Le chiavi di accesso sono credenziali di accesso resistenti al phishing che sostituiscono le password riutilizzabili. Invece di digitare un segreto che può essere copiato, un dispositivo o un autenticatore memorizza una chiave privata e ne dimostra il possesso durante l'accesso, in genere con dati biometrici, un PIN o lo sblocco del dispositivo. Il server conserva solo una chiave pubblica, quindi non c'è alcuna password da rubare o riutilizzare tra i siti.
Sono importanti perché molti attacchi iniziano con credenziali rubate. Nelle campagne di credential stuffing, gli aggressori testano su larga scala coppie di nome utente e password sottratte, sperando che gli utenti abbiano riutilizzato la stessa password altrove. Le chiavi di accesso interrompono questo schema: una credenziale catturata non può essere riutilizzata su un altro servizio e le pagine di phishing non riescono facilmente a indurre l'utente a consegnare il segreto. Per i difensori, le chiavi di accesso sono un forte passo avanti o una sostituzione delle password, soprattutto nelle app consumer che devono ridurre il rischio di furto degli account.