Un fattore di sblocco del dispositivo è un controllo locale, come un'impronta digitale, Face ID o il PIN del dispositivo, che approva l'uso di una passkey memorizzata su un telefono, un laptop o una chiave di sicurezza. Non è la passkey stessa e non viene condiviso con il sito web. Invece, sblocca il dispositivo in modo che l'accesso crittografico possa completarsi. Il servizio riceve la prova dalla passkey, mentre il dato biometrico o il PIN restano sul dispositivo dell'utente.
Questo è importante perché le passkey riducono il phishing eliminando le password riutilizzabili, ma la protezione dipende dall'affidabilità del dispositivo. Se un attaccante ruba un dispositivo sbloccato, induce un utente ad approvare l'accesso o sfrutta politiche PIN locali deboli, potrebbe riuscire a usare la passkey. Chi difende i sistemi si preoccupa quindi della sicurezza del dispositivo, di blocchi schermo robusti, di una registrazione sicura e di flussi di ripristino sicuri. Negli attacchi reali, i criminali spesso passano dal phishing delle password al furto dei dispositivi, all'elusione dei controlli locali o al targeting dei percorsi di accesso di fallback.