Как изменить устройство доверия для ключей доступа

Изменить устройство доверия для ключей доступа означает не просто «перенести пароль» с одного телефона или компьютера на другой. В зависимости от того, где создан и сохранён passkey, нужно либо дождаться его синхронизации через менеджер учётных данных, либо создать новый ключ на новом устройстве. Главный принцип такой: сначала обеспечьте рабочий способ входа на новом устройстве, затем проверьте его и только после этого удаляйте старый ключ или отключайте старое устройство.

Это различие имеет практическое значение. Passkey основан на криптографической паре ключей, а сервис получает публичную часть и использует её для проверки подписи. Закрытая часть не передаётся сайту. Поэтому при смене телефона не существует единственного универсального файла, который всегда можно скопировать вручную. Ключ может синхронизироваться внутри конкретной экосистемы, храниться только на прежнем устройстве или использоваться с нового компьютера через механизм межустройственной аутентификации.

Что в действительности означает «изменить устройство доверия»

Выражение «устройство доверия» не является единым названием функции во всех сервисах. Пользователь обычно имеет в виду одну из трёх операций: перенести доступ на новый аппарат, добавить новый аппарат как ещё один способ входа или убрать старый аппарат, которому больше нельзя доверять.

У passkey есть две стороны. Первая — это запись в вашем менеджере учётных данных или на устройстве. Вторая — зарегистрированная на сайте учётная запись, с которой связан соответствующий открытый ключ. Когда вы создаёте новый passkey, сервис получает новую публичную запись. Она не обязательно заменяет старую автоматически.

Из-за этого после покупки нового смартфона у вас некоторое время могут существовать сразу два действующих способа входа: старый passkey и новый. Для обычной миграции это нормально. Удалять старый ключ сразу не требуется, если устройство всё ещё под рукой и вы хотите использовать его как резерв.

Важен и другой момент: удаление ключа в аккаунте и удаление локальной записи на устройстве — не одно и то же. Если сервис отзывает зарегистрированный публичный ключ, конкретный passkey перестаёт работать для этой учётной записи, но его локальная запись может какое-то время оставаться в менеджере паролей. Поэтому после удаления на сайте иногда требуется отдельно привести в порядок хранилище на устройстве.

Как работают ключи доступа и почему устройство имеет значение

Passkeys относятся к семейству технологий FIDO2, где используются WebAuthn и CTAP. При регистрации устройство или другой аутентификатор генерирует криптографическую пару: закрытый ключ и открытый ключ. Сайт сохраняет открытый ключ, а закрытый остаётся под контролем используемого средства аутентификации. При входе устройство подтверждает владение закрытым ключом, обычно после разблокировки с помощью PIN, пароля, отпечатка пальца или распознавания лица.

Именно поэтому нельзя свести всю систему к формуле «ключ лежит в аккаунте». Аккаунт на сервисе знает о зарегистрированной учётной записи и хранит публичную часть, а менеджер учётных данных отвечает за доступность самого passkey на вашем оборудовании.

С точки зрения пользователя существуют два основных сценария.

• Синхронизируемый passkey. Ключ сохраняется в защищённом менеджере учётных данных и может синхронизироваться с другими устройствами той же экосистемы. В этом случае новый телефон часто получает уже существующий passkey после настройки соответствующего аккаунта и защищённого хранилища.
• Привязанный к устройству passkey. Ключ остаётся на конкретном устройстве или аппаратном аутентификаторе и не переносится автоматически. После замены оборудования обычно требуется создать новый passkey и зарегистрировать его в сервисе.

Граница между этими сценариями особенно важна при смене экосистемы. Passkey, синхронизируемый внутри одной системы управления учётными данными, и passkey, физически привязанный к старому аппарату, ведут себя совершенно по-разному.

Кроме того, новый компьютер не обязательно должен получить тот же passkey. FIDO поддерживает межустройственную аутентификацию: например, passkey может оставаться на телефоне, а вход выполняется на ноутбуке после подтверждения на находящемся рядом телефоне, в том числе с использованием QR-кода и проверки близости устройств. Это удобно, когда переносить сам ключ на компьютер не нужно.

Когда возникает необходимость менять устройство

На практике причина обычно очевидна, но дальнейшие действия зависят от неё.

Покупка нового смартфона. Это самый распространённый сценарий. Если passkey синхронизируется через ваш менеджер, достаточно правильно настроить новое устройство и восстановить доступ к хранилищу. Если ключ был исключительно локальным, нужно зарегистрировать новый.

Замена компьютера. Для рабочего ПК на Windows ключ может быть сохранён локально через Windows Hello либо в синхронизируемом менеджере. Поэтому сначала нужно выяснить источник хранения, а уже затем решать, нужен ли перенос или новая регистрация.

Переход между экосистемами. Смена iPhone на Android, Android на iPhone, переход между разными менеджерами или смена корпоративной среды требуют отдельной проверки совместимости. Нельзя предполагать, что любой passkey автоматически появится в любом другом менеджере.

Потеря или кража устройства. Здесь задача обратная: не переносить старый ключ, а как можно быстрее лишить потерянное устройство возможности использовать зарегистрированный способ входа и восстановить доступ через другой метод.

Удаление старого аппарата. Даже после успешной миграции старый телефон или компьютер может продолжать фигурировать среди способов входа. Это не всегда проблема: иногда это резервный passkey. Но после продажи, передачи другому человеку или утраты контроля над устройством старый способ необходимо отозвать.

Как безопасно изменить устройство для Passkey

Главное правило миграции — не начинать с удаления. Сначала создаётся новая точка доступа, затем она проверяется, и лишь после этого старый способ можно отзывать.

1. Определите, где находится существующий passkey. Посмотрите настройки паролей и ключей доступа на старом устройстве и в аккаунте сервиса. Ищите признаки конкретного менеджера: Apple Passwords и iCloud Keychain, Google Password Manager, Windows, Microsoft Password Manager или стороннее хранилище.
2. Подготовьте новое устройство. Обновите операционную систему настолько, насколько это разумно, настройте блокировку экрана и войдите в соответствующий аккаунт менеджера учётных данных. Для защищённой синхронизации может потребоваться PIN менеджера, способ разблокировки старого устройства или дополнительная проверка личности.
3. Проверьте синхронизацию. Откройте раздел с сохранёнными passkeys на новом устройстве и найдите нужный сервис. Если ключ появился, это хороший признак, но одного его наличия недостаточно: переходите к реальной проверке входа.
4. Выполните тестовую авторизацию. Выйдите из сервиса или откройте его в отдельном сеансе и войдите с помощью нового устройства. Убедитесь, что система действительно использует passkey, а не сохранённый пароль, код или другой механизм.
5. При отсутствии синхронизации создайте новый passkey. В настройках безопасности нужного аккаунта найдите управление ключами доступа и зарегистрируйте новый аппарат. Старый ключ при этом обычно остаётся действующим, пока вы явно не удалите его или сервис не отзовёт его.
6. Проверьте резервный способ входа. Убедитесь, что у вас остаётся хотя бы один дополнительный способ восстановления, предусмотренный самим сервисом. Это особенно важно перед удалением последнего старого passkey.
7. Только после проверки удалите старый ключ при необходимости. Если старое устройство больше не ваше, было потеряно или используется другим человеком, удаление лучше не откладывать. Если оно ещё у вас и безопасно хранится, его можно временно оставить как резерв.

Не удаляйте старый passkey только потому, что новый уже появился в списке. Наличие записи не доказывает, что вход с неё работает. Сначала выполните контрольную авторизацию на новом устройстве и убедитесь, что сможете восстановить доступ, если что-то пойдёт не так.

Apple: что происходит при смене iPhone или Mac

В экосистеме Apple passkeys могут храниться в iCloud Keychain и становиться доступными на устройствах, где выполнен вход в ту же учётную запись Apple. Apple указывает, что сохранённые ключи доступа защищённо синхронизируются между поддерживаемыми устройствами; для работы iCloud Keychain требуется, среди прочего, включённая двухфакторная аутентификация.

Поэтому при переходе на новый iPhone логика обычно выглядит так: настраивается новое устройство, включается синхронизация паролей и ключей, после чего проверяется наличие нужного passkey. В актуальных версиях iOS управление сохранёнными ключами находится в приложении Passwords. Название и расположение разделов могут отличаться между версиями системы.

При этом Apple допускает сценарий, когда passkey используется на другом устройстве без переноса самого ключа на него. Например, iPhone может подтверждать вход на компьютере через межустройственную аутентификацию. На экране компьютера появляется QR-код, который сканируется телефоном, после чего вход подтверждается на телефоне.

Если конкретный ключ нужно заменить, а не просто сделать его доступным на новом аппарате, создаётся новый passkey для того же аккаунта, после чего старый при необходимости удаляется. В приложении Passwords можно удалить сохранённый passkey отдельно.

Google: перенос через Google Password Manager

У Google логика зависит от того, каким способом сохранён passkey. Google Password Manager умеет синхронизировать ключи между поддерживаемыми устройствами и браузерами, а для доступа к синхронизированным данным на новом устройстве могут применяться Google Password Manager PIN или механизм разблокировки Android.

При переходе на новый телефон сначала имеет смысл войти в тот же Google Account и проверить Google Password Manager. Если нужный passkey синхронизирован, создавать его заново только ради смены телефона может не потребоваться.

Есть важная особенность Android. Google указывает, что некоторые passkeys могут автоматически регистрироваться для Android-устройства. Для таких записей управление может быть связано не только с самим объектом passkey, но и с сеансами устройства в аккаунте. Поэтому после потери телефона стоит проверить раздел управления устройствами и завершить сеансы, связанные с потерянным аппаратом.

Если passkey удалить в Google Account, но браузер всё равно предлагает его при входе, причина может быть в том, что локальная копия сохранилась в стороннем менеджере учётных данных. Тогда удаление требуется выполнить и там.

Для входа на компьютер со смартфона Google также поддерживает межустройственный сценарий с QR-кодом. Это полезно, когда вам нужен защищённый вход на конкретном компьютере, но постоянная регистрация нового passkey на нём не нужна.

Microsoft: локальные ключи Windows и синхронизируемые менеджеры

В Windows passkeys могут быть сохранены локально на самом компьютере, например через Windows Hello, либо помещены в синхронизируемый менеджер. В актуальной документации Microsoft для Windows 11 управление локальными passkeys доступно через настройки, а отдельные ключи для Microsoft Account отображаются в панели безопасности аккаунта.

Это создаёт два разных сценария смены компьютера. Если ключ был привязан к старому Windows-устройству, Microsoft рекомендует сначала добавить новый passkey, а старые записи удалить после проверки нового способа входа. Если же ключ сохранялся в синхронизируемом менеджере учётных данных, повторная регистрация на новом устройстве может не понадобиться: после входа в тот же менеджер passkey становится доступен там, где поддерживается синхронизация.

В настройках Windows название и набор параметров могут зависеть от версии системы и политики организации. На корпоративном компьютере администратор может ограничивать доступ к отдельным функциям управления passkeys. Поэтому отсутствие какого-либо пункта меню ещё не означает, что сам протокол не поддерживается.

Другие сервисы: почему универсальной кнопки «перенести Passkey» нет

Passkey — общий стандарт, но управление им зависит сразу от нескольких участников: сайта, операционной системы, браузера и поставщика хранилища. Поэтому в одном сервисе вы увидите список зарегистрированных ключей с названиями устройств, а в другом — только набор способов входа без явного указания модели телефона.

Если сервис поддерживает passkeys, чаще всего искать управление нужно в разделе безопасности аккаунта. Запись может называться «Ключи доступа», «Passkeys», «Способы входа», «Security keys» или аналогично. Названия могут меняться после обновления интерфейса.

Не следует путать регистрацию нового passkey в самом сервисе с копированием существующего ключа между менеджерами. В первом случае создаётся новая криптографическая учётная запись. Во втором речь идёт о переносе или синхронизации уже существующего защищённого секрета. Эти операции зависят от возможностей конкретного хранилища.

Что делать, если старого устройства больше нет

Потеря телефона не означает автоматической потери аккаунта, особенно если passkey синхронизировался и у вас есть другое устройство с доступом к тому же менеджеру. Но действовать нужно иначе, чем при обычной замене смартфона.

Сначала войдите в сервис через оставшийся способ: другой passkey, пароль, резервный код, аппаратный ключ или другой разрешённый механизм восстановления. После этого откройте список способов входа и найдите запись, связанную с потерянным устройством.

Если устройство могло попасть к постороннему человеку, не ограничивайтесь удалением самого телефона из списка устройств аккаунта. Проверьте зарегистрированные passkeys и отзовите тот, который связан с потерянным аппаратом, если он больше не нужен. Для Google отдельно предусмотрено удаление автоматически созданного Android-ключа через управление устройствами; Microsoft также рекомендует удалять старые ключи после создания нового.

После этого проверьте все остальные способы восстановления. Особенно внимательно отнеситесь к ситуации, когда потерянное устройство было единственным доступным средством аутентификации.

Если старого устройства нет, не пытайтесь сначала «почистить» список устройств, а уже потом искать способ входа. Сначала восстановите контроль над аккаунтом с помощью оставшегося метода, затем отзывайте утраченный passkey. Иначе вы можете удалить последний рабочий путь к учётной записи.

Чем перенос отличается от создания нового ключа

Ситуация	Что происходит	Что обычно делать
Синхронизируемый passkey в той же экосистеме	Ключ становится доступен новому устройству через менеджер	Настроить менеджер на новом устройстве и проверить вход
Локальный или device-bound passkey	Ключ остаётся привязанным к старому аутентификатору	Создать и зарегистрировать новый passkey
Вход на другом компьютере со смартфона	Ключ остаётся на телефоне, компьютер выступает как устройство, на котором выполняется вход	Использовать межустройственную аутентификацию, например через QR-код
Потеря старого устройства	Утрачен контроль над локальным аутентификатором	Восстановить аккаунт другим способом и отозвать старый ключ
Переход на другую экосистему или менеджер	Автоматическая доступность существующего ключа не гарантируется	Проверить поддержку синхронизации и при необходимости создать новый ключ

Ошибки, из-за которых пользователи теряют доступ

Удаление старого ключа раньше времени

Ошибка кажется логичной: новый телефон уже настроен, значит старый можно удалить. Но если новый passkey отображается только локально или вход фактически выполняется другим способом, после удаления старой записи запасной путь исчезает.

Отсутствие резервного способа входа

Passkey удобен именно потому, что не требует запоминать пароль. Но это не означает, что вам никогда не понадобится второй способ восстановления. Перед удалением последнего старого ключа убедитесь, что сервис предоставляет другой допустимый механизм доступа.

Непроверенная синхронизация

Включённый переключатель синхронизации ещё не является доказательством того, что нужная запись уже доступна на новом устройстве. Менеджеру может потребоваться дополнительная разблокировка, восстановление защищённого хранилища или завершение настройки.

Путаница между аккаунтом и устройством

Учётная запись сервиса может содержать несколько зарегистрированных passkeys. Одновременно один менеджер может хранить несколько ключей для разных сервисов. Удаление аккаунта на телефоне, удаление устройства из аккаунта или удаление конкретного passkey — три разные операции.

Создание множества ключей без понятных названий

Несколько passkeys сами по себе не являются проблемой. Но через год сложно понять, относится ли запись «Chrome», «Android» или «Device» к текущему телефону или к старому компьютеру. Там, где сервис позволяет переименовывать ключи, используйте понятные обозначения вроде «Основной телефон» или «Рабочий ноутбук».

Практический чек-лист перед удалением старого устройства

Перед окончательным отключением старого телефона или компьютера полезно последовательно проверить несколько вещей:

• на новом устройстве доступен нужный passkey или зарегистрирован его новый эквивалент;
• контрольный вход выполнен именно с нового устройства;
• известно, где хранится новый ключ и какой менеджер им управляет;
• есть резервный способ восстановления аккаунта;
• в списке способов входа понятны назначения старых и новых passkeys;
• старое устройство больше не нужно как резервный способ входа;
• после продажи или передачи устройства из аккаунта завершены связанные сеансы и отозваны ненужные ключи.

Особенно полезно сделать эту проверку до сброса старого смартфона. После полного удаления данных с него уже нельзя будет воспользоваться локальным passkey для проверки, а некоторые привязанные к устройству ключи не удастся восстановить.

Как понять, где физически находится ваш passkey

Универсального экрана с надписью «местоположение ключа» нет. Определить его можно по поведению системы.

Если после входа в тот же аккаунт менеджера на новом устройстве passkey появляется без повторной регистрации, вероятнее всего, используется синхронизируемый credential manager. Если новый аппарат его не видит, а старый продолжает предлагать вход, возможно, ключ привязан к прежнему устройству.

Дополнительную подсказку даёт интерфейс самого сервиса. В списке passkeys могут отображаться источник хранения, дата последнего использования или имя устройства. Microsoft, например, показывает информацию о том, где сохранён passkey, и позволяет переименовывать и удалять отдельные записи.

При этом не стоит делать слишком буквальный вывод из подписи вроде «iPhone», «Windows» или «Google Password Manager». Название может описывать поставщика хранилища, платформу или зарегистрированный аутентификатор, а не конкретную физическую модель аппарата.

Можно ли просто перенести один Passkey с телефона на компьютер

Иногда для этого вообще не нужен перенос. Если задача состоит только в том, чтобы войти на компьютере один раз или пользоваться телефоном как подтверждающим устройством, межустройственная аутентификация позволяет оставить passkey в телефоне. Компьютер показывает запрос на вход, телефон подтверждает его, а пользователь проходит локальную проверку. Такой механизм стандартизирован FIDO и предназначен именно для сценариев, когда ключ не хранится непосредственно на устройстве, где открыт сайт.

Если же вы хотите, чтобы компьютер самостоятельно показывал passkey в своём менеджере и мог использовать его без телефона, это уже другая задача. Здесь потребуется поддержка соответствующего синхронизируемого хранилища или регистрация отдельного ключа на компьютере.

Что меняется при переходе между Apple, Google и Microsoft

С точки зрения протокола основа остаётся общей: сервис регистрирует криптографическую учётную запись, а средство аутентификации подтверждает владение закрытым ключом. Различия начинаются на уровне хранения, синхронизации, восстановления и пользовательского интерфейса.

У Apple центральную роль играет iCloud Keychain, у Google — Google Password Manager и связанные с ним механизмы защиты, у Microsoft — Windows, Microsoft Password Manager и панель безопасности аккаунта. При этом сторонние менеджеры тоже могут быть passkey provider и использоваться там, где платформа позволяет выбрать поставщика.

Поэтому переход между экосистемами лучше воспринимать не как копирование «устройства доверия», а как проверку цепочки: где создан ключ → где он сохранён → синхронизируется ли он → доступен ли новый аппарат этому хранилищу → зарегистрирован ли ключ на стороне сервиса.

Частые вопросы

Нужно ли создавать новый passkey при каждой смене телефона?

Нет. Если passkey синхронизируется через поддерживаемый менеджер учётных данных и новый телефон подключён к тому же хранилищу, существующий ключ может стать доступен автоматически. Для локального или device-bound passkey такой перенос не гарантируется, поэтому потребуется новый ключ.

Можно ли удалить старый телефон, не удаляя passkey?

Зависит от того, как зарегистрирован ключ. Один зарегистрированный passkey может быть синхронизирован и использоваться на нескольких устройствах, тогда как другой может быть связан только со старым аппаратом. Удаление самого устройства из аккаунта не всегда означает отзыв каждого passkey, поэтому проверяйте отдельный список способов входа.

Что делать, если старый passkey всё ещё предлагается после удаления?

Проверьте не только аккаунт на сайте, но и локальные или сторонние менеджеры. Google прямо указывает, что после удаления passkey в аккаунте он может продолжать предлагаться, если копия сохранилась в стороннем credential manager.

Безопасно ли хранить несколько passkeys для одного аккаунта?

Да, несколько ключей могут выполнять роль независимых способов входа на разных устройствах. Практический смысл такой схемы — иметь резервный способ доступа. Ненужные и утратившие актуальность ключи следует отзывать, особенно если устройство продано, потеряно или передано другому человеку.

Что делать, если я не знаю, где хранится мой passkey?

Начните со страницы безопасности самого сервиса. Посмотрите название passkey, дату использования и сведения об источнике, если они показываются. Затем проверьте менеджер паролей на используемом телефоне или компьютере. Такой путь позволяет отличить ключ аккаунта от локальной записи менеджера и понять, нужна ли миграция или новая регистрация.

Как действовать после смены устройства

Главный принцип изменения устройства доверия для ключей доступа прост: не заменяйте старое устройство вслепую — сначала создайте или восстановите рабочую точку входа на новом. Если passkey синхронизируется, настройте тот же менеджер и проверьте, что ключ появился. Если ключ был привязан к старому устройству, создайте новый и зарегистрируйте его в нужном аккаунте. Если старого устройства больше нет, сначала восстановите доступ другим способом и только затем отзывайте потерянный ключ.

После переноса выполните реальный тест входа, проверьте резервный способ восстановления и разберитесь, какие старые записи ещё имеют смысл. Для нового телефона обычно достаточно оставить старый passkey на короткое время как резерв и удалить его после успешной проверки. Для проданного или потерянного устройства приоритет другой: ненужный ключ и связанные сеансы следует отозвать как можно скорее.

Такой порядок помогает избежать главной ошибки при миграции Passkeys: принять наличие нового устройства за доказательство того, что доступ уже полностью перенесён. На практике меняется не один объект, а вся связка между сервисом, зарегистрированным публичным ключом, защищённым хранилищем и устройством, которое подтверждает владение закрытой частью.