Le passkey sincronizzate sono credenziali di accesso senza password che possono essere copiate in modo sicuro tra i dispositivi approvati di un utente tramite un servizio di sincronizzazione cloud. Si basano comunque sulla crittografia a chiave pubblica, quindi la chiave privata non viene esposta come una password, ma la credenziale non è più vincolata a un solo dispositivo fisico.
Sono importanti perché riducono il phishing e il furto di credenziali, ma ampliano anche il perimetro di fiducia. Se un attaccante compromette un laptop o il profilo di un browser, un malware può abusare dei flussi di autenticazione locali, dello stato dell'account o dei meccanismi di sblocco del dispositivo per usare una passkey sincronizzata. I difensori dovrebbero considerare la compromissione dell'endpoint come un rischio per l'identità: mantenere i dispositivi aggiornati, irrobustire i browser, monitorare le sessioni e revocare l'accesso o registrare nuovamente le credenziali quando si sospetta che un dispositivo fidato sia infetto.