Facebook krijgt ondersteuning voor passkeys

Facebook voegt ondersteuning voor passkeys toe aan zijn apps. Daarmee is het mogelijk om in te loggen zonder wachtwoord, met een lokaal aangemaakt bestand dat op het apparaat wordt opgeslagen en dat kan worden ontgrendeld met biometrie. Messenger-ondersteuning volgt later.

Facebook zegt dat het voortaan mogelijk is een passkeyinlogmethode in te stellen in de Facebook-app. Dat geldt zowel voor de iOS- als de Android-app. Gebruikers krijgen die optie als ze inloggen op hun account, maar kunnen die ook zelf in het menu van de app instellen.

Passkeys zijn credentials die een wachtwoord vervangen. De passkey wordt lokaal aangemaakt en via Apples Keychain of in Googles wachtwoordmanager opgeslagen. Gebruikers moeten die ontgrendelen met bijvoorbeeld een vingerafdruk of gezichtsscan. Passkeys zijn een standaard van de FIDO Alliance en zijn mede ontwikkeld door grote techbedrijven die passkeys als alternatief voor wachtwoorden willen gebruiken. Tweakers maakte er in 2023 al een video en achtergrondverhaal over.

Meta zegt dat de passkeyondersteuning geleidelijk aan wordt uitgebracht. Dat werkt voorlopig alleen nog op Facebook. Gebruikers kunnen passkeys wel gebruiken om in Facebook betalingen via Meta Pay uit te voeren. Meta zegt dat Messenger 'over enkele maanden' ondersteuning krijgt voor passkeys. Als dat gebeurt, gaat het om dezelfde inlogmethode als voor Facebook. De passkeys worden dan inwisselbaar.

Reacties (32)

[deathmonkey]

In het artikel staat dat passkeys enkel via Google of Apple lopen. Dit klopt niet, ik heb ze zelf via mijn password manager.

[P_Tingen]

Ik ook, via BitWarden in mijn geval

[Anck]

Welk OS? Ik heb toevallig recent nog een poging gedaan voor passkeys met bitwarden op Android maar dat lijkt vooralsnog niet mogelijk. Niet met native apps en ook niet met Firefox. Ik kan wel de Google password manager gebruiken, of Chrome, maar dat wil ik nou net niet..

[RobVI]

Je moet een instelling in de browser aanpassen https://bitwarden.com/help/auto-fill-android/#using-passkeys

[P_Tingen]

Ik gebruik hem op beide, maar de passkeys alleen getest in Windows, in Edge, FF en nu in ZenBrowser

[Reactie gewijzigd door P_Tingen op 19 juni 2025 12:27]

[repmeer]

Ik snap het even niet. Ik heb al een passkey voor Facebook op mijn iphone staan

[PaulHelper]

Ik denk echt dat je iets anders bedoelt want ik kan het ook nu nog niet vinden.

[repmeer]

Ik weet wel zeker wat ik bedoel. Ik kan het alleen in de facebook app op mijn iphone. Niet in de browser

[WhatsappHack]

Als je het niet kan vinden heb je nog geen toegang tot de feature. Wel kan je als het goed is een Passkey aanmaken als 2FA-optie... Dat is wat @repmeer waarschijnlijk ook gedaan heeft en daarom een Passkey heeft. Die optie - die overigens al geruime tijd bestaat en voor iedereen met compatible hardware beschikbaar is - kun je vinden onder je accountinstellingen, wachtwoord & beveiliging en dan "tweetrapsauthenticatie". Je kan er niet mee inloggen, wel 2FA uitvoeren.

Maar dat is waarschijnlijk en hopelijk iets anders dan waar dit artikel over gaat. Misschien kan de auteur (@TijsZonderH) dat nog verifiëren en verduidelijken in het artikel. (De optie voor Passkeys was er al een tijdje, alleen enkel als 2FA-methode; niet als inlogmethode. (En dat laatste is wat nu toegevoegd lijkt te gaan worden; waarmee de sleutels ook echt nuttig worden imho))

[Reactie gewijzigd door WhatsappHack op 19 juni 2025 02:38]

[The Zep Man]

Je kan er niet mee inloggen, wel 2FA uitvoeren.

Waarom zou je 2FA willen uitvoeren anders dan voor inloggen?

Wat je bedoelt is het verschil tussen een passkey gebruiken als één van meerdere directe authenticatiefactors in het loginproces, en een passkey gebruiken als identificatie en als enkele directe authenticatiefactor in het loginproces (die beschermd wordt door één of meer indirecte andere factoren, zoals een wachtwoord of biometrie).

[DJ Henk]

Waarom zou je 2FA willen uitvoeren anders dan voor inloggen?

Als extra check voordat je risicovolle handelingen gaat doen en het zeker moet zijn dat niet iemand anders even snel iets op jouw apparaat doet, terwijl jij op de wc zit.

Tailscale heeft recent een artikeltje geschreven om uit te leggen dat dit een betere manier is dan verplicht elke X dagen inloggen: https://tailscale.com/blog/frequent-reauth-security

[The Zep Man]

Als extra check voordat je risicovolle handelingen gaat doen en het zeker moet zijn dat niet iemand anders even snel iets op jouw apparaat doet, terwijl jij op de wc zit.

Daar wil je geen directe 2FA voor doen zoals bij (initieel) inloggen. Daarvoor wil je iets gebruiksvriendelijker, zoals een PIN-code of biometrie bij banken.

Herauthenticatie is iets anders dan inloggen, waar je andere middelen voor gebruikt.

[Reactie gewijzigd door The Zep Man op 19 juni 2025 09:52]

[DJ Henk]

Herauthenticatie is inderdaad wat anders dan inloggen, ik noemde het juist als voorbeeld dat er ook andere toepassingen voor 2FA zijn dan inloggen.

Dat er makkelijkere oplossingen zijn ben ik helemaal met je eens, maar bij bijvoorbeeld de ASN bank moet ik nog steeds die Digipas van ze tevoorschijn halen bij risicovolle transacties. Ondanks dat minder risicovolle handelingen ook via de app met biometrie kunnen.

[WhatsappHack]

Waarom zou je 2FA willen uitvoeren anders dan voor inloggen?

Je gebruikt een 2e factor normaliter nooit om in te loggen. De 2e factor - ook in deze setup - kan niet zelfstandig zeggen wie je bent, maar enkel of je het écht bent of nóg bent (her-authenticatie, transactiebevestigingen, etc.); wat altijd afhankelijk is van een (eerder doorlopen) authenticatie met je loginmethode; bij FB een user/pass. (Of nouja, in de normale/gangbare werkwijze. Je hebt altijd gedrochten.)

2FA is daarmee dus expliciet geen loginmethode, je kan er niet mee inloggen (eg: je kan niet je TOTP-code invoeren en het systeem weet wie je bent); je kan enkel bevestigen dat jij de gene bent die ingelogd heeft. Dat je hem gebruikt tijdens het inlogproces doet daar niets van af. Mijn post klopt volgens mij zodoende prima en is vrij helder.

[WhatsappHack]

Ik was ook een beetje in verwarring, ik heb namelijk ook al een Passkey in gebruik voor Facebook en die heb ik begin 2024 aangemaakt. Echter, dat gaat om een Passkey voor 2FA (en onder die instellingen is ie ook verborgen). Dus ik moet dan inloggen met m'n gebruikersnaam/wachtwoord, maar daarna kan ik de login bevestigen met de Passkey (als alternatief op verificatie in de FB-app of time-based tokens.).

Ik vond dat altijd een vrij stompzinnige implementatie, maar ik neem aan dat ze het dan nu mogelijk gaan maken om daadwerkelijk in te loggen met de Passkey; ipv enkel te dienen als 2FA. En dat daar het verschil in zit. Ik kan, ondanks een betaversie van de Facebook-app, de functie om in te loggen met Passkey zoals beschreven in de handleiding niet activeren. Deze optie verschijnt simpelweg nog niet.

Ben ook wel benieuwd wat er dan gebeurt, gaan ze dezelfde Passkey gebruiken of wordt die geïnvalideerd voor 2FA en een nieuwe gegenereerd? Oh well, komen we snel genoeg achter.

[repmeer]

Dank voor de verheldering. Dat moet het zijn. Wellicht dat dit beter ook in het artikel vermeld had kunnen worden.

[Meg]

Dit is fijn om te lezen, eens kijken wanneer ik het bij mijn ouders kan instellen zodat ze weer een wachtwoord minder nodig hebben.

offtopic:
Wanneer komt dit beschikbaar bij Tweakers?

[RobVI]

https://gathering.tweaker...%5B%5D=39&keyword=passkey

[jaaoie17]

Moet het dan perse met vingerafdruk of gezichtsscan?

[arianvp]

Nee. Werkt ook met je ontgrendelcode of je kan een andere password manager zoals bitwarden gebruiken. Of zelfs een Yubikey via NFC of USB.

In de nieuwe iOS en MacOS beta kan je je bestaande passkeys ook exporteren naar andere password managers.

[Reactie gewijzigd door arianvp op 19 juni 2025 08:52]

[Qlimaxxx]

Dat is wel het meest veilige en tegelijk het meest praktische.

[biteMark]

Werd eens tijd dan… Het is toch gek dat een bedrijf als Facebook zo achter de feiten aanloopt 🤨

[Kerfuffle]

Ze lopen niet achter de feiten aan als je in overweging neemt dat de primaire klanten van Facebook niet de mensen zijn die erop inloggen om kiekjes te delen met de familie, maar de bedrijven die de opgebouwde profieldata van die mensen gebruiken om doelgericht advertenties en propaganda te serveren. Dat bepaalt de prioritering van features voor Meta.

[Stukfruit]

Dus nu kun je eindelijk echt inloggen met je face

Hoewel er subtiele verschillen zijn: meer info.

[Reactie gewijzigd door Stukfruit op 18 juni 2025 20:47]

[Kerfuffle]

Dit leest toch echt als een artikel dat een vals gevoel van veiligheid oproept. Het gaat voorbij aan het feit dat Meta bizarre hoeveelheden data van je inzamelt en verkoopt aan Jan en alleman. Alsof je verhuurder een extra slot op je voordeur zet voor de veiligheid maar ook webcams in je badkamer heeft opgehangen.

[DigitalExorcist]

Wordt tijd dat Tweakers dat ook gaat ondersteunen

[pelican]

Ik heb dat hele passkey nog niet goed begrepen... Of mijn wachtwoord manager nu een username+ww invult of een passkey? Ok, een passkey is vaak lang, maar je kunt ook een lang wachtwoord pakken. Bij username/password is het ook duidelijker welke hij pakt als je meerdere accounts hebt.
Kortom: ik gebruik het (nog) niet.

[Reactie gewijzigd door pelican op 19 juni 2025 12:23]

[Jim80]

In tegenstelling tot een wachtwoord wordt een passkey zelf nooit verstuurd. De site stuurt een challenge die je met je passkey moet valideren in een response die dus elke keer anders is.
Dit maakt het veel veiliger dan een wachtwoord dat op tig manieren kan uitlekken.
Ik gebruik het met KeepassXC (functioneel gezien is het dan geen 2fa, maar liever dat dan het aan big tech over te laten)

[pelican]

Bedankt voor de uitleg! Ik zal het nog eens aanzetten en checken wat de exacte key is die Bitwarden dan geeft.

[DigitalExorcist]

Het "probleem" is niet zozeer Facebook zélf, maar meer inderdaad de Messenger, Instagram, Threads en Whatsapp wat óók gewoon van Facebook is. (En ja, het is Meta, het moederbedrijf - maar we weten allemaal wel dat dat gewoon een administratief truukje is en Facebook gewoon de grote lijnen bepaalt).

[lowfi]

Ik denk dat dit ook voor weinig mensen interessant is (in Nederland). Vaak zitten "oude" mensen nog wel op FB en die zijn toch minder tecnisch dus zullen dit niet zo snel gebruiken.

Uitzonderingen daar gelaten natuurlijk.