# Passkeys: existitzen ez den pasahitza

> Pasahitzen arazoa norbaitek zure ordez gordetzen duen sekretu partekatu bat izatea bada, konponbidea sekretu partekatua kentzea da. Horiek dira passkeyak — eta hona hemen zer konpontzen duten eta zer ez.

2026-06-18 · David Carrero · password.es
Original: https://password.es/eu/blog/passkeys-existitzen-ez-den-pasahitza/

---

Pasahitzen istorio guztiek berdin amaitzen dute: norbaitek zure sekretua nonbait
gordeta zeukan, eta galdu egin zuen.

Berdin dio zein urtetan. Hasieran ordenagailu partekatu bateko testu lauko
fitxategi batean zegoen, eta sistemari inprimatzeko eskatzea aski zen. 1979an,
Morrisek eta Thompsonek kontatu zuten nola gatzitu eta nola garestitu hasharen
kalkulua, lapurtutako zerrenda bat berehala pasahitz zerrenda bihur ez zedin;
hobekuntza itzela izan zen. Eta gero konposizio arauak etorri ziren, amaieran
ikur bat jartzera behartu gintuztenak. Baina arazoaren formak ez zuen milimetro
bat ere egin denbora horretan guztian: **sekretu bat dago, zuk badakizu,
zerbitzariak egiaztatu dezake, eta beraz zerbitzariak badu zer galdu**.

Ordutik egin dugun guztia sekretu hori luzeagoa, bitxiagoa, gatzituagoa eta
apurtzen motelagoa egitea izan da. Inork ez zuen aurreko galdera egin: eta zer
gertatuko litzateke sekretu partekaturik ez balego?

## 1976: sekretu batek bi erdi izan ditzakeen ideia

1976an, Whitfield Diffiek eta Martin Hellmanek *New Directions in Cryptography*
argitaratu zuten. Ideia ia iraingarria zen, hain zen sinplea: **gako bat truka
ezinak diren bi zatitan bana daiteke**. Bata lau haizeetara zabaltzen duzu;
bestea ez da etxetik ateratzen. Pribatuarekin sinatzen duzuna publikoarekin
egiaztatzen da, baina publikoak ez du ezer sinatzeko balio.

Irakur ezazu berriro zerbitzari bat buruan duzula: guneak ez du jada barrura
sartzeko balio duen ezer gorde beharrik. Ezer irekitzen ez duen erdia besterik ez.

Ideiak mende erdi ia behar izateak zure bankuko pantailara iristeko ez du gure
sektorearen alde asko esaten. Bezero ziurtagiriak bazeuden eta funtzionatzen
zuten; falta zena master bat eskatzen ez zuen erabiltzeko modu bat zen.
Kriptografia ebatzita zegoen. Erabilgarritasuna, ez.

## 2013: norbait ados jartzen da, aldaketagatik

2013an **FIDO Alliance** jaio zen, helburu deklaratu eta ez oso apal batekin
sortutako industria partzuergoa: pasahitzekiko menpekotasuna murriztea.
Garrantzitsuena ez zen teknologia izan —hori bazegoen jada— baizik eta
fabrikatzaileak, nabigatzaileak eta zerbitzuak protokolo bera adosteko mahaian
esertzea. Burokrazia usaina du eta falta zen gauza zehatz-zehatza zen:
nabigatzaile bakar batean eta zerbitzu bakar batekin funtzionatzen duen
autentifikazio mekanismo bat ez da mekanismo bat, pasadizo bat baizik.

## 2019: nabigatzaileak kriptografia egiten ikasten du

**2019ko martxoan, WebAuthn W3Cren gomendio bihurtu zen**. Euskara arruntean:
edozein orrik nabigatzaileari eska ziezaiokeen jada —API estandar batekin,
pluginik eta kontrolatzailerik gabe— gako pare bat sor zezala eta harekin sina
zezala.

Fluxua, apaingarririk gabe, hau da. Erregistratzen zarenean, zure gailuak gako
pare berri bat sortzen du, gune horretarako berariazkoa. Publikoa bidaltzen du.
Pribatua beretzat gordetzen du, gailuak berak zainduta eta zure hatz markak, zure
aurpegiak edo bere PINak babestuta. Itzultzen zarenean, guneak ausazko erronka bat
bidaltzen dizu, zure gailuak sinatu egiten du, eta guneak sinadura egiaztatzen du
lehendik zeukan publikoarekin.

Erreparatu zeri **ez** den gertatzen: ez da sekreturik bidaiatzen. Zerbitzariak
inoiz ez du zure gako pribatua izan, beraz ezin du galdu. Bihar haren datu base
osoa filtratzen badute, gako publikoen zerrenda bat eramango dute —telefono gida
lapurtzea bezalatsu—. Ez dago GPU batetik pasatzeko hashik, ez probatzeko
hiztegirik. Ez da zaila denik: han ez dago ezer balio duenik.

## Bigarren mailako ondorioa ideia bera baino handiagoa da

Zure gailuak gako pare hori sortzen duenean, domeinuari lotzen dio.
`zurebankua.eus`(e)rako gorde zuen gakoa **`zurebankua.eus`(r)i baino ez zaio
eskaintzen**. Ez da politika bat, ez ohartarazpen bat, ez barrako abisu gorri
bat: `zurebank0-segurtasuna.com`(e)rako gakoa ez dela existitzen baizik.
Nabigatzaileak ez du aurkitzen, inoiz ez zelako sortu.

Honek phishinga hiltzen du. Ez du murrizten: mekanismorik gabe uzten du.
Phishingaren negozio osoa **zuk zure pasahitza gune okerrean tekleatu
dezakezulako** dago zutik, eta urteak daramatzagu hori erabiltzaileen prestakuntza
eta kontzientziazio kanpainekin konpondu nahian. Hori guztia sintoma tratatzea zen.
Zure begia URL antzeko batek engainatzen du; zure telefonoa, ez. Ez du irakurtzen:
kateak alderatzen ditu.

Bide batez, berrerabilpena ere eramaten du aurretik, hori baitzen beste bekatu
kapitala. Gune bakoitzak bere gako parea du. Ez dago berrerabiltzeko ezer, nahi
izanda ere.

## 2022: agintzen duten hirurek bakea sinatzen dute

**2022ko maiatzean, Applek, Googlek eta Microsoftek batera iragarri zuten** FIDO
kredentzialen —passkeyen— euskarria zabalduko zutela beren plataformetan eta
nabigatzaileetan.

Horrek bihurtu zuen hau ohar tekniko batetik zure amari azaldu diezaiokezun
zerbaitera. Ordura arte, WebAuthnek ia beti USB gako fisiko bat esan nahi zuen:
bikaina, eta hiru lagunentzat. Passkeya sakelakoa jada eskuan duzun tokian bizi da
eta aurpegiarekin desblokeatzen da.

## Zer ez duen konpontzen

Orain letra txikia, sektoreak datozen urteak existitzen ez dela itxurak egiten
pasatuko baititu.

**Berreskuratzea puntu ahula da oraindik.** Zuloa ez da desagertu: mugitu egin
da. Gailua galtzen baduzu, norbaitek erabaki behar du zu zarela zu, eta erabaki
hori ia beti postaz, SMSez edo dei zentro bateko gizaki batekin hitz eginez
hartzen da. Gizaki hori lehen zegoen helburu bera da, zehazki. Sarrerako atea
blindatu duzu eta atzekoa dagoen tokian dago oraindik.

**Sinkronizazioak ekosistema bati lotzen zaitu.** Passkeyak erosoak dira zure
plataformak zure tramankuluen artean errepikatzen dituelako. Hori beste modu
batean esatea da zure giltzak enpresa jakin baten giltzatakoan bizi direla.
Handik ateratzea ez da ezinezkoa, baina ez da botoi bat ere. Gogoratzearen arazoa
norbaitena izatearenagatik aldatu duzu.

**Eta sakelakoa galtzen baduzu sartu beharra izaten jarraitzen duzu.** Horrek
praktikan esan nahi du ia inongo gunek ez duela pasahitza kendu: «sartzeko
arazoak?» baten atzean ezkutatu du. Esteka hori existitzen den bitartean,
pasahitza existitzen da, eta beti izan zen bezain txarra da. Katea onartzen duzun
metodorik ahulenetik hausten da, ez eskaintzen duzun dotoreenetik.

## Zer egin bitartean

Aktibatu passkeyak eskaintzen dizkizuten tokietan eta hasi erortzen bada gehien
mintzen duenetik: posta, bankua, besteetan sartzeko erabiltzen duzun kontua.
Gainera lana kentzen dizuten segurtasun hobekuntza bakanetakoa da.

Eta ez engainatu zeure burua: urteetan pasahitzak izaten jarraituko duzu, B
plan gisa bada ere. Izan daitezela luzeak, desberdinak gune bakoitzean eta egon
daitezela kudeatzaile batean. Burutik ateratzen ez den bat nahi baduzu, erabili
[sortzailea](/eu/); daukazunak zerbait aguantatzen duen jakin nahi baduzu, pasa
ezazu [egiaztatzailetik](/eu/egiaztatzailea/).

Zaindariaren galdera zaharrak —*gureetakoa al zara?*— badu azkenean erantzun
desberdin bat. Hamarkadetan entzun zezaketen hitz bat esanez erantzun genuen.
Orain zure gailuak baino egin ezin duen sinadura batekin erantzuten dugu, hitza
existitzera iritsi gabe. Hitza aldatu beharrean galdera aldatzen dugun lehen
aldia da.

---

*Iturriak: W. Diffie eta M. Hellman, «New Directions in Cryptography», IEEE
Transactions on Information Theory, 1976 · R. Morris eta K. Thompson, «Password
Security: A Case History», Communications of the ACM, 1979 · FIDO Alliance,
2013an eratua · «Web Authentication: An API for accessing Public Key
Credentials», W3Cren gomendioa, 2019ko martxoa · Appleren, Googleren eta
Microsoften baterako iragarpena passkeyen euskarriari buruz, 2022ko maiatza.*