Passkey заменяет передачу пароля криптографическим подтверждением. Секрет сайту не отправляется.
Вход привязан к домену
Правильно настроенный passkey создает отдельную пару ключей для конкретного сервиса, поэтому поддельная страница не получает подтверждение, пригодное для настоящего домена.
Подготовьте второй путь
До потери телефона добавьте другое доверенное устройство, запасной аппаратный ключ или предусмотренный сервисом способ восстановления, затем сохраните уведомления о новых authenticator и инструкцию вне самого облачного профиля.
Проверьте синхронизацию
Синхронизируемый passkey удобен на нескольких устройствах, но безопасность зависит от защиты облачного аккаунта, его восстановления, блокировки экрана и списка подключенных устройств.
После добавления passkey выполните тестовый вход на втором устройстве и убедитесь, что знаете процедуру отзыва потерянного ключа без отключения защиты аккаунта и потери остальных способов входа.
Методы сравнивает статья про MFA и ключи. Модель описывает NIST SP 800-63B.