Le credenziali resistenti al phishing sono metodi di accesso molto più difficili da rubare tramite siti web falsi, richieste o pagine di accesso. Gli esempi più noti usano una prova crittografica legata al servizio reale, come le chiavi di sicurezza FIDO2 e le passkey. A differenza delle password o dei codici monouso, non si basano sull'inserimento di un segreto da parte dell'utente in qualunque pagina compaia nel browser.
Questo è importante perché molti attacchi prendono di mira il flusso di accesso stesso. In un attacco sul percorso di rete, la manipolazione del DNS o un captive portal possono indirizzare un utente verso una pagina controllata dall'attaccante che sembra abbastanza legittima da catturare le normali credenziali. L'autenticazione resistente al phishing blocca questa tattica facendo sì che il browser e il dispositivo verifichino il sito previsto prima di rilasciare la credenziale. I difensori la usano per proteggere gli account cloud, l'accesso remoto e gli accessi privilegiati, soprattutto per viaggiatori e utenti ad alto rischio che possono connettersi tramite Wi-Fi non attendibile.