Panduan Kunci Sandi (Passkey): Beli vs. Bangun Sendiri

Unduh Panduan Passkey Beli vs. Bangun Lengkap#

Unduh panduan Passkey Beli vs Bangun selengkapnya secara gratis dan dapatkan akses ke semua wawasan.

• ✅ Diminta oleh tim di Adidas, Woolworths & Mitsubishi
• ✅ Daftar lengkap blok bangunan & model biaya untuk memutuskan antara membeli vs. membangun
• ✅ Kerangka kerja pengambilan keputusan 50 halaman yang praktis

1. Motivasi: Haruskah Saya Membeli atau Membangun Solusi Autentikasi Passkey?#

Gagasan membangun implementasi passkey Anda sendiri terdengar menarik: kendali penuh, integrasi khusus, dan tanpa vendor lock-in. Lagipula, FIDO2 didasarkan pada standar terbuka dan menulis baris pertama kode WebAuthn tampaknya cukup mudah. Seberapa sulit sebenarnya hal itu?

Tetapi di sinilah kompleksitas sering kali dimulai, terutama saat Anda berencana membangun solusi untuk skenario penyebaran konsumen skala besar dengan jutaan pengguna di industri seperti:

• Perbankan & Layanan Keuangan (misalnya, perbankan online, portal pembayaran, tekfin)
• Pemerintah & Layanan Publik (misalnya, portal warga, platform pajak & jaminan sosial)
• Asuransi & Layanan Kesehatan (misalnya, portal pasien, platform asuransi digital)
• E-commerce & Ritel (misalnya, pasar daring, program loyalitas)
• Telekomunikasi & Utilitas (misalnya, operator seluler, penyedia energi)
• Perjalanan & Perhotelan (misalnya, akun maskapai penerbangan, program loyalitas hotel)

Tantangan sebenarnya dimulai setelah login passkey sukses pertama dan sering kali baru terungkap saat Anda sudah mengimplementasikan solusi passkey Anda. Tiba-tiba hal-hal seperti kasus tepi yang aneh, kesalahan pengguna yang membingungkan, dan potensi pengguna terkunci karena tidak tersedianya passkey muncul. Apa yang tampak seperti integrasi langsung berubah menjadi upaya pengembangan berbulan-bulan atau bahkan bertahun-tahun, biaya pemeliharaan yang tidak terduga, dan proyek passkey yang berpotensi gagal.

Namun, membangun solusi Anda sendiri juga dapat menjadi pilihan yang tepat untuk beberapa organisasi dan persyaratan spesifik. Kami telah berbicara dengan puluhan organisasi tentang rencana implementasi passkey mereka dan mendampingi beberapa di antaranya dalam perjalanan mereka secara langsung. Panduan ini akan membantu Anda menentukan kapan pendekatan passkey Do-It-Yourself (DIY) mungkin masuk akal dan kapan memilih penyedia passkey yang mapan merupakan keputusan yang lebih cerdas.

Dengan Panduan Passkey Beli vs. Bangun kami, kami ingin menjawab pertanyaan berikut:

1. Komponen apa yang diperlukan untuk mengimplementasikan passkey dan beralih ke tanpa kata sandi?
2. Haruskah saya mengimplementasikan passkey secara internal atau menggunakan vendor passkey eksternal?
3. Apa keuntungan memiliki vendor passkey saat ada pustaka sumber terbuka?
4. Apa tantangan terbesar dalam membangun solusi passkey?
5. Apa risiko mengimplementasikan passkey secara internal?

2. Prasyarat: Mengapa Passkey adalah Standar Login Baru#

Kata sandi sudah usang, tidak aman, dan membuat frustrasi. Passkey menghilangkan risiko phishing, meningkatkan pengalaman pengguna, dan menyederhanakan autentikasi - menjadikannya standar baru untuk login yang aman. Baik Anda membangun secara internal atau menggunakan solusi eksternal, mengintegrasikan passkey merupakan peningkatan besar untuk keamanan dan kegunaan.

Google menemukan bahwa menonjolkan kemudahan penggunaan atau kecepatan beresonansi dan berhasil. Orang umumnya mengeluh tentang masuk (sign in), jadi apa pun yang membuat proses lebih mudah dan lebih cepat adalah sebuah kemenangan.

Di atas manfaat keamanan ini, ada potensi besar untuk penghematan biaya operasional dengan passkey. Anda dapat mengurangi jumlah OTP SMS yang dikirim ke pengguna yang dapat menumpuk secara masif untuk basis pengguna yang besar. Selain itu, beban pemulihan kata sandi dan MFA yang dibebankan pada tim dukungan pelanggan Anda juga merupakan faktor biaya yang dapat dihilangkan.

Selain itu, passkey meningkatkan tingkat keberhasilan login dan waktu login bagi pengguna, yang pada akhirnya menghasilkan tingkat konversi yang lebih baik, yang merupakan pendorong utama pertumbuhan pendapatan di industri seperti e-commerce, ritel, atau perjalanan.

3. Perjalanan Tanpa Kata Sandi: Bagaimana Peran Passkey?#

Tujuan akhir bagi banyak organisasi yang mempertimbangkan pengenalan passkey adalah beralih sepenuhnya tanpa kata sandi (passwordless). Untuk mencapai tujuan ini, biasanya ada empat fase yang harus diselesaikan. Kecepatan perkembangan fase-fase ini sangat bergantung pada kemampuan teknis, pola login, dan basis pengguna organisasi. Dalam beberapa kasus, faktor eksternal seperti tekanan publik untuk memperkenalkan autentikasi yang lebih aman atau kendala keuangan juga dapat berperan.

Mari kita bahas keempat fase ini dan mendeskripsikannya, karena mengimplementasikan passkey hanyalah salah satu langkah dalam memastikan keberhasilan proyek passkey.

3.1 Fase 1: Integrasi Passkey#

Langkah pertama dalam transisi ke sistem tanpa kata sandi penuh adalah mengintegrasikan passkey sebagai metode login. Pada tahap ini, kata sandi dan metode autentikasi lainnya tetap ada sebagai opsi cadangan untuk memastikan pengguna masih dapat mengakses akun mereka jika belum mengadopsi passkey. Integrasi yang sukses membutuhkan kompatibilitas tanpa batas dengan alur login dan kebijakan keamanan yang ada. Organisasi harus fokus pada membuat pembuatan passkey menjadi mudah, memastikan bahwa pengguna teknis dan non-teknis dapat mengadopsi metode autentikasi baru tanpa hambatan.

3.2 Fase 2: Tingkatkan Adopsi Passkey#

Setelah passkey diintegrasikan, tantangan berikutnya adalah mendorong adopsi passkey oleh pengguna. Banyak organisasi meremehkan pentingnya fase ini, namun tanpa adopsi pengguna yang luas, proyek passkey kemungkinan akan gagal. Tujuannya adalah mendorong sebanyak mungkin pengguna untuk membuat dan menggunakan passkey, idealnya menjadikannya metode login default.

Taktik utama untuk meningkatkan adopsi mencakup edukasi pengguna yang proaktif, dorongan UI yang mempromosikan pembuatan passkey, dan program insentif yang memberikan penghargaan kepada pengguna karena beralih. Organisasi harus menetapkan ambang batas adopsi kritis, seperti 50-80% pengguna aktif yang menggunakan passkey, sebelum berlanjut ke fase berikutnya. Untuk pemahaman lebih dalam tentang mengapa adopsi sangat penting, rujuk ke artikel khusus kami tentang bagaimana tingkat adopsi yang buruk dapat membahayakan proyek passkey Anda.

3.3 Fase 3: Hapus Kata Sandi#

Saat adopsi passkey mencapai massa kritis, organisasi dapat mulai menghapus kata sandi secara bertahap. Namun, menghapus kata sandi terlalu dini atau tanpa perencanaan yang cermat dapat menyebabkan masalah kegunaan dan peningkatan permintaan dukungan. Pendekatan bertahap disarankan:

• Mulailah dengan menghapus kata sandi dari akun tempat pengguna secara konsisten mengautentikasi dengan passkey.
• Tawarkan penghapusan kata sandi sebagai opsi dalam pengaturan akun untuk pengadopsi awal (early adopters).
• Gunakan wawasan berbasis data untuk mengidentifikasi pengguna yang siap untuk beralih sepenuhnya tanpa kata sandi. Misalnya, pengguna dengan beberapa passkey terdaftar di berbagai perangkat dapat diprioritaskan untuk penghapusan kata sandi.
• Komunikasikan secara proaktif manfaat penghapusan kata sandi untuk membangun kepercayaan pengguna.

Dengan memandu pengguna secara strategis menuju autentikasi tanpa kata sandi penuh, organisasi dapat memaksimalkan keamanan tanpa mengganggu pengalaman pengguna.

3.4 Fase 4: Otomatisasi Pemulihan Akun#

Setelah kata sandi dihapus, mekanisme pemulihan akun harus kuat dan aman. Metode pemulihan tradisional sering kali bergantung pada intervensi manual, seperti tiket dukungan atau reset email, yang dapat memunculkan risiko keamanan dan biaya operasional. Organisasi harus menerapkan solusi pemulihan akun mandiri modern yang mempertahankan keamanan sekaligus meningkatkan pengalaman pengguna.

Elemen kunci dari pemulihan akun otomatis meliputi:

• Liveness checks: Cegah pengambilalihan akun yang tidak sah dengan memastikan pengguna hadir secara fisik.
• Verifikasi ID: Manfaatkan tanda pengenal yang diterbitkan pemerintah dan verifikasi biometrik untuk mengonfirmasi identitas.
• Passkey cadangan: Izinkan pengguna memulihkan akun menggunakan passkey cadangan yang disimpan di perangkat mereka yang lain.

Banyak organisasi telah berinvestasi dalam proses pemulihan otomatis terlepas dari transisi tanpa kata sandi mereka untuk mengurangi biaya dan meningkatkan kegunaan. Namun, dalam ekosistem yang didorong oleh passkey, mekanisme ini menjadi lebih penting untuk menjaga keamanan dan mengurangi gesekan.

Berdasarkan empat fase ini, kami sekarang akan mencoba membantu Anda mengevaluasi keputusan beli vs. bangun. Jadi, sangat penting untuk keberhasilan jangka panjang proyek passkey Anda untuk mengingat semua fase dan tidak hanya mengintegrasikan passkey (ini masih bisa menjadi tujuan tetapi kemudian Anda membiarkan potensi penuh passkey tidak terpakai).

4. Cara Menentukan Pendekatan Passkey yang Tepat#

Memilih antara solusi passkey DIY dan eksternal bergantung pada sumber daya teknis perusahaan Anda, prioritas keamanan, ukuran penyebaran, dan strategi passkey jangka panjang. Di bagian selanjutnya, kami akan menguraikan aspek-aspek utama untuk membantu Anda membuat keputusan terbaik.

Tabel berikut menunjukkan kriteria evaluasi berbeda yang perlu Anda nilai. Berdasarkan pernyataan mana yang lebih condong pada Anda, jumlah poin yang berbeda diberikan.

Cara menggunakan matriks evaluasi:

Untuk setiap kriteria, pilih apakah perusahaan Anda membutuhkan solusi yang lebih sederhana atau lebih terperinci.

• Tetapkan 1 poin untuk setiap jawaban yang mana kompleksitas dalam kasus Anda adalah yang terendah dan lebih selaras dengan deskripsi di sebelah kiri.
• Tetapkan 5 poin untuk setiap kategori yang mana jawaban Anda lebih selaras dengan deskripsi kompleksitas tertinggi di sebelah kanan.
• Jika Anda tidak yakin, gunakan 3 poin sebagai opsi netral.

Unduh Panduan Passkey Beli vs. Bangun Lengkap#

Unduh panduan Passkey Beli vs Bangun selengkapnya secara gratis dan dapatkan akses ke semua kriteria evaluasi.

5. Cara menggunakan panduan ini secara efektif#

Saat memutuskan apakah akan membangun atau membeli solusi passkey, penting untuk melihat keseluruhan proses, bukan hanya fase peluncuran passkey. Bahkan jika prioritas jangka pendek Anda adalah menawarkan passkey sebagai MVP, Anda harus mengantisipasi implikasi jangka panjang, terutama mendorong adopsi. Di bawah ini adalah cara kami merekomendasikan penggunaan panduan ini dan menafsirkan hasil Anda, dengan penekanan pada mengapa adopsi lebih penting daripada hampir semua faktor lainnya.

5.1 Fokus pada Adopsi sebagai Faktor Keberhasilan #1#

Tidak peduli seberapa canggih solusi passkey Anda, jika pengguna tidak mengadopsinya dengan membuat passkey dan menggunakan passkey untuk login, seluruh proyek berisiko. Berdasarkan pengalaman kami, organisasi sering kali meremehkan upaya yang diperlukan untuk memindahkan pengguna dari kata sandi. Bahkan jika Anda mengimplementasikan passkey dengan mulus di tingkat teknis, adopsi yang rendah akan menyebabkan:

• Ketergantungan yang terus-menerus pada kata sandi, meniadakan manfaat keamanan passkey.
• ROI minimal, karena penghematan biaya (lebih sedikit pengaturan ulang kata sandi, pengurangan OTP SMS) bergantung pada penggunaan passkey yang signifikan untuk login.
• Pengalaman pengguna yang terpecah, jika sebagian besar upaya masuk (sign in) masih terjadi melalui metode tradisional dan hanya sebagian kecil yang menggunakan passkey.

Adopsi yang tinggi, terkadang 50% atau bahkan +80% dari basis pengguna Anda, biasanya diperlukan sebelum Anda dapat membuat langkah yang berarti untuk mengurangi atau menghapus kata sandi sama sekali. Organisasi seperti Google dan Amazon menetapkan target adopsi eksplisit dan secara sistematis menjalankan pengujian A/B, kampanye edukasi pengguna, dan dorongan UI untuk memastikan passkey digunakan secara luas. Upaya terkonsentrasi pada adopsi ini tidak opsional; ini adalah hal yang mengubah peluncuran passkey Anda dari fitur menjadi keunggulan kompetitif yang nyata.

5.2 Gunakan Panduan secara Holistik atau dalam Fase#

Panduan ini dirancang untuk membantu Anda membuat keputusan yang tepat tentang implementasi passkey pada setiap tahap perjalanan:

1. Fase 1 (Integrasi Passkey): Jika Anda sekadar mempertimbangkan apakah akan mengadopsi passkey dan cara mengintegrasikannya, fokuslah pada kriteria Build vs. Buy untuk integrasi passkey.
2. Fase 2 (Tingkatkan Adopsi): Jika Anda ingin passkey menjadi lebih dari sekadar fitur, rencanakan sejak awal untuk mendorong adopsi pengguna - bahkan untuk MVP karena hal itu membutuhkan investasi teknologi tambahan, sering kali secara substansial lebih besar daripada implementasi awal.
3. Fase 3 (Hapus Kata Sandi): Jika menghilangkan kata sandi adalah tujuan strategis jangka panjang, pastikan arsitektur dan alur pengguna Anda dirancang dengan mempertimbangkan langkah akhirnya.
4. Fase 4 (Otomatisasi Pemulihan Akun): Bahkan jika Anda belum siap untuk beralih sepenuhnya tanpa kata sandi hari ini, pastikan pendekatan passkey Anda dapat berevolusi menuju pemulihan yang kuat dan mulus untuk menghindari hambatan di masa depan.

Dari jumlah tersebut, Fase 2 (Tingkatkan Adopsi) adalah yang paling penting. Anda dapat mengevaluasi setiap bagian secara terpisah, namun ingatlah bahwa kesuksesan jangka panjang dan ROI Anda sering kali bergantung pada seberapa serius Anda mengambil adopsi dari awal.

5.3 Libatkan Pemangku Kepentingan Utama dan Selaraskan Target Adopsi#

Jika Anda berada di tahap awal dalam memutuskan untuk mengimplementasikan passkey, mulailah dengan bagian pertama dari matriks evaluasi (integrasi passkey) dan isikan dengan manajemen, TI, pemilik produk, dan pembuat keputusan utama lainnya. Tanyakan pada diri sendiri:

1. Berapa tingkat login passkey yang kita inginkan? Apakah 5% cukup untuk membuktikan kelayakan atau apakah kita perlu 50–80% sebelum kita menganggap passkey sukses?
2. Apakah kita memiliki anggaran dan persetujuan eksekutif untuk menjalankan pengujian A/B selama berbulan-bulan, menjalankan kampanye pengoptimalan, membuat materi edukasi, dan menyempurnakan alur pengguna secara berkelanjutan sehingga pengguna memahami dan ingin beralih ke passkey? Apakah kapasitas rekayasa (engineering) cukup tersedia untuk mengimplementasikan semua pelaporan, analitik, dan pengujian yang diperlukan? Bisakah kita merilis cukup sering untuk mencapai tujuan tersebut?
3. Apa visi jangka panjangnya? Apakah kita bertujuan untuk penghapusan kata sandi atau hanya menyediakan alternatif?

Menjawab pertanyaan-pertanyaan ini di awal akan memastikan bahwa proyek passkey Anda tidak menemui jalan buntu. Organisasi yang gagal merencanakan adopsi sering kali mendapati diri mereka terjebak dengan kata sandi selama bertahun-tahun yang akan datang, melemahkan seluruh strategi keamanan dan pengalaman pengguna.

5.4 Semakin Anda menjauh dari "netral", semakin masuk akal bagi Vendor#

Di seluruh matriks, setiap kriteria evaluasi dapat mendaratkan Anda di mana saja dari kompleksitas terendah (1) hingga kompleksitas tertinggi (5). Semakin banyak jawaban Anda yang bergeser ke dan melampaui zona netral (3), semakin kuat alasan untuk menggunakan vendor passkey khusus:

• Persyaratan kompleksitas tinggi - seperti metode cadangan (fallback) tingkat lanjut, kepatuhan yang ketat, analitik mendalam, dan UX multi-perangkat - melipatgandakan beban rekayasa dan pemeliharaan Anda.
• Penekanan kuat pada adopsi - mencapai adopsi passkey yang tinggi dengan cepat atau menghapus kata sandi biasanya memerlukan alur pengguna yang teruji dengan baik, telemetri terperinci, dan dorongan (nudges) yang terstruktur.

Faktor-faktor ini dapat membebani tim internal, baik secara teknis maupun organisasi. Solusi passkey terkelola sering kali dapat memberikan praktik terbaik yang telah terbukti, pembaruan cepat, dan keahlian dunia nyata untuk meningkatkan adopsi lebih cepat daripada pendekatan DIY.

5.5. Perspektif Corbado: Kapan Vendor Menjadi Pilihan yang Lebih Baik#

Sebagai spesialis passkey, kami di Corbado memiliki sudut pandang yang kuat. Jika passkey ada di peta jalan Anda dan Anda menginginkan implementasi mutakhir yang secara aktif mendorong adopsi, Corbado Connect dapat membantu Anda menangani kompleksitas dalam skala besar. Inilah alasannya:

Adopsi diintegrasikan ke dalam solusi: Platform kami dirancang untuk memaksimalkan keikutsertaan (opt-in) pengguna melalui dorongan cerdas, analitik, dan pengujian A/B berkelanjutan yang juga mendorong penghematan biaya.

Langkah Selanjutnya:

1. Isi setiap bagian matriks evaluasi yang relevan - mempertimbangkan tujuan terdekat dan jangka panjang.
2. Prioritaskan adopsi dalam pengambilan keputusan Anda - selaraskan dengan pemangku kepentingan mengenai target adopsi eksplisit dan sumber daya untuk mencapainya.
3. Bandingkan TCO untuk in-house vs. vendor solusi setelah Anda memahami kompleksitas dan ambisi adopsi Anda dan menelusuri proses internal Anda untuk mengevaluasi bangun atau beli.

4. Konsultasikan dengan pakar passkey (seperti Corbado) jika tujuan strategis Anda mengarah ke platform yang dikelola sepenuhnya yang menangani tantangan teknis dan adopsi secara efektif.

Dengan mengatasi passkey secara holistik dan menjadikan adopsi sebagai salah satu target utama, Anda akan mencapai hasil terbaik. Itu berarti keamanan yang lebih kuat, login yang disederhanakan, dan jalan nyata menuju masa depan tanpa kata sandi. Jika Anda tertarik untuk mempelajari lebih lanjut tentang Corbado Connect dan bagaimana kami membantu klien kami mencapai adopsi passkey yang tinggi, kami siap berdiskusi.

6. Bagaimana cara mengukur keberhasilan peluncuran passkey?#

Sekarang setelah kami membantu menentukan pendekatan yang tepat untuk menjawab pertanyaan "Beli vs Bangun?", kami menganalisis cara mengevaluasi keberhasilan penerapan passkey. Oleh karena itu, kami mendefinisikan KPI input dan output dari proyek passkey.

6.1 Apa KPI input passkey yang penting?#

KPI input membantu melacak adopsi tahap awal passkey dan apakah kondisi yang diperlukan untuk penggunaan luas sedang dibangun. Indikator-indikator ini mendahului perilaku login yang sebenarnya, namun sangat penting untuk memungkinkan adopsi yang berarti dan mengoptimalkan penerapan.

KPI input ini berfungsi sebagai indikator utama untuk adopsi passkey di masa mendatang dan memungkinkan organisasi untuk menyempurnakan edukasi pengguna, alur UX, dan implementasi teknis.

6.2 Apa KPI output passkey / OKR yang penting?#

KPI output (OKR) mengukur keberhasilan aktual dari adopsi passkey dengan mengevaluasi perilaku pengguna, perbaikan operasional, dan dampak bisnis. Indikator ini mencerminkan keefektifan penyebaran passkey di dunia nyata. Tingkat Login Passkey adalah KPI Output inti karena secara langsung mencerminkan adopsi dan penggunaan passkey yang sebenarnya. Tingkat login passkey yang meningkat menunjukkan orientasi (onboarding) yang sukses dan preferensi pengguna yang berkelanjutan untuk passkey di atas metode autentikasi lama.

Sangatlah penting untuk mengoptimalkan terutama pada keberhasilan login passkey dan tingkat login passkey untuk memastikan pengalaman pengguna yang bebas dari hambatan, sekaligus berusaha meningkatkan tingkat aktivasi pengguna - tetapi hanya jika tingkat keberhasilan login sudah cukup tinggi untuk menghindari rasa frustrasi dari pengguna. Selain itu, melacak KPI ini berdasarkan segmen berbeda (seperti OS, browser, dan perangkat) serta kasus penggunaan spesifik (misalnya, masuk lintas-perangkat) dapat memberikan wawasan lebih dalam tentang pola adopsi dan titik-titik hambatan potensial.

6.3 Cara mencatat kejadian yang diperlukan untuk metrik passkey#

Untuk mengukur KPI input secara akurat (misalnya, penerimaan, pembuatan) maupun KPI output (misalnya, tingkat masuk, penggunaan fallback), diperlukan pengumpulan data dari tiga sumber utama:

1. Data kejadian (event) frontend
2. Penyimpanan passkey / kredensial
3. Log autentikasi & cadangan (fallback) lama

6.3.1 Data kejadian (event) frontend#

Untuk menghitung metrik seperti Tingkat Penerimaan Passkey atau Tingkat Keberhasilan Pembuatan Passkey, Anda harus mendeteksi berapa banyak pengguna yang melihat anjuran pasca-masuk, berapa banyak yang mengeklik "Ya, buat passkey," dan apakah mereka benar-benar menyelesaikan proses pembuatan passkey. Ini memerlukan pelacakan kejadian dengan JavaScript (atau native mobile) untuk menangkap:

• Kapan dan apakah dorongan ditampilkan (pertama kali vs. waktu berikutnya)
• Berapa lama waktu yang dibutuhkan untuk menyelesaikan dorongan
• Jika mereka membatalkan upacara pembuatan passkey satu atau beberapa kali

Anda juga akan memerlukan penguraian agen pengguna atau petunjuk klien untuk mengaitkan kembali tingkat penerimaan ke versi OS / peramban tertentu agar dapat mendeteksi jalur tertentu yang rusak.

6.3.2 Penyimpanan passkey / kredensial#

Setelah pengguna memulai pendaftaran di bagian depan, server harus mengonfirmasi apakah passkey baru benar-benar tersimpan. Anda akan memerlukan akses ke basis data atau API penyedia identitas eksternal yang merekam setiap peristiwa pembuatan kredensial. Penyimpanan ini membantu Anda menghitung berapa banyak passkey yang ada per pengguna dan melacak hasil akhir (berhasil atau gagal), memastikan Anda tahu persis upaya mana yang berakhir dengan pendaftaran yang selesai.

6.3.3 Log autentikasi & cadangan lama#

Untuk metrik seperti Tingkat Fallback, Anda harus melihat proses & log autentikasi Anda saat ini. Dengan menyatukan log ini dengan kejadian (event) frontend, Anda dapat melihat apakah pengguna memulai login passkey, mendapatkan kesalahan, dan beralih ke login cadangan (misalnya SMS atau kata sandi).

Terakhir, mengukur KPI berbasis waktu seperti Waktu Login Passkey vs. Waktu Login Lama bergantung pada stempel waktu klien dan server. Karena banyak organisasi hanya mencatat aktivitas masuk (sign-in) yang berhasil, Anda harus menambahkan instrumentasi untuk alur passkey parsial atau yang gagal agar benar-benar dapat mengukur hambatan dan cadangan (fallback). Mengintegrasikan ketiga sumber data ini, sembari tetap menghormati privasi dan batasan regulasi, seringkali lebih rumit daripada yang diantisipasi dan menjadi faktor lain yang mendorong beberapa tim untuk menggunakan platform passkey khusus yang menyediakan analitik bawaan dan pelacakan kejadian.

6.3.4 Pendekatan Terintegrasi Corbado: Penambangan Proses Autentikasi (Authentication Process Mining)#

Komponen Corbado Connect secara implisit mengumpulkan semua titik data yang dijelaskan (ratusan data berbeda) dengan secara otomatis menghasilkan proses unik bagi setiap pengguna yang memulai proses autentikasi. Melalui integrasi yang lancar, Corbado juga mengumpulkan metrik autentikasi dari solusi Anda yang ada saat ini. Tampilan holistik ini secara akurat menunjukkan peningkatan bagi pengguna, memberikan wawasan komprehensif tentang semua KPI passkey yang esensial tanpa memerlukan usaha tambahan dari pihak Anda.

6.4 Apa saja output KPI / OKR penting lainnya yang perlu dipengaruhi?#

Selain itu, efek output KPI berikut ini juga akan muncul setelah penerapan passkey yang sukses dan sering kali sudah dikumpulkan di dalam perusahaan:

Metrik Pengurangan Biaya & Operasional

• Pengurangan Penggunaan OTP SMS – Jumlah OTP SMS yang dihemat berkat autentikasi passkey (penghematan biaya langsung).
• Pengurangan Permintaan Setel Ulang Kata Sandi – Penurunan interaksi helpdesk terkait kata sandi yang terlupa.
• Pengurangan Tiket Dukungan Pelanggan – Volume masalah layanan pelanggan terkait autentikasi yang lebih rendah.
• Pengurangan Volume Panggilan Dukungan – Lebih sedikit panggilan masuk yang berkaitan dengan masalah akses akun.

Metrik Dampak Bisnis & UX

• Tingkat Retensi Pengguna – Persentase pengguna yang terus mengautentikasi setelah masuk untuk pertama kali.
• Rasio Konversi – Seberapa sering pengguna menyelesaikan transaksi setelah mengautentikasi.
• Tingkat Drop-Off di Corong Login – Apakah passkey mengurangi jumlah pengguna yang membatalkan upaya login.

Dengan secara khusus melacak input dan output KPI passkey serta mengaitkannya dengan data lain, organisasi dapat mengukur dampak dari peluncuran passkey mereka dan membuat peningkatan berbasis data untuk memaksimalkan adopsi, mengurangi biaya, dan meningkatkan keamanan.

7. Rekomendasi#

Pemilihan solusi passkey yang tepat bergantung pada tantangan spesifik, persyaratan keamanan, dan pertimbangan biaya Anda. Di bawah ini adalah rekomendasi utama untuk keputusan beli vs. bangun di berbagai sektor.

7.1 Rekomendasi untuk Passkey di Perbankan & Layanan Keuangan#

Pertimbangan Utama:

• Kepatuhan terhadap regulasi (misalnya PSD2, SOC 2, ISO 27001, GDPR) memerlukan langkah keamanan yang ketat dalam autentikasi passkey.
• Perbandingan biaya passkey sangat krusial, karena bank sering meremehkan kompleksitas jangka panjang dan pemeliharaan solusi internal.
• Autentikasi yang aman sangat penting untuk mengurangi penipuan pengambilalihan akun dan phishing.

Rekomendasi:
Sebagian besar bank dan lembaga keuangan harus bergantung pada solusi vendor passkey daripada membangunnya secara internal, karena mengelola infrastruktur passkey secara internal menimbulkan kompleksitas tersembunyi yang melebihi keahlian TI tradisional. Menerapkan autentikasi passkey dalam skala besar membutuhkan optimalisasi dan pembaruan yang berkelanjutan, manajemen kompatibilitas WebAuthn, dan integrasi yang lancar dengan sistem perbankan lama - yang semuanya sudah ditangani oleh vendor passkey.

Bank-bank seperti Ubank, Revolut, dan Finom memimpin jalan dalam adopsi passkey, mengenali potensi teknologi untuk meningkatkan keamanan sembari memperbaiki pengalaman pengguna. Analisis ROI passkey sering kali lebih menguntungkan dengan membeli solusi passkey daripada berinvestasi dalam pemeliharaan dan pembaruan berkelanjutan, dengan implementasi yang menunjukkan pengurangan yang signifikan dalam upaya penipuan dan biaya dukungan terkait autentikasi.

Contoh: Armstrong Bank, First Financial Bank, Ubank, Revolut, Finom, Neobank, Cathay Financial Holdings, Stripe, PayPal, Square

7.2 Rekomendasi untuk Passkey di Layanan Kesehatan#

Pertimbangan Utama:

• Kepatuhan HIPAA dan GDPR memerlukan keamanan autentikasi yang ketat dalam adopsi passkey.
• Tantangan implementasi passkey termasuk menyeimbangkan keamanan dengan kemudahan penggunaan untuk pasien, staf medis, dan administrator TI rumah sakit.
• Banyak sistem autentikasi layanan kesehatan masih bergantung pada infrastruktur lama, yang membuat integrasi passkey menjadi lebih kompleks.

Rekomendasi:
Solusi vendor passkey adalah cara yang paling efektif untuk memenuhi persyaratan kepatuhan sekaligus menyederhanakan autentikasi. Vendor passkey menangani patch keamanan, pembaruan kepatuhan, dan keandalan autentikasi, mengurangi beban pada tim TI.

Contoh: CVS Health, Caremark, Helsana, NHS, Swica

7.3 Rekomendasi untuk Passkey di E-Commerce & Ritel#

Pertimbangan Utama:

• Optimalisasi Rasio Konversi (CRO) sangat penting bagi bisnis - hambatan autentikasi berdampak langsung pada pendapatan.
• Skenario multi-perangkat harus berjalan lancar (pengguna menelusuri di seluler tetapi menyelesaikan pembayaran di desktop).
• Kesalahan autentikasi secara langsung meningkatkan rasio pengabaian keranjang (cart abandonment), membuat alur masuk yang dioptimalkan untuk UX menjadi esensial.

Rekomendasi:
Platform e-commerce mendapatkan keuntungan paling besar dari penyedia implementasi passkey yang menawarkan tingkat adopsi tinggi. Platform besar seperti Amazon dan Shopify telah mengimplementasikan autentikasi passkey, mendemonstrasikan adopsi teknologi yang terus berkembang dalam e-commerce. Data dunia nyata menunjukkan bahwa lebih dari 27% dari masuk kata sandi awal gagal, sementara autentikasi berbasis passkey dapat mencapai hingga 95-97% tingkat masuk yang berhasil seperti yang ditunjukkan pada adopsi sebelumnya. Analisis ROI passkey menunjukkan bahwa rasio konversi yang lebih tinggi dan kerugian penipuan yang lebih rendah dengan cepat membenarkan investasi tersebut.

Amazon baru-baru ini menyatakan bahwa mereka menetapkan target ambisius untuk adopsi passkey 100% dan penghapusan kata sandi sepenuhnya.

Google juga menemukan bahwa pengguna uji coba yang berinteraksi dengan passkey memiliki kemungkinan 20% lebih besar untuk berkonversi menjadi pelanggan berbayar dibandingkan dengan yang tidak.

Contoh: KAYAK, Amazon, Mercari, Best Buy, eBay, Home Depot, Shopify, Target

7.4 Rekomendasi untuk Passkey di Perjalanan & Perhotelan#

Pertimbangan Utama:

• Autentikasi lintas-perangkat sangat penting, karena pengguna memesan perjalanan pada satu perangkat dan melakukan check-in pada perangkat lain.
• Vendor spesialis passkey harus memastikan proses masuk yang cepat dan aman untuk pemesanan, check-in, dan manajemen akun yang nyaman.
• Pencegahan penipuan adalah prioritas, mengingat platform perjalanan memproses transaksi bernilai tinggi.

Rekomendasi:
Sebagian besar perusahaan perjalanan harus mengimplementasikan solusi passkey untuk meningkatkan keamanan dan pengalaman pengguna. Perusahaan terkemuka seperti Kayak dan maskapai penerbangan besar telah menggunakan autentikasi passkey untuk meningkatkan pengalaman pengguna mereka. Solusi pra-bangun menyediakan deteksi penipuan yang lebih kuat, pengalaman masuk yang lancar, dan dukungan multi-perangkat secara instan. Sektor perhotelan khususnya mendapatkan manfaat dari pengurangan waktu check-in dan peningkatan keamanan melalui implementasi passkey, yang memastikan autentikasi yang mulus di seluruh titik sentuh (aplikasi, kios, web, dan platform mitra).

Contoh: Air New Zealand, Bolt, Grab, Uber, Hyatt

7.5 Rekomendasi untuk Passkey di Asuransi#

Pertimbangan Utama:

• Biaya implementasi passkey harus selaras dengan kebutuhan kepatuhan dan peningkatan pengalaman pengguna.
• Banyak pelanggan asuransi tidak terlalu paham teknologi, jadi pengalaman pengguna di segala macam perangkat dan browser adalah suatu keharusan.
• Integrasi passkey dengan verifikasi identitas sering kali diperlukan untuk manajemen polis dan pemrosesan klaim.

Rekomendasi:
Solusi passkey eksternal sangat sesuai untuk penerapan cepat dan kepatuhan terhadap peraturan. Penyedia asuransi melaporkan adanya penurunan yang signifikan pada tiket dukungan terkait autentikasi setelah penerapan passkey. Penyedia implementasi passkey yang menawarkan alur autentikasi yang dapat disesuaikan dan verifikasi identitas terintegrasi akan menjamin keamanan sambil mempertahankan proses masuk pelanggan yang mudah. Analisis ROI passkey menyarankan bahwa mengurangi pengaturan ulang kata sandi dan kerugian akibat penipuan mengimbangi biaya vendor.

Contoh: Branch

7.6 Rekomendasi untuk Passkey di Pemerintahan & Layanan Publik#

Pertimbangan Utama:

• Standar keamanan tertinggi dan persyaratan kepatuhan (misalnya, NIST, kerangka kerja Essential Eight membutuhkan MFA yang tahan phishing).
• Kebutuhan penerapan skala besar pada populasi pengguna yang beragam dengan tingkat keahlian teknis yang berbeda-beda.
• Persyaratan integrasi dengan sistem verifikasi identitas pemerintah dan infrastruktur lama yang ada.

Rekomendasi:
Bagi lembaga pemerintah, solusi passkey khusus yang memenuhi standar keamanan yang ketat sembari memastikan aksesibilitas sangatlah penting. Kesuksesan penerapan di VicRoads mendemonstrasikan bahwa organisasi pemerintah mendapat keuntungan maksimal dari solusi passkey eksternal yang menangani persyaratan kepatuhan dan pembaruan keamanan secara otomatis. Oleh karena itu, pilihlah penyedia implementasi passkey yang menawarkan keamanan tingkat perusahaan, mendukung autentikasi multi-perangkat, dan menyediakan alur autentikasi adaptif untuk mengakomodasi seluruh warga negara.

Contoh: VicRoads, myGov, State of Michigan

7.7 Rekomendasi untuk Passkey di Telekomunikasi & Utilitas#

Pertimbangan Utama:

• Skalabilitas dan keandalan sangatlah penting, karena penyedia telekomunikasi dan utilitas sering mengelola jutaan pengguna di berbagai segmen pelanggan, yang memerlukan autentikasi dengan ketersediaan tinggi dan toleransi kesalahan.
• Dukungan multi-perangkat dan lintas-platform juga penting, mengingat pengguna mengakses akun via aplikasi mobile atau portal web. Autentikasi passkey yang lancar harus berfungsi di seluruh titik temu pelanggan.
• Dukungan untuk sistem autentikasi lama sering kali diperlukan, karena penyedia telekomunikasi dan utilitas mungkin perlu mengintegrasikan passkey ke dalam sistem IAM yang ada dan platform identitas pelanggan tanpa mengganggu aliran autentikasi saat ini.
• Pencegahan penipuan dan keamanan akun merupakan prioritas utama, khususnya terkait penipuan SIM swap, pencurian identitas, dan akses akun tidak sah. Passkey mampu menurunkan secara signifikan risiko serangan phishing dan credential stuffing.

Rekomendasi:
Bagi penyedia telekomunikasi dan utilitas, mengadopsi solusi passkey eksternal adalah pendekatan yang direkomendasikan. Mengingat skala, kompleksitas, dan tuntutan keamanan pada industri tersebut, penyedia passkey yang dikelola sepenuhnya memastikan kepatuhan, ketersediaan yang tinggi, dan integrasi mulus dengan infrastruktur autentikasi yang ada. Perusahaan telekomunikasi raksasa dan penyedia utilitas berbasis digital sudah memanfaatkan passkey sebagai bagian dari upaya modernisasi keamanan untuk mengurangi penipuan dan meningkatkan pengalaman pengguna. Di samping itu, mengalihdayakan implementasi passkey dapat menurunkan Total Biaya Kepemilikan (TCO) jika dibandingkan dengan pengembangan secara internal, dikarenakan proses pemeliharaan rutin, pembaruan keamanan, dan kepatuhan peraturan telah dikelola oleh penyedia layanan.

Contoh: Deutsche Telekom, Telstra, SK Telecom

7.8 Rekomendasi untuk Passkey di B2B SaaS#

Pertimbangan Utama:

• Autentikasi multi-tenant sangat penting untuk B2B SaaS, membutuhkan integrasi passkey yang terukur di seluruh sistem IAM yang berbeda.
• Perusahaan mengharapkan adanya SSO (OIDC/SAML), karenanya integrasi mulus dengan Penyedia Identitas adalah hal yang sangat penting dalam bisnis.
• Biaya implementasi passkey perlu diseimbangkan terhadap investasi keamanan yang lain, seperti autentikasi multi-faktor (MFA) dan model keamanan zero-trust.

Rekomendasi:
Bagi sebagian besar penyedia B2B SaaS, implementasi passkey eksternal adalah pilihan yang optimal. Proses implementasinya biasanya lebih cepat dibanding dengan pengembangan secara internal. Perusahaan digital B2B seperti Notion, Hubspot, atau Vercel telah mengadopsi passkey untuk meningkatkan keamanan autentikasi mereka. Total Biaya Kepemilikannya juga secara signifikan lebih rendah dibandingkan dengan pengembangan in-house, mengingat bahwa tahap pemeliharaan, pembaruan, dan persyarat kepatuhan telah ditanggung oleh pihak penyedia.

Contoh: Canva, DocuSign, Notion

8. Kesimpulan#

Passkey telah menjadi standar global untuk autentikasi, yang menyederhanakan proses login bagi pengguna akhir sekaligus meningkatkan keamanan. Ketika perusahaan mengevaluasi tentang cara mengimplementasikan passkey, mereka harus memutuskan antara membangun solusi in-house atau memanfaatkan vendor passkey khusus. Walaupun implementasi DIY memberikan kendali secara penuh, itu membutuhkan keahlian teknis yang mendalam, sumber daya pengembangan, dan pemeliharaan yang berkelanjutan. Di sisi lain, vendor passkey menyediakan pendekatan yang lebih cepat, terukur, dan hemat biaya, memastikan tingkat adopsi yang tinggi, pengalaman pengguna yang mulus, dan kepatuhan terhadap standar keamanan yang berkembang,

Panduan ini telah menjawab berbagai pertanyaan kunci berikut::

• Komponen apa yang diperlukan untuk mengimplementasikan passkey dan beralih ke tanpa kata sandi?

  Penerapan passkey yang berhasil membutuhkan infrastruktur FIDO2/WebAuthn, alur UX yang mulus, mekanisme fallback, dan opsi pemulihan akun yang aman. Perusahaan juga perlu mempertimbangkan kompatibilitas lintas-platform dan kepatuhan keamanannya.

• Haruskah saya mengimplementasikan passkey secara internal atau menggunakan vendor eksternal?

  Sementara pengembangan internal memberikan kendali, itu juga membawa kompleksitas tingkat tinggi, biaya pemeliharaan berkelanjutan, serta tanggung jawab keamanan. Sebagian besar organisasi yang melayani konsumen dalam skala besar mendapatkan lebih banyak keuntungan melalui solusi passkey eksternal yang memberikan penerapan secara cepat, biaya operasional lebih rendah, dan overhead teknis yang minim.

• Apa manfaatnya memiliki vendor passkey saat ada perpustakaan sumber terbuka (open-source libraries)?

  Pustaka WebAuthn sumber terbuka memang memberikan titik awal tetapi kurang memiliki fitur tingkat perusahaan pada keamanan, pengalaman pengguna yang dioptimalkan dengan passkey, serta pendukung adopsi. Vendor passkey menjamin skalabilitas, penerapan yang lancar, dan strategi adopsi pengguna yang optimal untuk menghasilkan ROI yang lebih baik dan meminimalisir gesekan bagi pengguna dan juga developer.

• Apa saja tantangan terbesar saat membangun solusi passkey?

  Mengembangkan sistem passkey internal membutuhkan keahlian yang sangat mendalam di bidang WebAuthn, dukungan multi-perangkat, dan adopsi passkey. Menjaga komplikasi peramban dan perangkat yang sedang berlangsung serta tingkat adopsi tinggi juga menambahkan kerumitan yang lebih lanjut.

• Apa risiko dalam mengimplementasikan passkey in-house?

  Perusahaan berisiko mendapatkan biaya pengembangan yang tinggi, penjadwalan penerapan dalam jangka panjang, dan juga beban pemeliharaan keamanan. Kegagalan kepatuhan, kelemahan sistem keamanan, dan rendahnya adopsi pengguna sangat bisa mematahkan peluncuran passkey yang tadinya sukses. Solusi passkey yang di kelola oleh vendor dapat memitigasi berbagai risiko ini dengan menggunakan infrastruktur yang aman, dapat terukur dengan baik serta didukung dengan keamanan di dalamnya dan kepatuhan dari regulasi yang berlaku.

Tentang Corbado

Corbado adalah Passkey Intelligence Platform untuk tim CIAM yang menjalankan autentikasi consumer dalam skala besar. Kami membantu Anda melihat apa yang tidak bisa ditunjukkan oleh log IDP dan tool analytics generik: device, versi OS, browser, dan credential manager mana yang mendukung passkey; mengapa enrollment tidak menjadi login; di mana flow WebAuthn gagal; dan kapan update OS atau browser diam-diam merusak login — semuanya tanpa mengganti Okta, Auth0, Ping, Cognito, atau IDP internal Anda. Dua produk: Corbado Observe menambah observability untuk passkey dan metode login lainnya. Corbado Connect menghadirkan managed passkey dengan analytics terintegrasi (berdampingan dengan IDP Anda). VicRoads menjalankan passkey untuk 5M+ pengguna dengan Corbado (aktivasi passkey +80%). Bicara dengan pakar Passkey →

Pertanyaan yang Sering Diajukan#

Apa saja risiko utama membangun solusi passkey secara internal untuk perusahaan?#

Membangun secara internal membutuhkan keahlian WebAuthn yang mendalam, manajemen kompatibilitas peramban dan perangkat yang berkelanjutan, serta pemeliharaan keamanan yang berdedikasi. Perusahaan berisiko mengalami jadwal peluncuran yang tertunda, kegagalan kepatuhan, dan adopsi pengguna yang buruk. Untuk industri yang diatur seperti perbankan dan layanan kesehatan, kepatuhan dengan PSD2, HIPAA, dan NIST menambah kompleksitas lebih lanjut yang sudah ditangani secara berkelanjutan oleh vendor passkey.

Berapa banyak adopsi passkey yang saya butuhkan sebelum menghapus kata sandi dengan aman?#

Organisasi membutuhkan 50-80% pengguna aktif yang mengautentikasi dengan passkey sebelum menghapus kata sandi. Menghapus kata sandi terlalu dini akan meningkatkan permintaan dukungan dan masalah kegunaan. Pendekatan bertahap dimulai dengan akun tempat pengguna secara konsisten mengautentikasi melalui passkey, memanfaatkan beberapa dorongan (tingkat penerimaan mencapai hingga 85% di seluler melalui beberapa petunjuk) dan diperluas berdasarkan wawasan berbasis data.

KPI apa yang harus saya lacak untuk mengukur keberhasilan peluncuran passkey?#

Lacak KPI input termasuk tingkat penerimaan passkey (tolok ukur: 50-75% pada dorongan pertama, hingga 85% di seluler melalui beberapa dorongan) dan tingkat keberhasilan pembuatan yang menargetkan mendekati 100%. Untuk KPI output, targetkan tingkat login passkey di atas 20% dalam beberapa minggu dan di atas 50% dalam 12 bulan. Segmentasikan semua metrik berdasarkan OS, peramban, dan perangkat untuk mengidentifikasi titik gesekan.

Mengapa proyek passkey gagal bahkan setelah implementasi teknis berhasil?#

Sebagian besar proyek passkey gagal karena adopsi pengguna yang rendah, bukan karena masalah teknis. Ketergantungan yang terus-menerus pada kata sandi meniadakan manfaat keamanan, menghilangkan penghematan biaya dari pengurangan OTP SMS dan pengaturan ulang kata sandi, serta menciptakan pengalaman pengguna yang terpecah. Google dan Amazon mengatasi hal ini melalui pengujian A/B yang berkelanjutan, dorongan UI, dan kampanye edukasi pengguna terstruktur yang secara khusus menargetkan adopsi.

Industri mana yang paling diuntungkan dari penggunaan vendor passkey daripada membangun secara internal?#

Sektor perbankan, layanan kesehatan, pemerintah, e-commerce, telekomunikasi, dan asuransi paling diuntungkan dari solusi vendor passkey karena persyaratan peraturan seperti PSD2, HIPAA, dan NIST, dikombinasikan dengan basis pengguna skala besar dan infrastruktur lama yang kompleks. Amazon telah menetapkan target adopsi passkey 100% dan penghapusan kata sandi penuh, yang menggambarkan skala komitmen yang dibutuhkan oleh penyebaran ini.