De Dashlane Passkey Power 20 van 2026

Twee jaar geleden draaide de discussie over passkeys om de vraag wie ze zou adopteren.¹ Vorig jaar om hoe snel.² Dit jaar, nu er voldoende gegevens zijn om een trend te herkennen in plaats van een momentopname, is de vraag veranderd in: hoe ver is de transitie eigenlijk gevorderd?

Het antwoord is ingewikkelder dan optimisten of sceptici zouden wensen. Passkey-authenticaties zijn in de afgelopen 12 maanden bijna verdubbeld. De adoptie breidt zich uit naar sectoren die vorig jaar nog geen activiteit vertoonden. En toch gebruikt bij het domein met het hoogste percentage passkey-gebruik dat wij meten, ruwweg zeven op de tien logins nog steeds geen passkey.

Dit rapport gaat over de kloof tussen de geboekte vooruitgang op het gebied van passkey-adoptie en het enorme potentieel dat nog resteert.

De inzet is niet veranderd. Volgens Dashlane-gegevens beheert de gemiddelde persoon inmiddels meer dan 300 wachtwoorden, en misbruik van toegangsgegevens blijft een van de drie meest voorkomende initiële aanvalsvectoren.³

Passkeys zijn nog steeds het meest geloofwaardige antwoord op dit probleem. Gebouwd op FIDO Alliance- en W3C-standaarden en gebruikmakend van publieke-sleutelcryptografie zijn ze van nature bestand tegen phishing, immuun voor credential stuffing-aanvallen en vereisen ze geen memorisatie. Wat nieuw is, is dat we eindelijk kunnen zien waar die voordelen zich hebben vertaald naar praktisch gebruik en waar niet.

De Dashlane Passkey Power 20 van 2026 is gebaseerd op een analyse van Dashlane-gegevens, bestaande uit miljoenen geaggregeerde en geanonimiseerde passkey-authenticaties via web en mobiel wereldwijd, van juli 2025 tot en met juni 2026, tenzij anders vermeld.

Dashlane was de eerste wachtwoordbeheerder die passkeys ondersteunde op alle grote platformen, wat ons een uitzonderlijk helder beeld geeft van het authenticatiegedrag van reguliere gebruikers in zowel consumenten- als zakelijke omgevingen.

De Power 20 van dit jaar rangschikt domeinen anders dan die van vorig jaar.

De ranglijst van 2025 mat het aandeel van elk domein in het totale aantal passkey-authenticaties. Dat is een volumemeting. Die beantwoordt de vraag: "Waar concentreert de passkey-activiteit zich?" Ze wordt gedomineerd door schaal, wat verklaart waarom één enkele retailer goed was voor bijna 40% van de lijst van vorig jaar.

De ranglijst van 2026 meet het aandeel van passkey-authenticaties ten opzichte van het totale aantal authenticaties per domein. Dat is een penetratiegraad. Die beantwoordt een relevantere vraag voor dit jaar: Waar hebben passkeys wachtwoorden daadwerkelijk verdrongen?

Volumeaandeel meet grotendeels hoe groot een bedrijf is. Penetratie meet of de overgang naar wachtwoordloos inloggen daadwerkelijk plaatsvindt bij een bepaalde dienst — en dat is precies de vraag die beveiligingsverantwoordelijken die hun eigen programma's benchmarken, beantwoord willen zien.

De twee ranglijsten zijn niet vergelijkbaar en de percentages mogen niet tegen elkaar worden afgewogen. Een domein kan een enorm passkey-volume genereren en toch slechts een klein deel van zijn logins converteren. De cijfers van dit jaar zijn lager dan die van vorig jaar omdat ze iets anders meten, niet omdat de adoptie is vertraagd. Dat is niet het geval.

Passkey-authenticaties door Dashlane-gebruikers zijn jaar op jaar bijna verdubbeld en bereiken inmiddels 2,5 miljoen per maand. De gebruikersadoptie verloopt langs een opvallend stabiele lijn: circa 20 procentpunten per jaar, drie jaar op rij.

Als deze trend aanhoudt, zal vier op de vijf Dashlane-gebruikers tegen medio 2027 ten minste één passkey bewaren. Omdat Dashlane door miljoenen mensen wordt gebruikt in zowel consumenten- als zakelijke omgevingen, op elk groot platform en besturingssysteem, biedt dit een van de duidelijkste beschikbare vensters op de werkelijke veranderingen in reguliere authenticatie.

Het meest onthullende getal in de ranglijst van dit jaar staat bovenaan. Google leidt de Power 20 met 28%, wat betekent dat zelfs bij het meest succesvolle grote domein wat betreft passkeys dat wij meten, ruwweg zeven op de tien logins nog steeds geen passkeys gebruiken.

Dat is de stand van wachtwoordloze authenticatie in 2026. De adoptie versnelt, maar is nog lang niet voltooid.

Deze ranglijst bevat alleen domeinen met ten minste 400.000 totale authenticaties die door Dashlane zijn beheerd in het afgelopen jaar, wat een significante loginactiviteit vertegenwoordigt. Gerelateerde domeinen worden bij elkaar opgeteld, d.w.z. Amazon.com en Amazon.fr. Microsoft omvat authenticaties van Microsoft.com, Microsoft Online en Live.com.

Elk domein op deze lijst ondersteunt passkeys. Dat geldt ook voor honderden diensten die het niet hebben gehaald. Wat de top van de ranglijst onderscheidt van de rest, zijn de productbeslissingen die daar bovenop zijn genomen.

De koplopers hebben passkeys tot de zichtbare, voor de hand liggende en snellere keuze gemaakt. Google positioneert passkeys als een veiliger en eenvoudiger alternatief voor wachtwoorden.⁴ Amazon heeft ontdekt dat een boodschap gericht op gemak effectiever is dan de focus op beveiliging.⁵ HubSpot promoot passkeys via web, mobiel en de Outlook Sales Add-In en wijst op logins die vier keer sneller zijn dan wachtwoord plus 2FA.⁶

Het meest opvallende aan de top van deze lijst is dat geen enkel van de tien vooraanstaande domeinen passkeys vandaag de dag verplicht stelt.

Als we hun implementaties vergelijken, tekenen zich vier verschillende benaderingen af.

Het duidelijkste voorbeeld van de vierde aanpak komt van een andere bedrijfsentiteit dan de Yahoo-diensten op deze lijst. LINE Yahoo, het door SoftBank beheerde bedrijf dat Yahoo Japan exploiteert, heeft plannen aangekondigd om login uitsluitend met een wachtwoord voor Yahoo Japan-ID's te beëindigen in het voorjaar van 2027.¹³

Die schaarste verklaart het plafond van 28%. Aanmoediging werkt — elk resultaat op deze pagina is daardoor tot stand gekomen — maar aanmoediging heeft een grens, en de koplopers lijken die grens te naderen.

Zakelijke applicaties worden niet langer vertegenwoordigd door een handvol vooruitstrevende uitzonderingen op het gebied van beveiliging. HubSpot (#3) en Cisco Duo (#9) voeren de lijst aan, net als vorig jaar, maar de categorie is aanzienlijk breder geworden. isolved HCM (#10) en BambooHR (#15) plaatsen HR- en salarisplatforms voor het eerst op de lijst, AWS (#17) vertegenwoordigt cloudinfrastructuur en Dropbox (#14) staat voor bestandsdeling.

HR en salarisverwerking is een opvallende nieuwkomer. Deze systemen bevatten gegevens over directe stortingen, belastingidentificatoren en persoonlijke dossiers van hele personeelsbestanden, en ze worden gebruikt door medewerkers die geen beveiligingsspecialisten zijn. isolved HCM heeft passkeys gepromoveerd tot een prominente primaire MFA-optie bij het inloggen, terwijl zwakkere methoden worden uitgefaseerd.¹¹

Voor B2B-platforms lossen passkeys twee problemen tegelijk op: ze beschermen bedrijfskritische gegevens en verminderen de IT-last van wachtwoordresets, accountblokkades en ondersteuningsverzoeken gerelateerd aan toegangsgegevens.

Twee nieuwkomers op de lijst van dit jaar geven aan waar wachtwoordloze authenticatie naartoe gaat.

Login.gov (#11) brengt Amerikaanse federale diensten naar de Power 20. De positie ervan kan aanzienlijk belangrijker worden, omdat het Amerikaanse Office of Management and Budget (OMB) een conceptbeleid heeft gecirculeerd dat Login.gov zou aanwijzen als de SSO-dienst van de federale overheid voor de meeste publiekgerichte diensten waarvoor authenticatie vereist is.¹⁴ Een passkey-implementatie op die schaal zou een groot deel van de Amerikaanse bevolking kennis laten maken met wachtwoordloze authenticatie — net zoals Googles standaardbeslissing in 2023 dat deed voor consumenten.

OpenAI (#19) is het eerste AI-platform dat verschijnt. OpenAI kondigde passkey-ondersteuning aan in april als onderdeel van het Advanced Account Security-programma, waarbij passkeys standaard verplicht zijn voor leden van het Trusted Access for Cyber-programma.¹⁵ De duidelijkste verplichting die we in de hele dataset hebben gevonden, geldt dus voor een beveiligingsgevoelige gebruikersgroep, niet voor de algemene bevolking.

Vorig jaar lieten we Google volledig buiten de ranking. Het authenticatievolume overtrof alles andere enorm en de rol als SSO-aanbieder maakte een directe vergelijking misleidend.

De maatstaf van dit jaar elimineert dat probleem. Een penetratiegraad beloont schaal niet, waardoor Google op dezelfde voorwaarden concurreert als alle anderen — en toch als eerste eindigt. De 28% is het sterkste beschikbare bewijs dat standaardinstellingen werken. Google maakte passkeys in oktober 2023 de standaard inlogoptie voor persoonlijke accounts, en drie jaar later levert die beslissing nog steeds het hoogste conversiepercentage op dat we meten.¹⁶

Microsoft stond vorig jaar op #5 in de lijst van snelst groeiende platforms, nadat passkeys in mei 2025 de standaard inlogmethode werden voor alle nieuwe accounts.¹⁷ Dit jaar verschijnt het op de hoofdranglijst op positie #16.

Die ontwikkeling is de moeite waard om op te merken voor iedereen die een eigen uitrol overweegt. Beslissingen om iets standaard in te schakelen leiden niet direct tot een betekenisvolle penetratie. Ze zijn eerst zichtbaar als groei en vertalen zich pas in een stabiel marktaandeel in het jaar daarna, naarmate de bestaande gebruikersbasis overschakelt.

Passkeys van Apple konden van oudsher het Apple-ecosysteem niet verlaten, wat platformonafhankelijk beheer van toegangsgegevens lastig maakte voor zowel consumenten als IT-beheerders.

Met iOS 26, uitgebracht in september 2025, introduceerde Apple ondersteuning voor veilige overdraagbaarheid van toegangsgegevens. Hiermee kunnen gebruikers passkeys en andere toegangsgegevens verplaatsen tussen de Apple Passwords-app en externe aanbieders zoals Dashlane via Inloggegevensuitwisseling. Google volgde dit voorbeeld. In 2026 voegde Google ondersteuning voor Inloggegevensuitwisseling toe aan Google Password Manager op Android. 

Het praktische gevolg is dat passkeys overdraagbare middelen worden in plaats van een keuze voor één platform. Voor organisaties die aarzelden met wachtwoordloos inloggen vanwege zorgen over vendor lock-in is dat bezwaar grotendeels weggenomen.

De Power 20 meet hoe ver elke dienst is gekomen. Deze ranking meet hoe snel die dienst groeit. Voor deze analyse heeft Dashlane de groei in passkey-authenticaties over drie maanden onderzocht, van Q1 2026 tot Q2 2026.

Het snelst groeiende domein van vorig jaar, Roblox, groeide met 856% in één kwartaal. De koploper van dit jaar, BetMGM, bereikt een maximum van 391%.

Die daling is een teken van volwassenheid, niet van een vertraging. De grootste groeicijfers komen van platforms die één ingrijpende stap zetten: passkeys activeren waar ze nog niet bestonden, of ze ronduit verplichten. Die winsten zijn eindig, en wat ervoor in de plaats komt is breder en stabieler. Zelfs nummer 20 op deze lijst groeide in één kwartaal met bijna twee derde.

De groei is niet langer geconcentreerd bij een paar opvallende koplopers, maar verspreid over vrijwel elke sector die we meten.

Gokken staat voor het eerst op de eerste plaats, en de groei van BetMGM met 391% weerspiegelt een patroon dat door de hele lijst zichtbaar is. De adoptie van passkeys verloopt het snelst waar accounts geld, toegangsgegevens of gereglementeerde persoonsgegevens bevatten. Online gokaccounts bevatten betaalmethoden en saldi, staan onder actief regelgevend toezicht en zijn aantrekkelijke doelwitten voor account-overnames.

Financiën is het duidelijkste voorbeeld van dat patroon, met vijf van de twintig plaatsen — meer dan welke andere categorie dan ook. Experian (383%), SBI Securities (114%), Principal (74%), PayPal (66%) en Klarna (64%) bestrijken kredietregistratie, brokerage, verzekeringen, betalingen en koop-nu-betaal-later.

Het verhaal over financiën is veranderd ten opzichte van vorig jaar. In 2025 werd de groei in deze sector gedreven door ingrijpende verplichtingen, waarvan de meest zichtbare was dat Gemini passkeys of verificator-apps verplicht stelde voor alle gebruikers. Gemini staat niet in de top 20 van domeinen in de eerste tabel van dit rapport. Dit jaar is er geen vergelijkbaar hoofdnieuws. In plaats daarvan is financiën tegelijkertijd vertegenwoordigd in vijf subsectoren. Dat is minder spectaculair, maar aanzienlijk duurzamer.

"Een AI-agent vertrouwen met een echte transactie betekent weten wie er achter zit en er zeker van zijn dat de agent alleen kan doen wat die persoon heeft toegestaan", zegt Andrew Shikiar, uitvoerend directeur en CEO van de FIDO Alliance. "Phishing-resistente open standaarden zijn de manier waarop we gebruikers, handelaren en banken vertrouwen geven in transacties geleid door agents."

Gezondheid en farmacie is nieuw prominent aanwezig, met CVS (132%), MyChart (100%) en Caremark (71%) die allemaal in de top vijftien staan. Twee van die drie, CVS en Caremark, zijn eigendom van CVS Health, dus dit vertegenwoordigt twee organisaties in plaats van drie onafhankelijke stappen.

Het tijdstip is opvallend. De voorgestelde update van de HIPAA Security Rule, die multifactorauthenticatie een expliciete vereiste zou maken in plaats van een discretionaire, is op federaal niveau nog niet afgerond.¹⁸ Zorginstellingen stappen over op phishing-resistente authenticatie vóór een eventuele verplichting daartoe — niet als reactie op zo'n verplichting.

Patiëntportalen bevatten receptgeschiedenissen, verzekeringsgegevens en betaalmethoden, en worden gebruikt door een brede groep mensen met uiteenlopende niveaus van technische vaardigheid. Die combinatie maakt de adoptiecijfers hier indrukwekkender dan de ruwe percentages doen vermoeden.

De groei van Gusto met 354% is het derde hoogste cijfer op deze lijst, en sluit aan bij de sterke prestaties van isolved HCM (#10) en BambooHR (#15) op de bovenstaande Power 20-lijst.

HR- en salarisplatforms convergeren vanuit twee richtingen tegelijk op passkeys, met een snelle groei en een hoge penetratie. Deze systemen bevatten gegevens voor automatische betalingen, belastingidentificatoren en volledige personeelsdossiers, terwijl ze worden gebruikt door medewerkers die zelden inloggen en mogelijk geen beveiligingstraining hebben gehad. Wachtwoorden presteren slecht onder precies die omstandigheden.

Meta (310%) en X (112%) laten sterke cijfers zien, maar geen van beide geeft leiding op de manier zoals sociale platforms dat in voorgaande jaren deden. De sectoren die nu het tempo bepalen, zijn die met directe financiële of regelgevende blootstelling — wat erop wijst dat de adoptie van passkeys wordt gedreven door risicoberekening in plaats van door trends in consumententechnologie.

Air France (69%), Mon Identifiant SNCF (68%), Ticketmaster (218%) en Petco (101%) laten aanhoudende consumentenmomentum zien in Europa en Noord-Amerika. Broadcom (80%) en Trimble (67%) brengen halfgeleiders en industriële technologie voor het eerst op de lijst.

De breedte is het punt. Negentien afzonderlijke categorieën verschijnen in de twee ranglijsten van dit jaar. De adoptie van passkeys is niet langer een verhaal over één sector die de leiding neemt en anderen die volgen.

Twee jaar geleden rapporteerden we vroeg momentum. Vorig jaar rapporteerden we dat momentum een verplichting was geworden. De gegevens van dit jaar ondersteunen een preciezere conclusie — en een veeleisendere.

Het aantal passkey-authenticaties is bijna verdubbeld. De adoptie is twee jaar op rij met circa twintig procentpunten per jaar gestegen. Negentien categorieën zijn vertegenwoordigd in onze twee ranglijsten, van federale identiteitsdiensten tot salarisplatforms en patiëntportalen. Geen enkele serieuze waarnemer kan nu nog beweren dat passkeys een technologie voor early adopters zijn.

Toch heeft het best presterende grote domein dat we meten slechts een passkey-loginpercentage van 28%. De koplopers hebben dat bereikt via overtuiging — betere plaatsing, snellere flows, duidelijkere voordelen en de geleidelijke uitfasering van zwakkere alternatieven. Elk van die beslissingen werkte, maar geen ervan rondde de klus af.

De organisaties bovenaan deze lijst hebben aangetoond dat passkeys op schaal kunnen worden ingezet voor elk type gebruikersbestand zonder iemand te dwingen. Ze hebben ook het plafond aangetoond dat die aanpak bereikt.

Voor IT- en beveiligingsleiders is de strategische vraag dienovereenkomstig veranderd. Het gaat er niet meer om of passkeys ondersteund moeten worden, of zelfs of ze gepromoot moeten worden. Het gaat erom hoe ver een organisatie bereid is te gaan in het uitfaseren van het wachtwoord, en op welke tijdlijn. De diensten die die vraag als eerste beantwoorden, zullen volgend jaar bovenaan deze ranglijsten staan.

Aangezien misbruik van toegangsgegevens nog altijd een van de meest voorkomende initiële aanvalsvectoren is, wordt de prijs van halfslachtigheid afgemeten aan het aanvalsoppervlak dat overblijft. Een passkey die naast een wachtwoord wordt aangeboden, vermindert het risico nauwelijks, maar een passkey die een wachtwoord vervangt, doet dat in aanzienlijke mate.

Bij Dashlane blijven we deze transitie volgen en rapporteren wat de gegevens laten zien, inclusief de minder comfortabele delen. De Passkey Power 20 van 2026 brengt een sector in beeld die heeft bewezen dat wachtwoordloze authenticatie werkt. Wat nu volgt, is het zwaardere werk om dat ook echt af te ronden.