Aktivera passkey på GitHub – spara återställningskoderna först

För att lägga till en passkey på GitHub måste du först ha aktiverat tvåfaktorsautentisering med en TOTP-app eller sms. GitHubs instruktion för tvåfaktorsautentisering anger sedan vägen via Settings, Password and authentication och Add a passkey. När registreringen är klar kan du logga in i webbläsaren med din passkey utan att ange lösenord och en separat 2FA-kod.

Spara återställningskoderna innan du registrerar nyckeln, och se till att du kan nå dem utan den enhet där nyckeln ska finnas. GitHubs guide till återställningskoder beskriver hur de ger åtkomst om din vanliga 2FA-metod försvinner. Det är särskilt viktigt om samma telefon används både för passkey och autentiseringsapp.

Ordna tvåfaktorsautentisering och reservåtkomst

Har du inte redan 2FA, börja i Settings och öppna Password and authentication under Access. Välj Enable two-factor authentication och följ flödet för en TOTP-app. Skanna QR-koden eller använd inställningsnyckeln, och ange därefter koden som appen genererar. TOTP är ett bättre förstahandsval än sms: sms kan ha leveransproblem och ger inget skydd mot nätfiske.

Under aktiveringen får du spara återställningskoderna innan du bekräftar att 2FA ska slås på. Har du redan 2FA hittar du dem via Settings, Password and authentication och View vid Recovery codes. Spara en kopia på en säker plats som du kan nå om telefonen eller datorn försvinner. En säker lösenordshanterare kan fungera, förutsatt att du också har en fungerande väg in i den från en annan enhet.

Kontrollera att den sparade kopian verkligen går att hitta. En fil som bara ligger i den aktuella telefonens nedladdningsmapp hjälper föga om telefonen tappas bort. Behandla koderna som känsliga inloggningsuppgifter och dela dem inte. Varje kod kan användas en gång; om du skapar en ny uppsättning blir den tidigare ogiltig och den sparade kopian måste bytas ut.

Registrera nyckeln i GitHubs inställningar

När 2FA och återställningskoderna är ordnade kan du lägga till din passkey. GitHub visar kontostegen, medan telefonen, datorn, lösenordshanteraren eller säkerhetsnyckeln visar hur du godkänner själva registreringen. Dialogrutorna kan därför se olika ut beroende på vilken leverantör och enhet du använder.

1. Logga in på ditt personliga GitHub-konto. Öppna profilmenyn, välj Settings och gå till Password and authentication under Access.
2. Välj Add a passkey under Passkeys. Bekräfta din identitet med lösenord eller en befintlig inloggningsmetod om du blir ombedd.
3. Läs uppmaningen under Configure passwordless authentication och välj Add passkey. Följ sedan anvisningarna från den leverantör där nyckeln ska sparas.
4. Granska bekräftelsen på att registreringen lyckades och välj Done. Om du inte får en bekräftelse är det för tidigt att räkna nyckeln som en fungerande inloggningsmetod.

Leverantören kan be dig låsa upp enheten med PIN-kod, enhetslösenord eller biometri. Om du vill använda en fysisk FIDO-nyckel måste den kunna lagra en passkey med användarverifiering. Att en hårdvarunyckel stöder FIDO räcker inte i sig för att varje uppgift som registreras med den ska fungera som lösenordsfri inloggning på GitHub.

Välj lagring med tanke på enhetsbyte

En passkey bygger på ett kryptografiskt nyckelpar och är knuten till webbplatsen där den används. Det gör inloggningen motståndskraftig mot nätfiske: en falsk webbplats kan inte använda nyckeln som om den vore avsedd för GitHub. FIDO Alliances beskrivning av passkeys skiljer också mellan nycklar som synkroniseras via en leverantör och nycklar som är bundna till en viss enhet.

En synkroniserad passkey kan bli tillgänglig på andra enheter där du använder samma leverantör och konto. Det kan göra ett telefonbyte enklare, men förutsätter att du fortfarande kan komma åt leverantörskontot och ställa in det på den nya enheten. Kontrollera därför både var din passkey ska sparas och hur du får tillbaka åtkomsten till leverantören.

En enhetsbunden passkey lämnar inte enheten där den skapades. Den kan exempelvis finnas på en fysisk FIDO2-nyckel som du använder med flera datorer. Försvinner själva säkerhetsnyckeln följer uppgiften däremot inte automatiskt med till en ersättare. Alla registreringsdialoger erbjuder inte ett fritt val mellan dessa lagringssätt; se vilket alternativ din leverantör faktiskt visar innan du godkänner.

Skilj en passkey från en säkerhetsnyckel som andra faktor

En fysisk säkerhetsnyckel och en passkey är inte två namn för samma funktion i GitHubs inställningar. En passkey används för inloggning utan lösenord och kan uppfylla både lösenords- och 2FA-kravet. Användarverifieringen sker när du låser upp enheten eller nyckeln, exempelvis med PIN-kod eller biometri.

En säkerhetsnyckel som bara verifierar att någon är närvarande räknas däremot som en andra faktor. Då behöver du fortfarande ange lösenordet. Sådan hårdvara kan registreras under Security keys även när den inte kan användas som passkey. En FIDO2-nyckel med rätt stöd kan också bära en enhetsbunden passkey, men då behöver du registrera uppgiften under Passkeys och slutföra leverantörens steg för användarverifiering.

Om telefonen eller säkerhetsnyckeln försvinner

En synkroniserad passkey kan finnas kvar på en annan enhet hos samma leverantör. En extra registrerad passkey eller en annan fungerande autentiseringsmetod kan också ge åtkomst. Därför är det klokt att ha mer än en användbar metod innan du blir beroende av en enda telefon eller fysisk nyckel.

Om du behöver använda en återställningskod, logga in med lösenord och välj 2FA recovery code bland alternativen för tvåfaktorsautentisering. Ange en oanvänd kod och se sedan över vilka inloggningsmetoder som finns kvar på kontot. En kod som har använts fungerar inte igen. Om både fungerande autentiseringsmetoder och återställningsvägar saknas kan åtkomsten till ett konto med 2FA gå förlorad permanent.

Läs också:

• GitHub eller GitLab: gratis CI-minuter säger inte hela kostnaden
• Aktivera passkey på Facebook – skyddet står emot nätfiske
• Claude Code eller GitHub Copilot: uppgiftstypen avgör mer än priset