้ส่งข้อความหลอกเพื่อนของเรา

บัญชีไหนยังไม่รองรับ passkey ให้เปิดการยืนยัน 2 ขั้นตอนแทน และถ้าเลือกได้ Google แนะนำให้ใช้ การแจ้งเตือนในโทรศัพท์ (Google prompt) หรือ security key (กุญแจความปลอดภัยแบบเสียบหรือแตะ) มากกว่ารหัสทาง SMS

ถ้าโทรศัพท์หาย เข้าบัญชีได้ไหม

ส่วนใหญ่เข้าได้ ถ้าเตรียม 3 อย่างนี้ไว้

1. passkey ซิงก์ไปกับบัญชีหลัก FIDO Alliance อธิบายว่า passkey มักสำรองไว้กับบัญชีหลักของเครื่อง เช่น บัญชี Google หรือ iCloud Keychain เมื่อได้เครื่องใหม่และเข้าบัญชีเดิม passkey จะกลับมา ส่วน Apple ระบุว่ากู้คืนได้แม้เครื่องจะหายหมดทุกเครื่อง แต่ต้องผ่านการยืนยันหลายขั้น

2. ทางกู้คืนเดิมยังอยู่ Google ระบุว่าการเพิ่ม passkey ไม่ได้ลบหรือเปลี่ยน วิธีเข้าระบบและวิธีกู้คืนที่มีอยู่ จึงควรตรวจว่าเบอร์โทรและอีเมลสำรองยังเป็นปัจจุบัน ถ้าเปิดการยืนยัน 2 ขั้นตอนไว้ Google ให้พิมพ์หรือดาวน์โหลด รหัสสำรอง ไปเก็บไว้ในที่ปลอดภัยได้

3. ลบ passkey ของเครื่องที่หาย เข้าบัญชี Google จากเครื่องอื่น ไปที่ ความปลอดภัยและการลงชื่อเข้าใช้ แล้วเข้าไปที่ พาสคีย์และคีย์ความปลอดภัย จากนั้นนำ passkey ของเครื่องนั้นออก

กติกาง่ายๆ ที่เราใช้: บัญชีสำคัญต้องมีทางเข้าอย่างน้อย 2 ทางที่ไม่ได้อยู่ในเครื่องเดียวกัน เช่น passkey ในโทรศัพท์ คู่กับเบอร์หรืออีเมลสำรองที่ยังใช้ได้ หรือรหัสสำรองที่เก็บไว้ที่บ้าน

ข้อควรรู้ก่อนเปลี่ยนมาใช้ passkey

• ใครปลดล็อกเครื่องได้ ก็เข้าบัญชีได้ Google เตือนตรงๆ ว่าเมื่อสร้าง passkey แล้ว คนที่ปลดล็อกเครื่องเราได้จะเข้าบัญชี Google ได้ด้วย แม้เราจะออกจากระบบไปแล้ว ถ้า PIN เครื่องเป็น 1234 หรือคนในบ้านรู้ ให้เปลี่ยน PIN ก่อน
• อย่าสร้างในเครื่องที่ใช้ร่วมกัน เช่น คอมพิวเตอร์กลางของร้าน หรือแท็บเล็ตที่ลูกใช้ด้วย ถ้าเผลอสร้างไปแล้ว ลบออกได้ตามขั้นตอนด้านบน
• บัญชีที่ทำงานหรือโรงเรียน (Google Workspace) อาจเข้าด้วย passkey อย่างเดียวไม่ได้ ขึ้นอยู่กับผู้ดูแลระบบ แต่ยังใช้ passkey เป็นขั้นที่ 2 ได้
• ไม่ใช่ทุกเว็บที่รองรับ เว็บที่ยังไม่รองรับยังต้องใช้รหัสผ่าน เราจึงยังต้องตั้งรหัสผ่านที่ไม่ซ้ำกัน
• โหมดไม่ระบุตัวตน (Incognito) ในโหมดนี้ บางเบราว์เซอร์อาจสร้างหรือใช้ passkey ไม่ได้

ข้อควรระวังเมื่อใช้ AI ช่วยเรื่องบัญชี

ถ้าใช้ AI ช่วยงานเป็นประจำ จำไว้ข้อเดียว: รหัสผ่าน รหัสยืนยัน และรหัสสำรอง ห้ามพิมพ์ใส่แชท AI ไม่ว่าจะให้ AI ช่วยจัดเก็บ ตรวจ หรือแก้ปัญหาเข้าระบบ

Google ระบุว่าไม่เคยขอรหัสผ่านหรือรหัสยืนยันทางอีเมล โทรศัพท์ หรือข้อความ และให้กรอกที่ accounts.google.com เท่านั้น

เราถามวิธีตั้งค่ากับ AI ได้ เช่น "ตั้ง passkey ใน iPhone ทำยังไง" แต่ให้เทียบกับหน้าช่วยเหลือของผู้ให้บริการก่อนทำตาม เพราะ AI ตอบผิดได้แม้จะดูมั่นใจ

อ่านเรื่องนี้และข้อมูลที่ไม่ควรพิมพ์ใส่ AI ต่อได้ที่ พื้นฐาน 3 ข้อที่ควรรู้ก่อนใช้ AI

เช็กลิสต์ 10 นาที: บัญชีของคุณพร้อมแล้วหรือยัง

• ☐ เครื่องมีล็อกหน้าจอที่คนอื่นเดาไม่ได้
• ☐ สร้าง passkey ให้บัญชี Google ที่ g.co/passkeys
• ☐ ลองเข้าระบบด้วย passkey 1 ครั้ง (ถ้ายังไม่ขึ้น รอได้ถึง 7 วัน)
• ☐ เบอร์โทรและอีเมลสำรองยังใช้ได้
• ☐ มีทางเข้าบัญชีอย่างน้อย 2 ทางที่ไม่ได้อยู่ในเครื่องเดียวกัน
• ☐ จดบัญชีถัดไปที่จะทำ ตามลำดับในหัวข้อ "บัญชีไหนควรทำก่อน"

สรุป: ให้เครื่องเป็นผู้ดูว่าเว็บไหนปลอม

passkey ไม่ได้ทำให้เราต้องระวังมากขึ้น แต่ย้ายการระวังส่วนที่ยากที่สุด คือการดูว่าเว็บไหนปลอม จากสายตาเราไปเป็นหน้าที่ของเครื่อง วันนี้ใช้เวลา 10 นาทีเริ่มที่อีเมลหลัก แล้วค่อยไล่ทำบัญชีอื่นทีละบัญชี

อาทิตย์ละสกิล เดี๋ยวก็เก่ง