passkey 名單點名 Instagram、Netflix：密碼同 SMS 2FA 真係要換
新網站追蹤邊啲大站仲未支援，香港 .hk 名單都幾刺眼
名單講咩
TechCrunch 報道嘅新站 Why No Passkeys?，係安全研究員 Scott Helme 做嘅公開名單；佢用 Cloudflare Radar 排全球同美國熱門網站，再用 passkeys.directory 睇支援狀態。網站顯示，呢批數據喺 2026 年 6 月 24 日 11:16 UTC 生成；全球最常用、又有登入嘅 25 個熱門網站／服務入面，有 6 個未支援 passkey，即係 24%。紅名單入面有 Instagram、Netflix、Spotify、Samsung、Baidu 同 Ubiquiti 嘅 ui.com；Apple、Google、Microsoft、Amazon、ChatGPT 等就喺綠色嗰邊。Instagram 仲有灰位：TechCrunch 指，帳戶如果綁住已有 passkey 嘅 Facebook，先有得用；獨立 Instagram 流程暫時仍未算齊。
圖片：Scott Helme
點解要緊
Passkey 唔係另一個短碼。簡單講，網站只存 public key，真正用嚟簽名嘅 private key 留喺你部手機、電腦、password manager 或硬件 security key。登入時，你用 Face ID、指紋、PIN 解鎖本機，裝置再同正確 domain 對暗號。釣魚網頁就算扮到好似真 login，都攞唔到可重用密碼；SMS OTP 又要打入去，俾人誘導或者撞上 SIM swap 都有位出事，passkey 對呢類攻擊硬淨好多。FIDO Alliance 亦講得好清楚，passkey 可以取代密碼加 SMS OTP 呢類舊式流程，重點係減少釣魚、credential stuffing 同 server 密碼外洩風險。
名單唔好照單全收
Helme 自己喺 about 頁都講得好白：passkey 支援唔可以可靠咁自動掃，因為註冊流程好多時藏喺登入後面。呢份名單係拎 passkeys.directory 呢個社群目錄做來源；如果某服務啱啱上線、或者只限部分地區同平台，網站未必即時反映。所以 No passkeys 最合理嘅解讀，應該係「暫時未喺公開目錄見到」，唔好當成最終定論。另外，「有 passkey」都有分級，有啲係真 passwordless，有啲只係當第二重驗證用，安全同方便程度差好遠。
香港有咩意思
比較有料嘅位係香港頁。whynopasskeys.com/country/hk 用 ccTLD 方法睇 .hk 相關網站，唔係全香港人每日最常開嗰堆國際 app；呢個限制要先講清楚。不過結果都幾刺眼：同一批 2026 年 6 月 24 日數據入面，香港頁標示 25 個本地 domain 有 21 個有登入但未見 passkey，另有 3 個標示冇登入。名單見到 hsbc.com.hk、gov.hk、hkex.com.hk、ulifestyle.com.hk 等，呢啲唔代表佢哋一定永遠冇做，只係反映本地 domain 喺公開目錄見到嘅支援進度仲慢過國際巨頭。
實際點做
最實際做法：先處理最值錢嘅帳戶。電郵、Apple ID、Google、Microsoft、Amazon、password manager、雲端相簿、工作用 SaaS、有付款資料嘅購物帳戶，全部入 account / security / sign-in 設定搵 passkey。有得開就開，最好同時保留 recovery codes，確保救援電郵同電話係自己控制。冇 passkey 嘅服務，就用獨立長密碼，加 password manager，再揀 authenticator app 或硬件 security key 做 2FA；真係冇得揀先用 SMS。
個 take
呢份名單最有用，係直接畀你見到邊啲大站仲未跟上。passkey 而家已經唔係得 tech 人先會用。Apple、Google、Microsoft、1Password、Bitwarden 同主流 browser 都基本 ready；公司遲遲未加，可能同舊帳戶系統、客服流程、跨平台同步，同埋擔心用戶鎖死帳戶後增加 support case 有關。與其等大公司慢慢加，不如先幫電郵、雲端、付款同工作帳戶開咗 passkey；剩低未支援嘅，至少唔好再用同一組密碼加 SMS 硬撐。
參考來源
- TechCrunch — New website names and shames companies that still don’t offer passkeys to users — original report
- Why No Passkeys? — 核對全球名單、6/25 同 24% 數字，以及各大網站現時標示
- Why No Passkeys? About — 核對方法學、資料來源、限制同數據生成時間
- Why No Passkeys? Hong Kong page — 核對 .hk 相關網站名單、21/25 數字同本地角度
- Scott Helme：Why No Passkeys? Naming the top sites that still don’t support them — 網站發佈背景、建立動機同方法補充
- FIDO Alliance：Passkeys — 官方解釋 passkey 點運作、點解抗釣魚同可以取代密碼加 SMS OTP
- Passkeys.directory — Why No Passkeys? 用嚟判斷支援狀態嘅社群目錄
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
