一篇標題為「通行密鑰是陷阱」的文章警告非技術背景的網路用戶不要使用通行密鑰（Passkeys）。作者承認通行密鑰在安全性上可能優於密碼，且在某些情況下更為便利，但指出其設計並未優先考慮用戶的利益。與密碼、驗證器應用程式或實體安全金鑰不同，用戶對通行密鑰沒有最終的控制權；網站可以透過隱藏的機制逐漸剝奪用戶對通行密鑰的自主處理能力。
文章指出，通行密鑰由 FIDO 聯盟發明，該聯盟由大型科技公司、政府、情報機構、銀行及少數非營利組織（如 Mozilla）組成，但缺乏消費者權益倡導團體的參與。相比之下，制定網路標準的 W3C 則包含公共利益團體及發明者 Tim Berners-Lee。作者認為 FIDO 聯盟成員各有其商業或政治動機，例如大型科技公司希望透過生活不便來銷售廣告，情報機構希望追蹤用戶，銀行希望免除賠償責任等。
作者批評 FIDO 聯盟忽視了現有的更優異安全機制，如時間基礎一次性密碼（TOTP）。TOTP 基於開放標準 RFC 6238，用戶可選擇任何軟體或硬體生成代碼，甚至可自行編寫程式，且數據完全由用戶掌控。TOTP 代碼每 30 秒更新，即使洩露風險也極低，且用戶可自由選擇儲存位置或與他人共享種子（Seed）。
文章的核心論點在於「通行密鑰」一詞被故意混淆。技術標準 WebAuthn 中幾乎不使用該詞，而是定義了多種變體，包括可複製與不可複製、可轉移與不可轉移、硬體支援與軟體支援、已證明與未證明等憑證。這些選項使得規格書更像零件目錄而非標準。例如，不可複製的通行密鑰可能綁定於特定設備的安全晶片（如 iPhone 的 Secure Enclave 或筆電的 TPM），導致數據無法遷移或備份；而可轉移的通行密鑰則可能在傳輸後從原設備消失。這種複雜性與隱藏的限制使得用戶難以理解其真正風險，作者建議用戶應謹慎評估，並指出 Netflix 等服務不希望用戶共享通行密鑰。
事件背景
FIDO 聯盟是一個由大型科技公司、小型科技公司、各國政府、情報機構、銀行、公共機構及少數非營利組織（如 Mozilla）組成的聯盟，旨在推廣通行密鑰標準。世界寬網協會（W3C）則是制定網路標準的組織，其成員包括企業、公共利益團體、大學及網路發明者 Tim Berners-Lee。時間基礎一次性密碼（TOTP）遵循開放標準 RFC 6238，其生成公式為公開知識，不依賴特定軟體或硬體。WebAuthn 是定義通行密鑰的技術標準，其中區分了可發現憑證（discoverable credentials）與不可發現憑證、硬體支援憑證與軟體支援憑證等類型。現代設備通常配備安全晶片（如筆電的 Trusted Platform Module 或 iPhone 的 Secure Enclave），用於儲存無法被讀取或遷移的數據。
社群觀察
社群討論中，用戶 agwa 指出證明（Attestation）僅能在註冊時要求，登入時無法追溯要求，且瀏覽器會彈出權限提示，質疑 Netflix 和 Twitter 是否真的在註冊時強制要求證明。用戶 bmitch3020 表示尚未自願啟用通行密鑰，因為他重視可攜性，希望將憑證備份並鎖在保險箱中，認為指紋解鎖強度不如長密碼。用戶 danpalmer 批評文章結尾附註中作者聲稱已提出有力論證卻未提及通行密鑰最重要的安全特性（域名綁定以抵抗中間人攻擊）。用戶 oefrha 作為通行密鑰倡導者，承認標題具有防禦性，但指出 1Password 近期強制要求 userVerification，導致在沒有 TouchID 的桌面上需輸入登入密碼才能使用通行密鑰。用戶 waterheater 提出通行密鑰可能不受美國憲法第四和第五修正案保護，而密碼通常享有較強的法律保護。
