Mật khẩu đã được sử dụng trong nhiều năm để bảo vệ tài khoản trực tuyến. Tuy nhiên, phương thức này ngày càng bộc lộ nhiều hạn chế. Người dùng có thể quên mật khẩu, đặt mật khẩu quá đơn giản, dùng chung một mật khẩu cho nhiều website hoặc vô tình nhập thông tin đăng nhập vào một trang giả mạo.

Để giải quyết những vấn đề đó, nhiều website và ứng dụng đang chuyển sang một phương thức xác thực mới có tên là Passkey.

Passkey cho phép người dùng đăng nhập bằng vân tay, khuôn mặt, mã PIN hoặc phương thức mở khóa thiết bị mà không cần nhập mật khẩu truyền thống. Phương thức này vừa giúp quá trình đăng nhập nhanh hơn, vừa hạn chế nhiều rủi ro như phishing, lộ mật khẩu và tấn công dò thông tin đăng nhập.

APIPAY hiện cũng hỗ trợ đăng nhập bằng Passkey, giúp người dùng truy cập tài khoản nhanh chóng và thuận tiện hơn trên những thiết bị tương thích.

Vậy Passkey là gì, hoạt động như thế nào, có an toàn không và đăng nhập bằng Passkey trên APIPAY mang lại lợi ích gì?

Passkey là gì?

Passkey là một phương thức xác thực không cần mật khẩu, cho phép người dùng đăng nhập vào website hoặc ứng dụng bằng cơ chế mở khóa có sẵn trên thiết bị.

Người dùng có thể xác nhận danh tính bằng:

Vân tay
Nhận diện khuôn mặt
Mã PIN thiết bị
Mật khẩu mở khóa máy tính
Hình vẽ mở khóa
Khóa bảo mật vật lý

Thay vì yêu cầu người dùng ghi nhớ và nhập một chuỗi ký tự, Passkey sử dụng công nghệ mật mã khóa công khai để chứng minh người dùng đang sở hữu đúng thông tin xác thực.

Nói dễ hiểu, Passkey giống như một chiếc chìa khóa điện tử được thiết bị tạo riêng cho từng tài khoản và từng website.

Người dùng không cần nhìn thấy, ghi nhớ hoặc nhập chiếc chìa khóa này bằng tay. Khi cần đăng nhập, người dùng chỉ cần mở khóa thiết bị bằng vân tay, khuôn mặt hoặc mã PIN.

Passkey đọc như thế nào?

Passkey có thể đọc gần giống “pát-ki”.

Trong tiếng Việt, Passkey thường được diễn giải bằng các cách gọi như:

Khóa truy cập
Khóa đăng nhập
Khóa xác thực
Đăng nhập không mật khẩu
Thông tin xác thực không cần mật khẩu

Tuy nhiên, thuật ngữ Passkey thường được giữ nguyên trên website và ứng dụng để người dùng dễ nhận diện.

Ví dụ dễ hiểu về Passkey

Giả sử bạn có tài khoản trên APIPAY.

Nếu đăng nhập theo cách truyền thống, bạn có thể cần:

Nhập email hoặc tên tài khoản.
Nhập mật khẩu.
Xác nhận thêm mã bảo mật nếu được yêu cầu.
Bấm đăng nhập.

Khi sử dụng Passkey, quy trình có thể đơn giản hơn:

Mở trang đăng nhập APIPAY.
Chọn đăng nhập bằng Passkey.
Xác nhận bằng vân tay, khuôn mặt hoặc mã PIN của thiết bị.
Truy cập tài khoản.

Người dùng không cần nhập lại mật khẩu trong mỗi lần đăng nhập.

Phía sau thao tác đơn giản đó là một quy trình xác thực mật mã. Thiết bị chứng minh với APIPAY rằng người dùng đang sở hữu đúng Passkey mà không gửi khóa bí mật lên máy chủ.

Passkey hoạt động như thế nào?

Passkey hoạt động dựa trên một cặp khóa mật mã gồm:

Khóa công khai
Khóa riêng tư

Hai khóa này được tạo cùng nhau nhưng có chức năng khác nhau.

Khóa công khai là gì?

Khóa công khai được gửi đến và lưu trên hệ thống của website hoặc ứng dụng.

Máy chủ sử dụng khóa công khai để kiểm tra chữ ký xác thực khi người dùng đăng nhập.

Khóa công khai không thể được sử dụng trực tiếp để đăng nhập thay cho người dùng. Vì vậy, nếu dữ liệu khóa công khai bị lộ, kẻ xấu vẫn không có khóa riêng để xác thực.

Khóa riêng tư là gì?

Khóa riêng tư được lưu trên thiết bị, trình quản lý Passkey hoặc khóa bảo mật của người dùng.

Khóa riêng tư không được gửi trực tiếp đến website hoặc ứng dụng trong quá trình đăng nhập.

Khi người dùng xác nhận bằng vân tay, khuôn mặt hoặc mã PIN, thiết bị sử dụng khóa riêng tư để ký một yêu cầu xác thực. Website dùng khóa công khai để kiểm tra chữ ký đó.

Nếu chữ ký hợp lệ, hệ thống cho phép người dùng đăng nhập.

Quy trình tạo Passkey

Khi người dùng đăng ký Passkey cho một tài khoản, quy trình thường diễn ra như sau:

Người dùng đăng nhập vào tài khoản bằng phương thức hiện có.
Người dùng chọn tạo hoặc thêm Passkey.
Website gửi yêu cầu tạo thông tin xác thực đến thiết bị.
Thiết bị yêu cầu xác nhận bằng vân tay, khuôn mặt hoặc mã PIN.
Thiết bị tạo cặp khóa công khai và khóa riêng tư.
Khóa riêng tư được giữ an toàn trên thiết bị hoặc trình quản lý Passkey.
Khóa công khai được gửi về máy chủ.
Máy chủ liên kết khóa công khai với tài khoản người dùng.

Sau khi hoàn tất, người dùng có thể sử dụng Passkey trong những lần đăng nhập tiếp theo.

Quy trình đăng nhập bằng Passkey

Khi người dùng đăng nhập:

Website yêu cầu xác thực bằng Passkey.
Máy chủ tạo một thử thách ngẫu nhiên.
Thiết bị yêu cầu người dùng mở khóa bằng vân tay, khuôn mặt hoặc mã PIN.
Khóa riêng tư ký vào thử thách.
Chữ ký được gửi về máy chủ.
Máy chủ sử dụng khóa công khai để kiểm tra.
Nếu hợp lệ, người dùng được đăng nhập.

Mỗi lần đăng nhập sử dụng một thử thách mới. Vì vậy, dữ liệu xác thực cũ không thể đơn giản được sao chép và dùng lại.

Passkey được lưu ở đâu?

Passkey có thể được lưu trong:

Điện thoại
Máy tính
Trình quản lý mật khẩu
Hệ thống quản lý thông tin xác thực của thiết bị
Tài khoản đồng bộ thiết bị
Khóa bảo mật vật lý

Tùy hệ điều hành và thiết bị, Passkey có thể được đồng bộ để người dùng sử dụng trên nhiều thiết bị khác nhau.

Ví dụ, một Passkey được tạo trên điện thoại có thể xuất hiện trên máy tính bảng hoặc máy tính nếu các thiết bị sử dụng cùng tài khoản quản lý và hỗ trợ đồng bộ.

Passkey đồng bộ là gì?

Passkey đồng bộ là Passkey có thể được đồng bộ giữa những thiết bị thuộc cùng một hệ sinh thái hoặc trình quản lý thông tin xác thực.

Lợi ích của Passkey đồng bộ:

Dễ sử dụng trên nhiều thiết bị
Không cần tạo lại Passkey khi đổi điện thoại
Giảm nguy cơ mất quyền truy cập
Thuận tiện khi sử dụng cả điện thoại và máy tính

Tuy nhiên, người dùng cần bảo vệ tốt tài khoản dùng để đồng bộ Passkey.

Nếu tài khoản đồng bộ bị xâm nhập, khả năng bảo vệ Passkey có thể bị ảnh hưởng.

Passkey gắn với thiết bị là gì?

Passkey gắn với thiết bị là Passkey chỉ được lưu trên một thiết bị hoặc khóa bảo mật cụ thể.

Loại Passkey này thường không tự động đồng bộ sang thiết bị khác.

Ưu điểm:

Khóa riêng tư không rời khỏi thiết bị
Phù hợp với tài khoản quản trị
Phù hợp với hệ thống yêu cầu kiểm soát thiết bị nghiêm ngặt

Hạn chế:

Nếu mất thiết bị, người dùng có thể mất Passkey
Cần đăng ký thêm thiết bị dự phòng
Việc đổi máy có thể phức tạp hơn

Passkey có phải vân tay hoặc Face ID không?

Không.

Vân tay, Face ID hoặc mã PIN chỉ là phương thức dùng để mở khóa Passkey trên thiết bị.

Có thể hiểu:

Passkey là thông tin xác thực kỹ thuật số.
Vân tay hoặc khuôn mặt là cách xác minh người đang sử dụng thiết bị.
Thiết bị dùng Passkey để tạo chữ ký xác thực.
Website không nhận dữ liệu vân tay hoặc hình ảnh khuôn mặt.

Ví dụ, khi đăng nhập APIPAY bằng Face ID, APIPAY không nhận hình ảnh khuôn mặt của người dùng. Thiết bị chỉ xác nhận rằng người dùng đã vượt qua bước mở khóa và cho phép sử dụng Passkey.

Passkey khác gì mật khẩu?

Passkey và mật khẩu đều được dùng để xác thực tài khoản, nhưng cách hoạt động hoàn toàn khác nhau.

Tiêu chí	Mật khẩu	Passkey
Cần ghi nhớ	Có	Không
Cần nhập thủ công	Có	Không
Có thể dùng lại ở nhiều website	Có	Không
Có thể đặt quá đơn giản	Có	Không
Có thể bị lừa nhập vào website giả	Có	Khó hơn đáng kể
Máy chủ lưu gì	Mật khẩu đã băm	Khóa công khai
Cách xác thực	So sánh thông tin bí mật	Kiểm tra chữ ký mật mã
Nguy cơ quên	Cao	Thấp hơn
Trải nghiệm	Có thể nhiều bước	Nhanh và thuận tiện

Mật khẩu phụ thuộc nhiều vào thói quen người dùng. Một mật khẩu yếu hoặc bị dùng lại trên nhiều website có thể tạo ra rủi ro lớn.

Passkey được thiết bị tạo tự động và gắn với đúng website, nên không gặp vấn đề đặt mật khẩu quá đơn giản hoặc dùng chung một mật khẩu cho nhiều tài khoản.

Passkey khác gì OTP?

OTP là mã xác thực dùng một lần, thường được gửi qua:

SMS
Email
Ứng dụng tạo mã
Thiết bị token

Người dùng phải nhận và nhập mã để hoàn tất xác thực.

Passkey không yêu cầu người dùng nhập mã. Thiết bị tự thực hiện quá trình ký mật mã sau khi người dùng mở khóa.

So sánh cơ bản:

Tiêu chí	OTP	Passkey
Cần nhập mã	Có	Không
Có thể bị lừa cung cấp	Có	Khó hơn
Phụ thuộc SMS/email	Có thể	Không
Có thể bị chậm	Có	Ít hơn
Chi phí gửi SMS	Có thể có	Không cần SMS
Gắn với website	Không hoàn toàn	Có
Trải nghiệm	Nhiều bước hơn	Nhanh hơn

OTP vẫn có giá trị trong nhiều trường hợp, đặc biệt là xác minh lần đầu hoặc khôi phục tài khoản. Tuy nhiên, Passkey mang lại trải nghiệm đăng nhập đơn giản hơn.

Passkey khác gì xác thực hai yếu tố?

Xác thực hai yếu tố thường yêu cầu hai thành phần riêng biệt, chẳng hạn:

Mật khẩu
Mã OTP

Passkey có thể kết hợp nhiều yếu tố trong cùng một thao tác:

Người dùng sở hữu thiết bị có Passkey.
Người dùng biết mã PIN hoặc có đặc điểm sinh trắc học để mở khóa thiết bị.

Vì vậy, Passkey có thể thay thế luồng mật khẩu kết hợp OTP trong nhiều tình huống.

Tuy nhiên, đối với thao tác có rủi ro cao, hệ thống vẫn có thể yêu cầu xác thực lại hoặc bổ sung các bước kiểm tra khác.

Passkey khác gì trình quản lý mật khẩu?

Trình quản lý mật khẩu lưu mật khẩu và tự động điền vào website.

Passkey không phải mật khẩu được lưu tự động.

Sự khác biệt:

Trình quản lý mật khẩu lưu chuỗi mật khẩu.
Passkey sử dụng cặp khóa mật mã.
Mật khẩu có thể bị sao chép.
Khóa riêng tư của Passkey không được hiển thị cho người dùng.
Mật khẩu có thể được nhập vào website giả.
Passkey được gắn với đúng website hoặc ứng dụng.

Một trình quản lý thông tin xác thực có thể lưu cả mật khẩu và Passkey, nhưng hai loại dữ liệu này hoạt động khác nhau.

Passkey khác gì khóa bảo mật vật lý?

Khóa bảo mật vật lý là một thiết bị phần cứng được sử dụng để xác thực người dùng.

Thiết bị có thể kết nối qua:

USB
NFC
Bluetooth
Những giao thức được hỗ trợ khác

Passkey có thể được lưu trực tiếp trên khóa bảo mật vật lý.

Khóa bảo mật phù hợp với:

Tài khoản quản trị
Nhân sự kỹ thuật
Hệ thống tài chính
Dashboard doanh nghiệp
Tài khoản có quyền truy cập API
Môi trường cần bảo mật cao

Vì sao Passkey an toàn hơn mật khẩu?

1. Khó bị phishing

Passkey được gắn với website hoặc ứng dụng cụ thể.

Nếu người dùng truy cập một tên miền giả mạo có giao diện giống website thật, Passkey của website thật sẽ không được sử dụng cho tên miền giả đó.

Người dùng cũng không thể đọc Passkey để gửi cho người khác.

2. Không có mật khẩu để làm lộ

Với Passkey, người dùng không nhập mật khẩu vào website.

Do đó, các công cụ ghi bàn phím hoặc trang đăng nhập giả khó lấy được thông tin xác thực theo cách truyền thống.

3. Máy chủ không lưu khóa riêng tư

Máy chủ chỉ lưu khóa công khai.

Nếu dữ liệu máy chủ bị lộ, kẻ xấu không có khóa riêng tư để đăng nhập.

4. Không thể dùng lại Passkey giữa nhiều website

Mỗi Passkey được tạo riêng cho từng dịch vụ.

Việc một website gặp sự cố không khiến Passkey của dịch vụ khác bị ảnh hưởng theo cách dùng chung mật khẩu.

5. Không thể đặt Passkey quá yếu

Passkey được thiết bị tạo tự động bằng thuật toán mật mã.

Người dùng không thể đặt Passkey thành những chuỗi yếu như:

123456
password
Ngày sinh
Số điện thoại
Tên doanh nghiệp

6. Có cơ chế chống phát lại

Mỗi lần đăng nhập sử dụng một thử thách khác nhau.

Chữ ký từ lần đăng nhập trước không thể dùng lại cho lần đăng nhập sau.

7. Dữ liệu sinh trắc học không gửi lên máy chủ

Dữ liệu vân tay và khuôn mặt được xử lý trên thiết bị.

Website chỉ nhận kết quả xác thực mật mã, không nhận dữ liệu sinh trắc học gốc.

Passkey có an toàn tuyệt đối không?

Không có phương thức bảo mật nào an toàn tuyệt đối.

Passkey giúp giảm nhiều rủi ro liên quan đến mật khẩu, nhưng tài khoản vẫn có thể bị ảnh hưởng nếu:

Kẻ xấu mở khóa được thiết bị
Người dùng để lộ mã PIN
Tài khoản đồng bộ Passkey bị chiếm đoạt
Quy trình khôi phục tài khoản quá yếu
Phiên đăng nhập bị đánh cắp
Hệ thống website có lỗ hổng
Nhân viên hỗ trợ bị lừa đặt lại tài khoản
Thiết bị bị kiểm soát bởi phần mềm độc hại
Người dùng không khóa máy khi rời khỏi thiết bị

Passkey bảo vệ bước đăng nhập nhưng không thay thế toàn bộ hệ thống bảo mật.

Doanh nghiệp vẫn cần bảo vệ:

Phiên đăng nhập
Cookie
API
Dữ liệu khách hàng
Quyền tài khoản
Luồng khôi phục
Thiết bị quản trị
Nhật ký hoạt động

Mất điện thoại có mất Passkey không?

Điều này phụ thuộc vào cách Passkey được lưu.

Nếu Passkey được đồng bộ, người dùng có thể lấy lại trên thiết bị mới sau khi đăng nhập vào tài khoản quản lý Passkey.

Nếu Passkey chỉ được lưu trên thiết bị đã mất, người dùng cần sử dụng:

Passkey khác đã đăng ký
Thiết bị khác còn đăng nhập
Khóa bảo mật dự phòng
Phương thức khôi phục tài khoản
Hỗ trợ từ hệ thống

Doanh nghiệp nên cho phép người dùng đăng ký nhiều Passkey để tránh phụ thuộc vào một thiết bị duy nhất.

Có thể dùng Passkey trên máy tính khác không?

Có.

Một số trường hợp phổ biến:

Passkey đã được đồng bộ sang máy tính đó.
Người dùng dùng điện thoại để xác nhận đăng nhập trên máy tính.
Người dùng sử dụng khóa bảo mật vật lý.
Trình duyệt truy cập trình quản lý Passkey đã đăng nhập.

Khi dùng điện thoại để xác nhận trên máy tính khác, hệ thống có thể hiển thị mã QR. Người dùng quét mã bằng điện thoại và xác nhận bằng vân tay hoặc khuôn mặt.

Passkey có cần sinh trắc học không?

Không.

Passkey có thể được mở khóa bằng:

Vân tay
Khuôn mặt
Mã PIN
Mật khẩu thiết bị
Khóa bảo mật

Nếu thiết bị không có cảm biến vân tay hoặc nhận diện khuôn mặt, người dùng vẫn có thể sử dụng mã PIN.

Lợi ích của Passkey với người dùng

Không cần nhớ mật khẩu

Người dùng không phải ghi nhớ nhiều mật khẩu khác nhau.

Đăng nhập nhanh hơn

Quy trình thường chỉ cần một thao tác xác nhận trên thiết bị.

Không phải chờ OTP

Người dùng không cần đợi tin nhắn SMS hoặc email chứa mã xác thực.

Giảm nguy cơ bị lừa lấy mật khẩu

Passkey không thể được nhập thủ công vào một trang giả mạo.

Ít phải sử dụng chức năng quên mật khẩu

Vì không cần nhớ mật khẩu, người dùng ít gặp tình trạng mất quyền truy cập do quên thông tin đăng nhập.

Dễ sử dụng trên thiết bị di động

Thao tác đăng nhập gần giống mở khóa điện thoại, phù hợp với thói quen sử dụng hàng ngày.

Lợi ích của Passkey với doanh nghiệp

Giảm yêu cầu đặt lại mật khẩu

Doanh nghiệp có thể giảm số lượng yêu cầu hỗ trợ liên quan đến:

Quên mật khẩu
Mật khẩu không đúng
Không nhận được OTP
Tài khoản bị khóa
Mật khẩu hết hạn

Hạn chế tấn công dò mật khẩu

Passkey không thể bị dò theo cách thử nhiều mật khẩu liên tiếp.

Hạn chế credential stuffing

Credential stuffing là hình thức sử dụng mật khẩu bị lộ từ một dịch vụ để thử đăng nhập vào nhiều website khác.

Vì mỗi Passkey chỉ sử dụng cho một website hoặc ứng dụng, phương thức này không thể hoạt động giống mật khẩu dùng lại.

Nâng cao trải nghiệm người dùng

Đăng nhập nhanh hơn có thể giúp người dùng ít từ bỏ thao tác và cảm thấy hệ thống thuận tiện hơn.

Tăng mức độ bảo vệ tài khoản quản trị

Passkey đặc biệt hữu ích với:

Tài khoản quản trị
Dashboard doanh nghiệp
Nhân sự kỹ thuật
Người quản lý tài chính
Người quản lý API
Người quản lý webhook

Hạn chế của Passkey

Người dùng chưa quen

Nhiều người vẫn quen với mật khẩu và có thể chưa hiểu Passkey được lưu ở đâu.

Phụ thuộc thiết bị

Nếu thiết bị không hỗ trợ hoặc trình duyệt quá cũ, trải nghiệm có thể bị hạn chế.

Khôi phục tài khoản phức tạp

Nếu người dùng mất toàn bộ thiết bị, doanh nghiệp cần một quy trình khôi phục an toàn.

Nếu khôi phục quá dễ, kẻ xấu có thể chiếm tài khoản. Nếu quá khó, người dùng thật có thể không lấy lại được quyền truy cập.

Cần hỗ trợ nhiều nền tảng

Doanh nghiệp cần kiểm thử trên:

Android
iOS
Windows
macOS
Chrome
Safari
Edge
Firefox
Ứng dụng di động

Chưa thể loại bỏ mọi phương thức dự phòng

Trong giai đoạn đầu, doanh nghiệp thường vẫn cần duy trì:

Mật khẩu
OTP
Email xác thực
Mã khôi phục
Hỗ trợ tài khoản

APIPAY có đăng nhập bằng Passkey không?

Có. APIPAY hỗ trợ đăng nhập bằng Passkey.

Tính năng này cho phép người dùng truy cập tài khoản APIPAY bằng phương thức mở khóa của thiết bị mà không cần nhập mật khẩu truyền thống trong mỗi lần đăng nhập.

Tùy thiết bị, người dùng có thể xác nhận bằng:

Vân tay
Face ID hoặc nhận diện khuôn mặt
Windows Hello
Mã PIN thiết bị
Trình quản lý Passkey
Khóa bảo mật tương thích

Passkey giúp quá trình đăng nhập APIPAY nhanh hơn, thuận tiện hơn và giảm sự phụ thuộc vào mật khẩu.

Đăng nhập APIPAY bằng Passkey hoạt động như thế nào?

Quy trình cơ bản có thể diễn ra như sau:

Người dùng mở trang đăng nhập APIPAY.
Chọn phương thức đăng nhập bằng Passkey.
Thiết bị hiển thị yêu cầu xác nhận.
Người dùng xác nhận bằng vân tay, khuôn mặt hoặc mã PIN.
Thiết bị tạo chữ ký xác thực.
APIPAY kiểm tra chữ ký bằng khóa công khai.
Nếu hợp lệ, người dùng được đăng nhập.

Khóa riêng tư không được gửi đến APIPAY.

APIPAY chỉ nhận bằng chứng xác thực từ thiết bị và kiểm tra bằng khóa công khai đã đăng ký trước đó.

Cách tạo Passkey trên APIPAY

Tùy phiên bản giao diện, tên các mục có thể khác nhau, nhưng quy trình thường gồm:

Đăng nhập tài khoản APIPAY.
Truy cập phần tài khoản, bảo mật hoặc cài đặt đăng nhập.
Chọn thêm hoặc tạo Passkey.
Xác nhận yêu cầu bằng phương thức mở khóa thiết bị.
Đặt tên Passkey nếu hệ thống yêu cầu.
Hoàn tất đăng ký.

Sau khi tạo thành công, Passkey được liên kết với tài khoản APIPAY.

Người dùng nên kiểm tra thiết bị và trình duyệt có hỗ trợ Passkey trước khi đăng ký.

Cách đăng nhập APIPAY bằng Passkey

Quy trình đăng nhập thường gồm:

Truy cập trang đăng nhập APIPAY.
Chọn “Đăng nhập bằng Passkey”.
Chọn tài khoản hoặc Passkey phù hợp.
Xác nhận bằng vân tay, khuôn mặt hoặc mã PIN.
Truy cập dashboard APIPAY.

Nếu Passkey nằm trên điện thoại nhưng người dùng đang đăng nhập trên máy tính, trình duyệt có thể cho phép sử dụng điện thoại để xác nhận.

Lợi ích của đăng nhập Passkey trên APIPAY

Đăng nhập nhanh hơn

Người dùng không cần nhập email và mật khẩu nhiều lần.

Giảm nguy cơ quên mật khẩu

Passkey được lưu trên thiết bị hoặc trình quản lý thông tin xác thực.

Hạn chế phishing

Passkey được liên kết với đúng hệ thống APIPAY và khó sử dụng trên website giả mạo.

Bảo vệ dashboard tốt hơn

Dashboard APIPAY có thể chứa:

Dữ liệu giao dịch
Kết nối ngân hàng
API key
Webhook
Thông báo thanh toán
Cấu hình tích hợp
Dữ liệu khách hàng

Passkey giúp tăng mức độ bảo vệ cho quyền truy cập vào những thông tin này.

Thuận tiện trên điện thoại và máy tính

Người dùng có thể đăng nhập bằng những cơ chế quen thuộc như Face ID, vân tay hoặc Windows Hello.

Giảm phụ thuộc vào OTP

Người dùng không cần chờ SMS hoặc email trong mỗi lần đăng nhập bằng Passkey.

Passkey bảo vệ những gì trên APIPAY?

Passkey chủ yếu bảo vệ quá trình xác thực người dùng vào tài khoản APIPAY.

Tính năng này giúp hạn chế người không có quyền truy cập:

Dashboard giao dịch
Thông tin kết nối ngân hàng
Cấu hình webhook
Thông tin tích hợp API
Lịch sử thanh toán
Cài đặt thông báo
Thông tin tài khoản doanh nghiệp

Tuy nhiên, Passkey không thay thế các lớp bảo mật khác của hệ thống.

APIPAY và người dùng vẫn cần bảo vệ:

API key
Secret key
Webhook secret
Thiết bị đăng nhập
Email quản trị
Phiên đăng nhập
Phân quyền nhân viên

Passkey có thay thế API key trên APIPAY không?

Không.

Passkey được dùng để xác thực người dùng khi đăng nhập vào dashboard.

API key được sử dụng để xác thực website, ứng dụng hoặc hệ thống khi kết nối với API APIPAY.

Hai loại thông tin có vai trò khác nhau:

Passkey xác thực con người.
API key xác thực hệ thống phần mềm.
Webhook secret xác thực dữ liệu webhook.
Tài khoản ngân hàng là nơi quản lý dòng tiền.
APIPAY giúp nhận và xử lý dữ liệu giao dịch.

Không nên sử dụng Passkey thay cho API key hoặc ngược lại.

Passkey có thay thế mật khẩu APIPAY hoàn toàn không?

Điều này phụ thuộc vào cấu hình tài khoản và chính sách của APIPAY tại từng thời điểm.

Trong giai đoạn người dùng làm quen với Passkey, hệ thống có thể vẫn duy trì phương thức đăng nhập hoặc khôi phục khác.

Người dùng nên bảo vệ cả:

Email đăng ký
Mật khẩu nếu tài khoản vẫn sử dụng
Passkey
Thiết bị đăng nhập
Phương thức khôi phục

Nếu mất thiết bị có Passkey APIPAY thì làm gì?

Người dùng nên:

Khóa hoặc xóa dữ liệu thiết bị từ xa nếu có thể.
Đăng nhập APIPAY bằng Passkey trên thiết bị khác.
Sử dụng phương thức khôi phục tài khoản được hỗ trợ.
Xóa Passkey của thiết bị đã mất khỏi phần bảo mật.
Tạo Passkey mới trên thiết bị đang sử dụng.
Kiểm tra lịch sử đăng nhập và hoạt động bất thường.
Thay đổi các thông tin bảo mật liên quan nếu cần.

Để giảm rủi ro, người dùng nên đăng ký Passkey trên nhiều thiết bị hoặc có phương thức dự phòng an toàn.

Có nên đăng ký nhiều Passkey cho APIPAY không?

Có thể đăng ký nhiều Passkey nếu APIPAY và thiết bị hỗ trợ.

Ví dụ:

Một Passkey trên điện thoại
Một Passkey trên máy tính cá nhân
Một Passkey trên khóa bảo mật dự phòng

Việc có nhiều Passkey giúp người dùng không bị mất quyền truy cập khi một thiết bị bị mất hoặc hỏng.

Tuy nhiên, không nên tạo Passkey trên:

Máy tính công cộng
Thiết bị dùng chung
Thiết bị không có khóa màn hình
Máy tính không được quản lý
Thiết bị của người khác

Sử dụng Passkey APIPAY có cần lưu ý gì?

Bảo vệ mã PIN thiết bị

Nếu người khác biết mã PIN và đang giữ thiết bị, họ có thể có khả năng sử dụng Passkey.

Không cho người khác dùng thiết bị đã mở khóa

Thiết bị mở khóa có thể cho phép truy cập các tài khoản đang đăng nhập.

Kiểm tra đúng tên miền

Người dùng nên truy cập đúng website chính thức của APIPAY trước khi đăng nhập.

Không tạo Passkey trên thiết bị công cộng

Passkey chỉ nên được tạo trên thiết bị cá nhân hoặc thiết bị doanh nghiệp được quản lý.

Xóa Passkey trên thiết bị không còn dùng

Khi bán, cho hoặc thanh lý thiết bị, người dùng nên xóa dữ liệu và thu hồi Passkey liên quan.

Bảo vệ tài khoản đồng bộ

Nếu Passkey được đồng bộ qua tài khoản thiết bị, cần bật bảo mật mạnh cho tài khoản đó.

Kiểm tra hoạt động tài khoản

Nếu phát hiện đăng nhập bất thường, cần thu hồi phiên, xóa Passkey đáng ngờ và thay đổi thông tin bảo mật.

Passkey có vai trò gì trong fintech và Open Banking?

Các nền tảng fintech và Open Banking thường xử lý nhiều dữ liệu quan trọng như:

Biến động số dư
Lịch sử giao dịch
Tài khoản ngân hàng
Webhook
API key
Dữ liệu khách hàng
Cấu hình thanh toán
Báo cáo tài chính

Passkey có thể giúp bảo vệ quyền truy cập của:

Chủ doanh nghiệp
Quản trị viên
Nhân viên tài chính
Nhân viên kỹ thuật
Người quản lý tích hợp
Người quản lý kết nối ngân hàng

Tuy nhiên, Passkey chỉ là lớp xác thực đăng nhập.

Doanh nghiệp vẫn cần:

Phân quyền tài khoản
Ghi log hoạt động
Giới hạn quyền API
Bảo vệ secret key
Xác thực webhook
Quản lý thiết bị
Theo dõi truy cập bất thường

Passkey có phải phương thức thanh toán không?

Không.

Passkey không trực tiếp:

Chuyển tiền
Nhận tiền
Tạo VietQR
Nhận biến động số dư
Thay thế Payment Gateway
Thay thế Open Banking API
Xác nhận tiền đã vào tài khoản

Passkey là phương thức xác thực người dùng.

Trong hệ thống APIPAY:

Passkey giúp người dùng đăng nhập.
Open Banking giúp kết nối dữ liệu ngân hàng.
Webhook gửi giao dịch về website/app.
VietQR giúp khách hàng chuyển khoản.
API key giúp hệ thống kết nối APIPAY.
Ngân hàng quản lý tài khoản và dòng tiền.

Passkey có thể xác nhận giao dịch thanh toán không?

Về mặt công nghệ, Passkey có thể được sử dụng để tái xác thực người dùng trước những thao tác quan trọng.

Ví dụ:

Thay đổi thông tin bảo mật
Tạo hoặc xóa API key
Thay đổi webhook
Thay đổi tài khoản kết nối
Phê duyệt thao tác quản trị

Tuy nhiên, đăng nhập bằng Passkey không đồng nghĩa với việc Passkey tự xác nhận một giao dịch ngân hàng.

Việc tiền đã vào tài khoản cần được xác định bằng dữ liệu ngân hàng, Open Banking API, webhook hoặc hệ thống thanh toán liên quan.

Những lỗi thường gặp khi sử dụng Passkey

Tạo Passkey trên máy tính công cộng

Điều này có thể khiến tài khoản bị truy cập bởi người dùng tiếp theo.

Chỉ đăng ký một Passkey duy nhất

Nếu thiết bị bị mất hoặc hỏng, người dùng có thể gặp khó khăn khi đăng nhập.

Quên bảo vệ tài khoản đồng bộ

Tài khoản dùng để đồng bộ Passkey cần được bảo vệ bằng cơ chế xác thực mạnh.

Chia sẻ mã PIN thiết bị

Passkey an toàn nhưng mã PIN yếu hoặc bị chia sẻ vẫn tạo rủi ro.

Không xóa Passkey cũ

Thiết bị không còn sử dụng nên được xóa khỏi danh sách Passkey và phiên đăng nhập.

Nghĩ rằng Passkey bảo vệ toàn bộ hệ thống

Passkey bảo vệ bước đăng nhập nhưng không tự động bảo vệ API key, webhook hoặc dữ liệu bên trong nếu người dùng cấp quyền sai.

Checklist sử dụng Passkey APIPAY an toàn

Người dùng nên kiểm tra:

Đã bật khóa màn hình thiết bị
Mã PIN không quá dễ đoán
Thiết bị thuộc quyền kiểm soát cá nhân
Đã cập nhật hệ điều hành
Đã cập nhật trình duyệt
Đã bảo vệ tài khoản đồng bộ Passkey
Đã tạo ít nhất một phương thức dự phòng
Không tạo Passkey trên máy công cộng
Không chia sẻ mã PIN
Đã kiểm tra đúng tên miền APIPAY
Đã xóa thiết bị không còn sử dụng
Thường xuyên kiểm tra lịch sử đăng nhập
Đã thu hồi phiên đáng ngờ
API key và webhook secret vẫn được bảo vệ riêng

Những hiểu lầm thường gặp về Passkey

Passkey là mật khẩu được lưu trên điện thoại

Không đúng.

Passkey sử dụng cặp khóa mật mã, không phải mật khẩu được tự động điền.

Website nhận được dữ liệu vân tay

Không đúng.

Vân tay và khuôn mặt được kiểm tra trên thiết bị. Website không nhận dữ liệu sinh trắc học gốc.

Passkey là của riêng một hãng công nghệ

Không đúng.

Passkey được phát triển trên các tiêu chuẩn xác thực chung và có thể hoạt động trên nhiều hệ điều hành, trình duyệt và thiết bị.

Có Passkey thì không cần khóa màn hình

Không đúng.

Khóa màn hình là lớp bảo vệ quan trọng để ngăn người khác sử dụng Passkey trên thiết bị.

Passkey thay thế API key

Không đúng.

Passkey xác thực người dùng, còn API key xác thực ứng dụng hoặc hệ thống kết nối.

Passkey tự động xác nhận khách đã thanh toán

Không đúng.

Passkey chỉ xác nhận người đăng nhập. Giao dịch thanh toán cần được xác nhận từ dữ liệu ngân hàng hoặc hệ thống thanh toán.

Câu hỏi thường gặp về Passkey

Passkey có miễn phí không?

Người dùng thường không phải trả phí riêng để sử dụng Passkey. Doanh nghiệp có thể phát sinh chi phí phát triển, kiểm thử và vận hành tính năng.

Một tài khoản có thể có nhiều Passkey không?

Có, nếu hệ thống hỗ trợ. Việc có nhiều Passkey giúp tạo phương án dự phòng.

Có thể xóa Passkey không?

Có. Người dùng có thể xóa Passkey trong phần bảo mật của tài khoản hoặc trình quản lý Passkey trên thiết bị.

Passkey có hoạt động khi không có vân tay không?

Có. Người dùng có thể sử dụng mã PIN hoặc mật khẩu mở khóa thiết bị.

Có thể dùng Passkey trên điện thoại để đăng nhập máy tính không?

Có thể, nếu trình duyệt và thiết bị hỗ trợ đăng nhập chéo thiết bị.

Passkey có cần Internet không?

Để đăng nhập vào một dịch vụ trực tuyến như APIPAY, thiết bị cần kết nối với máy chủ qua Internet.

Việc kiểm tra vân tay hoặc khuôn mặt diễn ra cục bộ trên thiết bị.

Passkey có an toàn hơn SMS OTP không?

Passkey có nhiều ưu điểm trong việc chống phishing và không cần người dùng nhập mã. Tuy nhiên, mức độ an toàn tổng thể còn phụ thuộc thiết bị, quy trình khôi phục và cách triển khai hệ thống.

APIPAY có hỗ trợ đăng nhập bằng Passkey không?

Có. APIPAY hỗ trợ đăng nhập bằng Passkey trên những thiết bị và trình duyệt tương thích.

Đăng nhập Passkey APIPAY có cần mật khẩu không?

Sau khi đã tạo Passkey, người dùng có thể đăng nhập bằng phương thức mở khóa thiết bị mà không cần nhập mật khẩu trong luồng Passkey.

Phương thức dự phòng có thể vẫn được duy trì để hỗ trợ khôi phục hoặc những thiết bị chưa tương thích.

Kết luận

Passkey là phương thức xác thực không cần mật khẩu, sử dụng cặp khóa mật mã để đăng nhập vào website và ứng dụng.

Thay vì nhập mật khẩu, người dùng chỉ cần xác nhận bằng vân tay, khuôn mặt, mã PIN hoặc cơ chế mở khóa thiết bị.

Passkey mang lại nhiều lợi ích:

Không cần ghi nhớ mật khẩu
Đăng nhập nhanh hơn
Hạn chế phishing
Không sử dụng lại thông tin giữa nhiều website
Không gửi khóa riêng tư lên máy chủ
Giảm phụ thuộc vào OTP
Nâng cao trải nghiệm người dùng

APIPAY hiện hỗ trợ đăng nhập bằng Passkey, giúp người dùng truy cập tài khoản nhanh và thuận tiện hơn trên thiết bị tương thích. Tính năng này đặc biệt hữu ích trong việc bảo vệ dashboard, dữ liệu giao dịch, API key, webhook và cấu hình kết nối ngân hàng.

Tuy nhiên, Passkey không thay thế toàn bộ hệ thống bảo mật. Người dùng vẫn cần bảo vệ thiết bị, mã PIN, tài khoản đồng bộ, API key và phương thức khôi phục.

Trong hệ sinh thái fintech và Open Banking, Passkey đóng vai trò xác thực người dùng. Open Banking API, webhook, VietQR và hệ thống ngân hàng vẫn đảm nhận các chức năng liên quan đến dữ liệu và xử lý thanh toán.

Việc kết hợp Passkey với phân quyền, quản lý thiết bị và các lớp bảo mật khác giúp APIPAY mang lại trải nghiệm đăng nhập nhanh hơn nhưng vẫn đảm bảo an toàn cho tài khoản người dùng.