Mô tả: Phân tích giới hạn Windows Hello PIN, thay đổi bảo mật 2026, phiên đăng nhập được lưu, API chính thức và WebAuthn ảo.
Bot tự động mọi thứ, trừ việc gọi người nhập PIN
Trình duyệt đã nhấn đăng nhập và điền biểu mẫu. Đúng lúc gần xong, Windows hiện “Nhập PIN”. Bạn định cho bot làm việc cả đêm, nhưng chính mình lại được giao ca trực PIN.
Kết luận: không có cách tiêu chuẩn, đáng tin cậy để một script trình duyệt thông thường tự xác minh passkey đã lưu trong Windows Hello mà hoàn toàn không cần người. Tuy nhiên, dùng lại phiên đăng nhập được phép, API chính thức hoặc thông tin xác thực ảo đăng ký riêng có thể giảm đáng kể thao tác tay.[1][2][3]
PIN không phải mật khẩu website
Windows Hello bảo vệ khóa riêng trên thiết bị. PIN, khuôn mặt hoặc vân tay xác minh người dùng để khóa ký yêu cầu đăng nhập của website. Website không nhận trực tiếp các chữ số PIN như mật khẩu.[1][4] Vì vậy, tự động điền ô HTML và thao tác hộp thoại bảo mật Windows là hai việc khác nhau. Bot đi khắp website rất giỏi, nhưng đến cửa vẫn bị kiểm tra giấy tờ.
Điều gì thay đổi vào tháng 1/2026?
Microsoft cho biết các bản cập nhật từ ngày 13/1/2026 hạn chế thao tác tự động hoặc từ xa không đáng tin cậy trong giao diện thông tin đăng nhập Windows. Bàn phím vật lý tại máy và ứng dụng có đặc quyền phù hợp được xử lý khác với phím giả lập thông thường.[5]
Microsoft cũng ghi nhận Power Automate Desktop gặp sự cố với một số hộp thoại. Đề xuất đổi Edge sang Chrome hoặc Firefox dành cho trường hợp cụ thể đó, không phải lời hứa Chrome sẽ tự vượt mọi yêu cầu PIN của Windows Hello.[6]
Năm hướng thực tế
Dùng lại phiên: đăng nhập hợp lệ một lần rồi giữ trạng thái trong phạm vi website cho phép. Playwright có thể lưu cookie và trạng thái xác thực. Khi phiên hết hạn hoặc cần kiểm tra thêm, vẫn cần con người. Không đưa tệp phiên lên GitHub.[2]
API chính thức: nếu dịch vụ có xác thực dành cho chương trình, cách này thường phù hợp hơn việc tự nhấn nút trên web. Quy tắc đăng nhập web không nhất thiết là quy tắc API.
WebAuthn ảo: Chrome DevTools và Playwright có thể mô phỏng đăng ký và dùng passkey, nhất là khi kiểm thử. Chúng không xuất khóa riêng đã được Windows Hello bảo vệ. Với website thật, phải kiểm tra việc đăng ký thêm passkey và điều khoản sử dụng.[7][3]
Khuôn mặt hoặc vân tay: khỏi gõ PIN nhưng vẫn cần người thật.[4]
Giả lập nhập PIN: AutoHotkey, PowerShell hoặc thiết bị USB giả bàn phím có thể bị lớp bảo vệ chặn. Lưu PIN dạng văn bản thường còn gây rủi ro.[5]
Thứ tự nên kiểm tra
Tác vụ lặp lại: thử khả năng giữ phiên. Vận hành lâu dài: tìm API chính thức. Kiểm thử website tự phát triển: dùng WebAuthn ảo. Website bên thứ ba buộc xác minh trực tiếp: tạm dừng và thông báo. Hãy kiểm tra sau khi khởi động lại, khi phiên hết hạn và trước thao tác nhạy cảm.
Kết
Không phải chỉ tự động hóa vài con số, mà là tránh việc máy cứ gọi người đến cứu. Nếu không đổi cách đăng nhập, bạn vẫn là nhân viên trực PIN ca đêm.
- Microsoft Learn: Support for Passkeys in Windows learn.microsoft.com
- Playwright: Authentication and session state playwright.dev
- Playwright: Virtual WebAuthn credentials playwright.dev
- Microsoft Learn: Passkey verification on Windows learn.microsoft.com
- Microsoft Support: Credential autofill restrictions, Windows January 2026 update support.microsoft.com
- Microsoft Learn: Power Automate desktop Windows credential dialog issues learn.microsoft.com
- Chrome for Developers: Emulate WebAuthn authenticators developer.chrome.com
