Zašto platforme baš sada gase SMS kodove?
Zato što se SMS kod može izmamiti na lažnoj stranici i preusmjeriti zamjenom SIM kartice, a regulatori to sada pišu izravno. Američki CISA poručuje da se SMS ne koristi kao drugi faktor, NIST ga vodi kao „ograničen“ autentikator, a britanski NCSC (23. 4. 2026.) passkey proglašava prvim izborom za prijavu.
Microsoft gašenje SMS-a u Entra ID-u obrazlaže phishingom potpomognutim umjetnom inteligencijom: takve kampanje postižu klikovnost do 54 %, prema oko 12 % kod klasičnih. SMS i glasovne kodove više ne smatra sigurnom metodom prijave.
Prijelaz je već masovan. FIDO Alliance (7. 5. 2026.) procjenjuje oko 5 milijardi passkeyja u uporabi i navodi da ga 75 % ljudi ima na barem jednom računu — ali i da se 57 % organizacija i dalje oslanja na metode prijave ranjive na phishing.
Što je passkey i po čemu je bolji od SMS koda?
Passkey je prijava kriptografskim ključem koji vrijedi samo za pravu adresu usluge — na lažnoj stranici ga nema što prepisati. Prijavu potvrdite licem, otiskom prsta ili PIN-om uređaja, a tajni dio ključa nikad ne napušta uređaj.
| Vrsta | Gdje živi | Što treba znati |
|---|---|---|
| Sinkronizirani passkey | iCloud Keychain, Google upravitelj lozinki | Prelazi s uređaja na uređaj; NIST ga priznaje do razine AAL2. |
| Passkey vezan uz uređaj | Microsoft Authenticator, Windows Hello | Ne napušta mobitel ili računalo na kojem je nastao. |
| Hardverski FIDO2 ključ | YubiKey i drugi FIDO2 ključevi | Ne kopira se i ne treba mobitel; NIST za najvišu razinu (AAL3) traži upravo nesinkronizirani autentikator. |
Usporedbu SMS-a, aplikacije i ključa napravili smo u članku SMS kod, aplikacija ili hardverski ključ.
Koje velike platforme su već prešle na passkey?
Sve velike: Microsoft, Google, Apple, Meta, Amazon i OpenAI nude passkey, a Google i Microsoft su ga učinili zadanom prijavom. Razlika je u tome tko SMS samo zamjenjuje boljom opcijom, a tko ga gasi.
| Platforma | Što je uvela | Od kada |
|---|---|---|
| Microsoft Entra ID (Microsoft 365) | Passkey zadana prijava; vlastiti SMS i poziv gase se | 1. 9. 2026. · gašenje 1. 2. 2027. |
| Microsoft osobni računi | Passkey; novi računi bez lozinke; postupno ukidanje SMS-a bez roka | 2. 5. 2024. · 1. 5. 2025. |
| Passkey zadana opcija osobnih računa | 10. 10. 2023. | |
| Apple | Passkey; Apple račun sa sigurnosnim ključevima (najmanje dva) | iOS 16 (2022.) · iOS 16.3 (2023.) |
| Meta | Passkey na Facebooku, Messengeru, Instagramu i WhatsAppu | 2023.–2026. |
| OpenAI (ChatGPT) | Napredna zaštita računa: samo passkey ili ključ, bez SMS oporavka | 30. 4. 2026. |
| Amazon | Passkey; uključilo ga je više od 175 milijuna kupaca | 23. 10. 2023. |
WhatsApp je 25. 8. 2026. objavio da je passkey postavilo više od milijarde ljudi. OpenAI uz naprednu zaštitu nudi i paket od dva YubiKeyja koji, prema OpenAI-ju, može biti dostupan i u Europskom gospodarskom prostoru.
Detalje za Microsoft 365 — koga se gašenje tiče i čime zamijeniti SMS — opisali smo u članku Microsoft gasi SMS kodove 1. 2. 2027.
Tko je SMS kodove stvarno ugasio ili ograničio?
Manji broj nego što se misli: Microsoft (Entra ID, 2027.), AWS, X, Dropbox i Shopify — ostali SMS zadržavaju kao rezervu. Popis potvrđenih ograničenja, prema službenim stranicama:
- X — od 20. 3. 2023. SMS kao drugi korak samo za pretplatnike.
- AWS — ukinuo je SMS kao MFA metodu; MFA je obvezan za root korisnike svih vrsta računa od 17. 6. 2025.
- Microsoft Entra ID — vlastiti SMS i poziv prestaju 1. 2. 2027. (administratori i vanjski korisnici 1. 7. 2027.); SMS ostaje samo uz plaćenog vanjskog pružatelja.
- Microsoft osobni računi — postupno ukidanje SMS-a za prijavu i oporavak, bez roka.
- Dropbox — od 9. 1. 2026. SMS za drugi korak ugašen u dijelu zemalja (popis nije objavljen).
- Shopify — SMS se više ne može dodati kao nova metoda; postojeći ga zadržavaju.
- npm — od listopada 2025. nove postavke s kodom iz aplikacije (TOTP) nisu moguće; traži se passkey.
Za PayPal (ukidanje SMS-a za prijavu od ožujka 2026.) i Gmail (zamjena SMS koda QR kodom) postoje samo napisi medija — službeni dokument s rokom nismo pronašli, pa ih ne vodimo kao potvrđene.
Što traže razvojne i cloud platforme?
Najviše: ondje je prijava u dva koraka obvezna, a sve češće mora biti i otporna na phishing. Razlog je jednostavan — preuzet račun programera ili administratora oblaka ugrožava tisuće drugih.
| Platforma | Zahtjev | Rok |
|---|---|---|
| GitHub | Obvezna prijava u dva koraka za sve koji doprinose kodu | od 13. 3. 2023. |
| npm | Nova 2FA samo passkeyjem (WebAuthn); klasični tokeni opozvani | listopad 2025. · 9. 12. 2025. |
| PyPI | Obvezna prijava u dva koraka | 1. 1. 2024. |
| AWS | Obvezni MFA za root korisnike; SMS MFA ukinut | 17. 6. 2025. |
| Microsoft Azure | Obvezni MFA za upravljanje (portali, zatim CLI i PowerShell) | listopad 2024. · 1. 10. 2025. |
| Salesforce | Phishing-otporni MFA za administratore; TOTP i SMS ne vrijede | 20. 7.–3. 9. 2026. |
| Snowflake | Obvezni MFA za sve ljudske korisnike s lozinkom | do listopada 2026. |
| Google Cloud | Obvezni 2SV (SMS i dalje vrijedi) | 20. 10. 2026. za Cloud Identity bez SSO-a |
Salesforce administratoru koji se ne upiše blokira prijavu dok ne registrira phishing-otpornu metodu — i kao primjer navodi YubiKey. To je smjer u koji idu i ostali: lozinka plus kod više nije dovoljno za račune s ovlastima.
Što je s bankama i plaćanjima?
U EU banke i dalje smiju slati SMS kodove: PSD2 ih priznaje, a novi propis (PSR) još nije usvojen. Dogovoreni tekst PSR-a traži da jaka autentifikacija ne ovisi samo o pametnom telefonu, ali SMS, FIDO i passkey uopće ne spominje.
Izvan EU regulatori su otišli dalje. Singapur je 9. 7. 2024. bankama naložio postupno ukidanje jednokratnih kodova za prijavu, Malezija od 2022. traži prelazak sa SMS kodova na sigurnije metode, a filipinska središnja banka (Circular 1213/2025) ograničava SMS i e-mail kodove i kao primjer jake autentifikacije navodi FIDO ključ. Indija SMS kodove zadržava.
Kartične kuće uvode passkey za plaćanje na internetu: Visa od 15. 5. 2024. (Visa Payment Passkey Service), a Mastercard si je za Europu zadao cilj da do 2030. passkey zamijeni lozinke i jednokratne kodove. Među bankama, španjolska ABANCA od 2024. transakcije potvrđuje passkeyjem bez SMS-a, a ING Deutschland ukinuo je SMS TAN.
Kako to izgleda u hrvatskim bankama — koje su prešle na vlastite aplikacije, a koje još šalju SMS — pokazujemo u članku Passkey u Hrvatskoj.
Što rade države i javna uprava?
Uvode passkey kao opciju i javno preporučuju odmak od SMS-a, ali ga u pravilu još ne gase. Najdalje su otišli Britanija, Australija, SAD, Njemačka i Singapur.
- Velika Britanija — GOV.UK One Login od 14. 9. 2026. nudi passkey (više od 300.000 korisnika u probi); NCSC passkey preporučuje kao prvi izbor.
- Australija — myGov prima passkey, uključujući fizičke sigurnosne ključeve; SMS kod ostaje.
- SAD — login.gov prima FIDO ključeve; CISA savjetuje da se SMS ne koristi kao drugi faktor; za savezne agencije phishing-otporni MFA mora biti ponuđen građanima (OMB, 2022.).
- Njemačka — BSI je 15. 6. 2026. objavio tehničku smjernicu za passkey poslužitelje (TR-03188) i građanima savjetuje drugi FIDO2 ključ kao rezervu.
- Singapur — Singpass od 1. 7. 2026. nudi passkey (beta, prvo na iOS-u) uz QR kod, prepoznavanje lica i SMS.
Europski digitalni novčanik (EUDI) nije passkey: služi za identitet, dokumente i potpis, a države ga moraju ponuditi do kraja 2026. Banke će ga za jaku autentifikaciju morati prihvatiti na zahtjev korisnika.
Koji rokovi stižu do 2027.?
Najvažniji rok za tvrtke je 1. 2. 2027.: tada Microsoft gasi vlastite SMS i glasovne kodove za prijavu u Microsoft 365. Ostali rokovi iz službenih izvora:
| Datum | Što se događa |
|---|---|
| 1. 9. 2026. | Microsoft Entra ID: passkey zadana prijava; korisnici sa SMS-om dobivaju poziv na registraciju. |
| 14. 9. 2026. | GOV.UK One Login: passkey za državne usluge. |
| 20. 10. 2026. | Google Cloud: obvezni 2SV za Cloud Identity bez SSO-a. |
| 30. 10. 2026. | Microsoft: tko želi zadržati SMS, ugovara vanjskog pružatelja. |
| kraj 2026. | EU: države moraju ponuditi EUDI novčanik. |
| siječanj 2027. | npm: tokeni koji zaobilaze 2FA gube izravnu objavu paketa (najavljeni cilj). |
| 1. 2. 2027. | Microsoft Entra ID: gašenje vlastitog SMS-a i poziva za većinu korisnika. |
| 1. 7. 2027. | Isto za globalne administratore i vanjske korisnike. |
Za europski PSR okvirni datum plenarnog glasanja je 14. 12. 2026., ali to nije rok primjene — propis još nije usvojen.
Koje platforme primaju hardverski ključ?
Gotovo sve velike poslovne i razvojne platforme: Microsoft, Google, Apple, AWS, GitHub, Salesforce, OpenAI i Snowflake izričito navode FIDO2 ključ. Neke ga i propisuju: Apple traži najmanje dva, a Google Workspace može passkey ograničiti samo na fizičke ključeve.
| Platforma | Hardverski ključ |
|---|---|
| Apple račun | Da — najmanje dva FIDO certificirana ključa, najviše šest; primjer YubiKey 5C NFC |
| Microsoft (Entra ID i osobni računi) | Da — FIDO2 ključ je passkey vezan uz uređaj |
| Google (osobni, Workspace, Cloud) | Da — Workspace može propisati samo fizičke ključeve |
| OpenAI (napredna zaštita) | Da — bilo koji FIDO ključ; najmanje dvije metode |
| AWS | Da — do 8 MFA uređaja po korisniku |
| GitHub, npm, PyPI | Da — WebAuthn |
| Salesforce, Snowflake | Da — Salesforce kao primjer navodi YubiKey |
| Discord, Dropbox, Proton | Da — Discord do 16 ključeva |
| Instagram, WhatsApp, Telegram | Nije navedeno (Instagram ključ ne nudi među metodama za drugi korak) |
Kako ključ postaviti na pojedinu uslugu, opisali smo u katalogu podržanih servisa, a što učiniti kad se ključ izgubi — u članku o rezervnom ključu.
Što se od toga već događa u Hrvatskoj?
Najdalje je otišlo obrazovanje: Srce u AAI@EduHr prima FIDO2 ključeve i YubiKey kao drugi faktor, a SMS kodove više ne nudi. Sveučilište u Rijeci od 1. 10. 2025. traži prijavu u više koraka za Office 365 i nudi passkey.
Banke su se od SMS-a uglavnom maknule prema vlastitim aplikacijama (mToken), a ne prema passkeyju; nijedna ga ne nudi klijentima, a manje banke kartična plaćanja i dalje potvrđuju SMS kodom. Država u sustavu e-Građani i dalje prima SMS vjerodajnicu. Cijelu sliku s izvorima donosimo u članku Passkey u Hrvatskoj.
Svaka hrvatska tvrtka, škola i fakultet na Microsoft 365 kojima korisnici danas imaju SMS kod ulazi u Microsoftov rok 1. 2. 2027. Za obveznike Zakona o kibernetičkoj sigurnosti Uredba traži višefaktorsku prijavu na VPN-u i internetskim SaaS alatima — vidi ZKS i višefaktorska autentifikacija.
Kako se tvrtka priprema za prijavu bez SMS-a?
U pet koraka: popis gdje se SMS koristi, odabir metode po ulozi, dva ključa po osobi, oporavak bez SMS-a i administratori prvi.
Gdje mobitel nije rješenje — administratori, dijeljena računala, zaposlenici bez službenog mobitela — ključ se bira prema uređajima: Security Key C NFC za samu prijavu, YubiKey 5C NFC kad treba i pametna kartica. Tvrtkama uz ključeve radimo i uvođenje.
- Popis. Gdje zaposlenici danas primaju SMS kod — Microsoft 365, Google, AWS, Salesforce, interni VPN — i tko kome je SMS jedina metoda.
- Metoda po ulozi. Sinkronizirani passkey za većinu; hardverski ključ za administratore, dijeljena računala i ljude bez službenog mobitela.
- Dva ključa. Rezervni ključ na sigurnom mjestu, kao što traže Apple i BSI — inače gubitak jednog znači zaključan račun.
- Oporavak bez SMS-a. Kodovi za oporavak, drugi ključ i dogovoren postupak s IT-om, jer SMS oporavak upravo nestaje.
- Administratori prvi. Računi s ovlastima prelaze prvi, uz račune za hitni pristup zaštićene ključem.
Vi-Di.me je certificirani Yubico partner (YubiNation, položene sve tri razine Yubico akademije). Ključeve nudimo iz vlastitog kataloga (izlog je ispod članka), uvođenje radimo po satnici iz cjenika, a ponudu za organizaciju zatražite na stranici uvođenja.
