Hesla mají v roce 2026 napočítané dny. Více než 50 % top 100 webů světa už podporuje passkeys a velké platformy jako Google, Apple, Microsoft, Amazon či PayPal tlačí na to, aby se přihlašování bez hesla stalo standardem. Co to znamená pro váš WordPress web a jak na něj passkeys nasadit?
Co jsou passkeys a proč jsou bezpečnější
Passkey je digitální přihlašovací údaj postavený na standardech FIDO2 a Web Authentication API (WebAuthn). Místo hesla, které si pamatujete (a které lze ukrást při phishingu nebo úniku databáze), si na vašem zařízení vznikne pár kryptografických klíčů. Soukromý klíč nikdy neopouští vaše zařízení nebo váš správce hesel a veřejný klíč si uloží web. Při přihlášení server pošle výzvu, kterou váš telefon nebo notebook podepíše Touch ID, Face ID nebo PIN kódem. Phishingový web v podstatě nemůže fungovat, protože passkey je svázán s konkrétní doménou.
Stav adopce v roce 2026
Podle nejnovějších dat podporuje passkeys přibližně 50–60 % top 100 webů, ale jen 20–25 % top 1 000 a méně než 10 % top 10 000 webů. Mezera mezi velkými hráči a zbytkem internetu je obrovská – a právě tady leží konkurenční výhoda pro střední a menší weby. Pokud nabídnete pohodlnější přihlášení dřív než konkurence, získáte body za UX i bezpečnost. Datové studie ukazují, že přihlášení passkeyem je 3× rychlejší než heslem a 8× rychlejší než heslo plus dvoufaktorové ověření.
Jak nasadit passkeys na WordPress
WordPress sám o sobě nepodporuje passkeys nativně, ale ekosystém už dohnal zbytek webu. Pluginy jako Passkeys for WordPress, WP Webauthn nebo Two Factor (verze 2026+) přidají podporu během několika minut. Pro vlastní řešení lze využít knihovny jako WebAuthn-PHP. Klíčové je nabídnout passkeys jako doplněk vedle hesla, ne jako exkluzivní volbu – pro adopci je důležitá svoboda volby a uživatel by měl mít vždy záložní metodu přihlášení.
UX, který funguje
Týmy, které úspěšně nasadily passkeys, zaznamenávají dobrovolnou míru adopce 50–70 % během prvních šesti měsíců. Klíčem je kontextová nabídka: po úspěšném přihlášení heslem se zeptejte „Chcete se příště přihlásit rychleji? Aktivujte passkey“. Vynucené přepnutí naopak konverze sráží. Důležitá je také jasná komunikace, co passkey je – pojmy „přihlášení pomocí otisku“ nebo „obličejem“ uživatelé chápou rychleji než technický termín.
Passkeys vs. SMS, TOTP a hardware klíče
Stojí za to si srovnat, kde passkeys uspokojivě nahrazují stávající druhý faktor a kde ne. SMS kódy jsou nejslabší metodou – telefonní operátoři jsou citliví na SIM swap útoky a SMS lze odposlechnout. Passkeys eliminují obojí. TOTP aplikace (Google Authenticator, Authy) jsou bezpečnější, ale stále phishovatelné a uživatelsky neoblíbené. Hardwarové klíče (YubiKey) zůstávají zlatým standardem pro firemní prostředí, kde administrátor potřebuje plnou kontrolu, zatímco passkeys synchronizované v cloudu (iCloud Keychain, Google Password Manager) jsou ideální pro běžné uživatele díky pohodlí a obnovení po ztrátě zařízení.
Reálné výsledky firem
Pohled do čísel z roku 2025–2026 ukazuje, proč firmy přepínají. Shopify hlásí 50% pokles supportu na téma „zapomenuté heslo“ po nasazení passkeys. PayPal zaznamenal 25% nárůst úspěšných přihlášení a pokles odchodů (abandonment) o 16 %. WhatsApp, který passkeys zavedl jako primární metodu pro nové uživatele, hlásí 4× rychlejší onboarding. To jsou tvrdá data, nikoli marketing.
Pozor na implementační chyby
Bezpečnostní výzkum publikovaný letos v rámci USENIX Security 26 ukázal, že žádný z testovaných webů nesplnil všechny bezpečnostní kontroly podle standardu. 18 stránek mělo kritickou zranitelnost a 53 vysokorizikové chyby, které útočníkům umožňují obejít autorizaci nebo smazat passkeys jiných uživatelů. Nejčastější chyby jsou nedostatečná validace origin/RP ID, slabá kontrola atestačních dat a nesprávně implementované záložní toky. Pokud passkeys implementujete sami, použijte zralé knihovny a nechte si kód projít bezpečnostním auditem.
Synchronizace mezi zařízeními
Velkou otázkou pro uživatele zůstává: „Co když přijdu o telefon?“ Passkeys synchronizované přes iCloud Keychain, Google Password Manager nebo 1Password jsou automaticky dostupné na všech vašich zařízeních a po obnovení účtu se vrátí. Pro cross-platform scénáře (Android telefon a Mac) existuje hybridní flow přes QR kód – přihlásíte se na nedůvěryhodném zařízení tak, že naskenujete kód telefonem, který má passkey uložený. Pro WordPress administrátory doporučujeme mít vždy minimálně dva passkeys (telefon + hardware klíč) jako záložní cestu, aby ztráta jednoho zařízení neznamenala ztrátu přístupu k webu.
Závěr
Passkeys nejsou jen módní vlnou – je to dosud nejúčinnější obrana proti phishingu a zároveň konkrétní UX vylepšení. Pro WordPress weby v roce 2026 platí, že nasazení je technicky jednoduché a vyplatí se v každém scénáři, kde mají uživatelé účet. Plánujete migraci na bezheslové přihlašování? Pomůžeme vám s výběrem pluginu, návrhem UX i bezpečnostním auditem implementace.
