Passkey Index 2026: een derde van de aanmeldingen zonder wachtwoord, en een beoordelingskader om er te komen

Op 15 oktober 2026, bij de opening van haar conferentie Authenticate, publiceerde de FIDO Alliance de tweede editie van haar Passkey Index en stelde zij haar wereldwijde schatting bij: ongeveer 7 miljard passkeys zijn nu in gebruik, tegenover 5 miljard in mei. Achter dat spectaculaire cijfer ligt de waarde van het rapport elders: vijftien grote consumentendiensten, waaronder banken, berichtenapps, telecomoperatoren en betaalplatformen, deelden hun echte aanmeldgegevens. Voor een productteam is het de eerste keer dat de belofte van passkeys kan worden vergeleken met wat ze op grote schaal waarmaken.

Wat de cijfers zeggen

• Meer dan een op de drie geslaagde aanmeldingen verloopt via een passkey: gemiddeld 36% over de deelnemers, tegenover 26% in de editie van 2025.
• Passkeys slagen vaker: 93% van de pogingen lukt, tegenover 78% voor wachtwoorden en klassieke meerfactorauthenticatie, sms-codes inbegrepen. Ze zijn bijna drie keer sneller en besparen gemiddeld 27 seconden per aanmelding.
• Bijna iedereen komt in aanmerking: 90% van de actieve accounts kan een passkey aanmaken, en 42% van de in aanmerking komende accounts heeft er een, ongeveer 38% van alle accounts.
• De kloof tussen registratie en gebruik sluit zich: 38% van de accounts is uitgerust voor 36% van de aanmeldingen, tegenover 34% en 26% vorig jaar.
• Het veiligheidsvoordeel wordt eindelijk gemeten: alle acht deelnemers die phishing bijhouden, melden minder geslaagde aanvallen sinds de uitrol, en de vier die kostengegevens deelden, zien hun factuur voor sms-codes dalen.
• De volgende stap staat al vast: negen van de dertien deelnemers willen binnen twaalf maanden accounts aanbieden zonder enig wachtwoord.

De FIDO Alliance benoemt zelf de beperkingen: de gemiddelden zijn ongewogen, een kleine dienst telt dus even zwaar als een wereldwijd platform, en het panel groeide van negen naar vijftien deelnemers, waardoor de vergelijking met 2025 eerder richtinggevend dan strikt is. De ordes van grootte wijzen echter allemaal dezelfde kant op.

De echte rem is niet langer technisch

Het rapport noemt een precieze oorzaak voor de kloof tussen uitgeruste accounts en werkelijke aanmeldingen: twee deelnemers erkennen dat hun flow nog steeds het wachtwoord of een code aanbiedt vóór de passkey, ook aan gebruikers die er een hebben. Met andere woorden: de technologie staat er, browsers en besturingssystemen ondersteunen haar, maar het aanmeldscherm blijft de oude methode naar voren schuiven. Terwijl de veiligheidswinst van een passkey verdampt zolang een phishbaar wachtwoord op hetzelfde account aanvaard blijft. Dit is een kwestie van flowontwerp, dus een productbeslissing, geen infrastructuurproject.

Het FIDO-kader: vier niveaus voor zelfevaluatie

Om teams over die drempel te helpen, publiceert de FIDO Alliance op Passkey Central een beoordelingskader met vier cumulatieve niveaus. Het is een instrument voor zelfdiagnose, geen certificering.

• Brons, de functionele basis: meerdere passkeys per account om buitensluiting te voorkomen, een zichtbaar beheerscherm, expliciete terugvalopties en consistente bewoordingen.
• Zilver, het aanbevolen doel bij lancering: automatisch invullen in het aanmeldveld, een uitnodiging om op het juiste moment een passkey aan te maken, foutafhandeling en toegankelijkheid.
• Goud: automatische omzetting van een opgeslagen wachtwoord naar een passkey na een geslaagde aanmelding, met melding, integratie van de Signal API om ongeldig geworden passkeys te verwijderen, en accountherstel dat in verhouding staat tot het risico.
• Platina: afschaffing van phishbare factoren, wachtwoorden en sms-codes, en afstemming tussen de verschillende domeinen van eenzelfde merk.

Het kader somt ook de veelgemaakte fouten op: het blokkerende venster dat het aanmaken van een passkey afdwingt, de beperking tot één passkey per account, of de stille omzetting zonder de gebruiker te informeren.

Wie het aangaat

Elke dienst die personen authenticeert: klantenportaal, ledenomgeving, interne bedrijfsapplicatie, SaaS-tool. Beslissers vinden hier een becijferd argument over sms-kosten en fraude; productteams een leesbare routekaart; beveiligingsteams een praktijkbewijs van de weerstand tegen phishing. Organisaties die passkeys uitrollen voor hun medewerkers hebben nu een eigen onderdeel op Passkey Central, met een uitrolgids en gedocumenteerde praktijkvoorbeelden.

Waar u begint

1. Meet drie indicatoren: aandeel in aanmerking komende accounts, aandeel uitgeruste accounts, aandeel geslaagde aanmeldingen via passkey. Zonder deze cijfers valt geen enkele beslissing te verdedigen.
2. Plaats uzelf in het kader. De twee tekortkomingen die het kader zelf als meest voorkomend aanmerkt, zijn de beperking tot één passkey per account en het ontbreken van een beheerscherm.
3. Maak de passkey het standaardpad voor wie er een heeft, met het automatisch invullen van de browser. Daar wordt de kloof tussen 38% en 36% beslist.
4. Bereid het wachtwoordloze account voor bij de groepen die er klaar voor zijn, te beginnen met accounts met een hoog risico, en leg het herstel vast voordat u de terugvaloptie verwijdert.
5. Begroot de besparing op sms: dat is vaak de post die het project financiert.

Wij begeleiden product- en technische teams bij deze diagnose en bij het ontwerp van de flow, van de bronzen basis tot het wachtwoordloze account. Laten we het over uw aanmeldflow hebben.