Klucz dostępu chroni przed phishingiem, ale nie twórz go na wspólnym sprzęcie

Aby utworzyć klucz dostępu do konta Google, włącz blokadę ekranu na własnym telefonie lub komputerze, otwórz w ustawieniach konta „Klucze dostępu i klucze bezpieczeństwa” i wybierz „Utwórz klucz dostępu”. Potwierdź operację, odblokowując urządzenie. Klucza nie zapisuj na sprzęcie, który mogą odblokować inne osoby.

Po konfiguracji możesz logować się odciskiem palca, skanem twarzy albo blokadą ekranu zamiast wpisywać hasło. Jeśli korzystasz ze wspólnego komputera, użyj klucza zapisanego na swoim telefonie: kod QR pozwala zatwierdzić logowanie telefonem bez tworzenia klucza na komputerze. Warto też wiedzieć, jak usunąć klucz, zanim urządzenie zostanie zgubione.

Sprawdź zgodność urządzenia i miejsce zapisania klucza

Lista wymagań Google obejmuje telefony z Androidem 9 lub iOS 16 oraz komputery z Windows 10, macOS Ventura lub ChromeOS 109 i nowszymi wersjami. Obsługiwane przeglądarki to Chrome 109, Safari 16, Edge 109 i Firefox 122 lub nowsze. Na telefonie musi działać blokada ekranu; na iPhonie, iPadzie i Macu potrzebny jest również włączony pęk kluczy iCloud. Jeśli opcja utworzenia klucza się nie pojawia, sprawdź aktualizacje systemu i przeglądarki. W niektórych środowiskach przeszkodą może być także tryb incognito.

Przed zatwierdzeniem utworzenia klucza zwróć uwagę, gdzie system proponuje go zapisać. Dokumentacja środowisk Google wskazuje, że klucze utworzone w Chrome na Androidzie trafiają domyślnie do Menedżera haseł Google i mogą synchronizować się z Chrome na innych obsługiwanych systemach. Na Androidzie 14 lub nowszym można wybrać zgodnego dostawcę kluczy w ustawieniach systemu, choć niektóre urządzenia mogą nie udostępniać tej możliwości. Na urządzeniach Apple klucz może trafić do pęku kluczy iCloud lub aplikacji Hasła. Miejsce przechowywania ma znaczenie, gdy później będziesz szukać klucza albo usuwać go z menedżera danych logowania.

Utwórz klucz na własnym urządzeniu

1. Zaloguj się na właściwe konto Google. W ustawieniach otwórz „Zabezpieczenia i logowanie”, a w sekcji „Sposób logowania się w Google” wybierz „Klucze dostępu i klucze bezpieczeństwa”. Jeśli korzystasz z kilku kont, sprawdź, dla którego z nich potwierdzasz tożsamość.
2. Wybierz „Utwórz klucz dostępu”, a następnie potwierdź ponownie utworzenie klucza na używanym urządzeniu. Postępuj zgodnie z komunikatem systemu i odblokuj telefon lub komputer.
3. Po zakończeniu wróć do opcji logowania konta i sprawdź listę kluczy. Jeśli chcesz mieć klucz również na innym własnym urządzeniu, powtórz konfigurację na nim lub skorzystaj z synchronizacji oferowanej przez wybrany menedżer.

Utworzenie klucza sprawia, że konto domyślnie proponuje logowanie bez hasła, ale nie usuwa hasła ani wcześniej skonfigurowanych metod odzyskiwania dostępu. Jeśli wolisz zaczynać logowanie od hasła, w sekcji „Sposób logowania się w Google” wyłącz „Pomijaj hasło, gdy to możliwe”. Na koncie służbowym lub szkolnym administrator może ograniczyć logowanie samym kluczem; wówczas klucz nadal może służyć do potwierdzenia tożsamości w innych sytuacjach.

Dlaczego klucz utrudnia phishing

Klucz dostępu jest powiązany z tożsamością konkretnej witryny lub aplikacji. Przeglądarka i system operacyjny sprawdzają to powiązanie, więc klucz utworzony dla konta Google nie zadziała na stronie podszywającej się pod Google. Opis działania kluczy dostępu wyjaśnia również, że witryna przechowuje klucz publiczny, a klucz prywatny pozostaje po stronie urządzenia lub menedżera i jest szyfrowany przed synchronizacją.

Odcisk palca i skan twarzy służą do odblokowania urządzenia, a dane biometryczne nie są przekazywane Google. Tę samą funkcję może pełnić kod PIN urządzenia. Ochrona przed fałszywą stroną nie rozwiązuje jednak problemu dostępu do samego sprzętu: osoba, która potrafi go odblokować, może użyć zapisanego na nim klucza.

Na wspólnym komputerze zaloguj się telefonem

Nie twórz klucza na komputerze rodzinnym ani innym współdzielonym urządzeniu, jeżeli ktoś poza Tobą zna jego kod odblokowania lub może odblokować je własną metodą. Wylogowanie się z konta Google po sesji nie usuwa utworzonego klucza. Jeśli podczas późniejszego logowania pojawi się propozycja utworzenia klucza na takim komputerze, pomiń ją.

Gdy klucz jest zapisany na Twoim telefonie, na komputerze otwórz stronę logowania Google i wpisz nazwę użytkownika. Wybierz „Wypróbuj inny sposób”, a następnie użycie klucza dostępu. Zeskanuj telefonem kod QR wyświetlony na komputerze, zaakceptuj prośbę na telefonie i odblokuj go odciskiem palca, twarzą lub kodem PIN. Bluetooth powinien być włączony, a telefon znajdować się blisko komputera, ponieważ urządzenia sprawdzają wzajemną bliskość. Potwierdzasz w ten sposób logowanie kluczem z telefonu bez zapisywania nowego klucza na współdzielonym sprzęcie.

Usuń klucz po utracie urządzenia

Jeśli zgubisz urządzenie z ręcznie utworzonym kluczem albo omyłkowo utworzysz klucz na wspólnym sprzęcie, zaloguj się na konto Google z urządzenia, do którego nadal masz dostęp. Otwórz „Zabezpieczenia i logowanie”, następnie „Klucze dostępu i klucze bezpieczeństwa”, wybierz właściwy klucz i kliknij „Usuń”. Upewnij się, że wybierasz wpis powiązany z utraconym urządzeniem, zwłaszcza gdy używasz kilku telefonów lub komputerów.

Klucz zarejestrowany automatycznie przez urządzenie z Androidem usuwa się inaczej. W sekcji „Twoje urządzenia” wybierz „Zarządzaj wszystkimi urządzeniami”, wskaż utracony sprzęt i wyloguj go. Jeśli pod tą samą nazwą widzisz kilka sesji, wyloguj wszystkie powiązane z urządzeniem. To odrębna czynność od usuwania klucza utworzonego ręcznie z listy kluczy dostępu.

Jeżeli po usunięciu klucza konto nadal proponuje go przy logowaniu, sprawdź menedżer danych logowania, w którym był przechowywany, i usuń stamtąd pozostały wpis. Gdy nie masz dostępu do żadnego klucza, wybierz „Wypróbuj inny sposób”, aby skorzystać z wcześniej skonfigurowanych metod logowania. Dlatego przed zmianą metody logowania upewnij się, że nadal masz dostęp do tych metod i do własnego urządzenia.

Przeczytaj także:

• Dane do ChatGPT trzeba najpierw odchudzić — samo usunięcie nazw nie wystarczy
• Detektor tekstu AI to nie dowód: fałszywy alarm może skrzywdzić autora