密碼匙 PassKey
第一次設定 Passkey：原來冇想像中咁複雜
最近收到券商通知，話登入方式會轉用 passkey。第一個反應係：「又要搞新嘢？Passkey 係咪另一組密碼？換手機之後會唔會入唔返個戶口？」
好多人本身唔係電腦高手，平時只係用手機買賣股票、間中用電腦睇盤。但當實際設定過一次之後，發現 passkey 冇個名聽落咁複雜。簡單講，佢就好似將券商戶口鎖匙放咗入自己部手機，用 Face ID、指紋或者手機 PIN 開鎖。登入時唔使再等 SMS 驗證碼，亦唔使記多一組密碼。
香港證券及期貨事務監察委員會，即係 SFC 喺 2026 年 7 月要求網上券商同持牌虛擬資產交易平台，逐步停用 SMS 或電郵 OTP 作登入及綁定裝置認證，改用較難被釣魚網站偷走嘅方法。Passkey 係其中一個獲接受嘅選擇，安全綁定裝置亦可以，所以並唔係所有券商都一定會出現完全相同嘅 passkey 畫面。
大型券商要立即開始做，其他平台最遲要喺 2027 年 7 月 8 日前完成。[SFC 官方通函]
Passkey 同 Face ID 有咩分別？
呢個位最初都幾混亂。
Face ID 或指紋唔係 passkey 本身。Passkey 先係登入券商戶口嗰條數碼鎖匙，而 Face ID、指紋或者手機 PIN，就係證明揸住部機嘅人有權使用條鎖匙。
設定時，券商會保存一條公開鎖匙，另一條私人鎖匙就留喺自己部手機、電腦或者 password manager。登入時，兩邊確認配對正確先放行。券商唔會收到用戶嘅指紋，Face ID 相片亦唔會傳去券商。
最大分別係，普通密碼同 SMS 驗證碼可以被假網站呃走。Passkey 就會認住真正嘅券商網站或 App，去到冒牌網址通常唔會幫用戶登入。當然，呢個唔代表以後可以亂撳連結，只係少咗一個最常見嘅失守位。
iPhone 設定嘅過程
正式開始之前，先更新券商 App 同 iOS，亦確認部手機已經設定 Face ID。
之後去：
「設定」→ 自己個名 →「iCloud」→「密碼與鑰匙圈」
確認同步功能已經開啟。再去：
「設定」→「一般」→「自動填寫與密碼」
開啟自動填寫密碼及 passkey。
跟住由券商官方 App 正常登入，喺「設定」或者「保安中心」搵 passkey。不同券商叫法可能唔同，見「Passkey」、「通行密鑰」、「登入保安」同「裝置管理」。
撳「建立 Passkey」之後，iPhone 彈出一個確認畫面。先睇清楚顯示嘅券商同戶口名稱，冇問題先撳繼續，再望一望部機完成 Face ID。成個過程其實同用 Face ID 批准 Apple Pay 差唔多。
完成之後，特登登出券商 App，再重新開一次。登入頁揀「使用 Passkey」，望一望部機，就成功入到戶口。去到呢一步，先當設定完成，冇立即刪除原本嘅登入方法。
Apple 表示，passkey 可以透過 iCloud Keychain 同步到使用相同 Apple Account 嘅 iPhone、iPad 同 Mac，不過要先開啟 iCloud Keychain 同 Apple 帳戶雙重認證。[Apple 官方說明]
Android設定嘅過程
於 Android 設定時，步驟其實差唔多。
首先要確保手機有螢幕鎖，可以係指紋、面容、PIN 或圖形密碼。
然後去手機「設定」，搜尋「Password」、「Passkey」或者「自動填入」。一般會見到：「密碼、Passkey 及帳戶」
入面可以選 Google Password Manager、Samsung Pass，或者自己一直使用嘅 password manager。
揀好之後，打開券商 App，登入戶口，再到保安設定建立 passkey。核對帳戶名稱，然後用指紋或者手機 PIN 確認，就完成。
如果儲存到 Google Password Manager，passkey 通常可以跟住 Google Account 去其他 Android 裝置。不過，有啲券商可能將登入資格直接綁定某一部手機，所以唔假設換機後一定自動可用。最安全都係換機前睇清楚券商指引，再用新機試登入一次。[Google Android 官方說明]
用 Windows 電腦又點算？
平時多數用 Windows 電腦睇盤。設定前先去：
「設定」→「帳戶」→「登入選項」
確認 Windows Hello PIN 已經設定。如果部電腦有指紋或面容辨識，亦可以一併設定。
之後用最新版 Edge 或 Chrome，輸入券商官方網址。呢點幾重要，唔會由 SMS、電郵廣告或者搜尋結果入去。登入後去保安設定新增 passkey，Windows 可能會問我想將 passkey 儲存喺邊度。
如果係自己屋企嘅私人電腦，可以選 Windows Hello，之後用 PIN、指紋或者面容確認。咁下一次登入券商網站，就可以直接用 Windows Hello。
如果係公司電腦、共用電腦，或者一部自己唔完全控制嘅電腦，就唔會將 passkey 存落去。
會揀「使用另一部裝置」或者「iPhone、iPad 或 Android」，等電腦顯示一個 QR code，再用自己手機掃描。
Windows 11 入面已儲存嘅 passkey，可以去「設定」→「帳戶」→「Passkeys」查看同刪除。[Microsoft 官方說明]
手機有 Passkey，點樣登入電腦？
呢個係最初最唔明、實際用落又最方便嘅功能。
先喺電腦打開券商官方網站，選擇用 passkey 登入，再揀「另一部裝置」。電腦會顯示一個 QR code，用手機相機掃描，手機隨即問係咪批准登入。完成 Face ID 或指紋後，電腦個網頁就自動登入。
兩部裝置通常要開啟 Bluetooth、放得比較近，同時連接網絡。如果掃完冇反應，先檢查 Bluetooth，而唔係不停重試或者亂改設定。
只掃描自己啱啱喺官方網站叫出嚟嘅 QR code。任何經 WhatsApp、SMS、Telegram 或電郵傳過嚟，話要「重新認證券商戶口」嘅 QR code，都唔會掃。
最擔心：唔見手機點算？
有 passkey 之後，第一個疑問就係：「如果部手機跌咗落街，係咪連股票戶口都冇埋？」
其實重點係事前留一條後路。會喺自己另一部私人裝置建立第二個登入方法，例如私人電腦或者實體 security key。SFC 現行要求係一般唔應該為同一帳戶登記超過三個 passkey及／或三部裝置，所以亦唔需要見一部裝置就綁一部。
換新手機時，唔會急住清除舊機。會先喺新機登入原本嘅 Apple Account 或 Google Account，等同步完成，再測試券商登入。
如果 passkey 冇同步，就趁舊機仲用到，登入券商新增新裝置。新機確認入到戶口之後，先撤銷舊機。
如果部手機真係遺失，先用 Apple Find My 或 Google Find Hub 鎖機，跟住用另一部可信裝置登入券商，撤銷遺失手機嘅 passkey同裝置資格。之後檢查登入紀錄、交易、提款同個人資料有冇被改動。如果見到可疑活動，就直接用券商官方網站列出嘅熱線聯絡客服，唔會回覆任何突然打嚟、自稱可以幫手嘅「職員」。
最重要嘅幾件事
Passkey 唔係萬能防騙工具。騙徒偷唔到 passkey，仍然可以扮客服叫受騙人分享畫面、安裝遙距控制 App，或者要求受騙人讀出手機 PIN。
所以而家每次手機突然彈出 Face ID、指紋或 passkey 確認，要先停一停：呢個登入係咪自己啱啱發起？畫面顯示嘅係咪正確券商？如果答案唔係肯定，就直接取消。
對普通用戶，最簡單嘅做法係將主要 passkey 放喺每日使用、有 Face ID 或指紋保護嘅手機；自己嘅私人電腦可以留一個備用方法；其他電腦就用手機掃 QR code。最後再開啟券商嘅登入、交易、提款同新增裝置通知。
總之，試下安裝，然後試下用去登入，手機電腦都試下。唔好到要落盤先臨急搞。另外，唔知幾時eMPF 又會跟隨要用passkey登入，改投資及提取。