Passkey 作为一种具有抗钓鱼能力的传统密码替代方案，已获得了巨大的关注。与可能通过虚假网站（钓鱼）被盗取的密码不同，Passkey 在加密上与特定域名绑定；如果用户处于 `examp1e.com` 而非 `example.com`，浏览器将不会提供 Passkey。然而，一些批评者认为，这种向 Passkey 的转变引入了一种新的风险：用户失去了对自身硬件和软件选择的最终自主权。
这张图片展示了第一段中讨论的作为现代安全标准的 Passkey 的总体概念。
争论的核心点涉及“证明”（attestation），这是 WebAuthn 协议中的一项功能，允许网站请求所使用的身份验证器的加密证明。批评者指出，通过提高对证明的要求，服务商最终可能会将登录限制仅限于使用受支持操作系统或未经修改固件的用户，从而有效地将那些偏好 LineageOS 等注重隐私的发行版的用户排除在外。Passkey 的支持者反驳称，大多数消费级 Passkey——即那些在 iCloud Keychain、Google Password Manager 或 1Password 中同步的凭证——根本不提供任何证明声明。他们认为，虽然网站*可以*要求提供证明，但这样做会立即将绝大多数现有用户排除在外，这对于大多数网站来说在商业上是不可行的。
关于“证明”究竟透露了什么的技术定义，仍是这场争论中的一个重要细微差别。虽然有些人声称它不提供任何关于操作系统或扩展的信息，但其他人指出，某些设备在处理过程中可能会泄露状态信息。例如，某些 Android 实现可能会透露设备是否通过了验证启动检查，这可能允许服务商检测手机是否运行自定义 ROM。此外，尽管许多当前的提供商不需要证明，但该机制的存在创造了一条理论路径，通向更具限制性的身份验证环境，在这种环境中，硬件和软件的“信任”由服务提供商而非用户严格强制执行。