認証技術の標準化団体であるFIDOアライアンスの公式サイト（fidoalliance.org）によると、パスキーは「利用者のデバイスに保存される（所持要素）」ことと、「生体認証やPINでのみ利用できる（生体・知識要素）」ことを組み合わせており、それ自体で複数の認証要素を活用する仕組みになっています。FIDOアライアンスは「パスキーは単独の主要因子（primary factor）でありながら、『パスワード＋OTP』や『パスワード＋電話承認』の組み合わせよりも安全である」と明言しています。その理由として、パスワードそのものがフィッシングやクレデンシャルスタッフィングによって本質的に脆弱であるため、パスワードを土台とした多層防御は原理的に弱くなるという問題を指摘しています。パスキーは共有シークレットではなく暗号鍵ペアを用いるため、SMSワンタイムパスワードやパスワードベースの仕組みに存在するフィッシングの脆弱性を根本的に回避できるとされています。