Un autenticatore sincronizzabile è una credenziale in stile passkey che può essere copiata o ripristinata tra i dispositivi di un utente tramite un servizio di sincronizzazione dell'account. Continua a usare un'autenticazione crittografica forte, ma la sua sicurezza non dipende più solo dal dispositivo che l'ha creato; dipende anche da come il fornitore protegge la sincronizzazione, il ripristino dell'account e l'applicazione delle policy.
Questo è importante perché l'accesso resistente al phishing può essere indebolito se gli attaccanti prendono di mira il sistema di identità circostante invece dell'autenticatore stesso. In attacchi reali, i criminali possono cercare di abusare del ripristino dell'account cloud, rubare token di sessione o manipolare i flussi di reset dell'help desk per ottenere accesso alle credenziali sincronizzate. I difensori dovrebbero trattare gli autenticatori sincronizzabili come parte di un più ampio piano di controllo dell'identità: richiedere un ripristino robusto, monitorare le modifiche di registrazione, limitare i metodi di fallback e applicare policy basate sul dispositivo e sul rischio. Se usati bene, migliorano l'usabilità senza sacrificare la sicurezza; se usati con superficialità, creano una via di accesso ad alto valore a più account contemporaneamente.