Quando accedi a un conto, alla posta di lavoro o a un gestionale, una password debole o riutilizzata può esporre più account insieme. Le passkey cambiano il meccanismo: invece di digitare un segreto condiviso con il servizio, autorizzi sul dispositivo una risposta crittografica associata a quel sito. La differenza è importante, ma non significa che ogni problema di accesso scompaia.
Che cosa cambia quando accedi con una passkey?
Con una password, scegli o ricevi una sequenza di caratteri e la inserisci al momento dell’accesso. Il servizio deve verificare una credenziale basata su quel segreto; se la password viene riutilizzata, indovinata o sottratta con una pagina falsa, può essere impiegata per tentare l’accesso anche altrove.
Una passkey è invece una credenziale digitale associata a un account e a uno specifico sito o applicazione. Si basa su una coppia di chiavi: quella privata resta sotto il controllo del dispositivo o del gestore delle credenziali, mentre il servizio registra la chiave pubblica corrispondente. Al login, il servizio invia una richiesta e il dispositivo la firma con la chiave privata. La spiegazione di WebAuthn del W3C descrive il protocollo con cui il sito richiede una credenziale a chi la gestisce e verifica la risposta firmata.
La chiave privata non è la password che digiti sul sito e non viene inviata al server durante l’accesso. Questo cambia il valore di un’eventuale violazione del database: il sito conserva la chiave pubblica, non una copia della chiave privata. Non vuol dire che gli account o i sistemi del gestore siano invulnerabili, ma elimina il rischio specifico che una password rubata dal database venga riutilizzata così com’è per accedere ad altri servizi.
Password e passkey a confronto
| Criterio | Password | Passkey |
|---|---|---|
| Che cosa usi | Una stringa che inserisci o fai compilare | Una credenziale crittografica selezionata dal dispositivo o dal gestore |
| Che cosa conserva il servizio | Un dato per verificare la password | La chiave pubblica associata alla credenziale |
| Rischio di riutilizzo | Una password ripetuta può esporre più account | La credenziale è legata al servizio per cui è stata creata |
| Accesso a una pagina falsa | Puoi essere indotto a digitare il segreto | Il controllo del sito da parte del browser o del sistema riduce il rischio di phishing |
| Sblocco | La password stessa, talvolta con un secondo fattore | Impronta, volto, PIN o altra modalità locale prevista dal dispositivo |
| Recupero | Reimpostazione tramite il servizio | Dipende dalla sincronizzazione, dagli altri dispositivi e dalle opzioni di recupero del servizio |
La resistenza al phishing dipende dal legame tra credenziale e sito legittimo: non puoi copiare una passkey digitandola su una pagina contraffatta come faresti con una password o un codice temporaneo. Il W3C specifica che le credenziali sono associate a un identificatore del servizio e che il client verifica questo contesto durante l’operazione. Per questo la passkey riduce un rischio importante, ma non sostituisce l’attenzione a messaggi fraudolenti, malware e procedure di recupero.
Il PIN non è la passkey
Quando il dispositivo chiede l’impronta, il volto o un PIN, sta verificando localmente che tu possa usare la credenziale. Il PIN di sblocco non viene normalmente trasmesso al sito come una password di accesso: serve a sbloccare il dispositivo o il gestore, secondo la configurazione scelta. In alcuni casi un gestore può chiedere un PIN specifico per proteggere le passkey sincronizzate. Non confondere quel PIN con il codice di accesso al servizio.
La verifica biometrica non significa che l’impronta o l’immagine del volto vengano inviate al sito. Secondo la documentazione Google sulle passkey, il materiale biometrico resta sul dispositivo; il sito riceve l’esito della verifica e la risposta crittografica prevista dal protocollo. Se il lettore biometrico non funziona, può esserci un metodo locale alternativo, come il PIN o la sequenza, in base al dispositivo.
Proteggi quindi il dispositivo con un codice che non sia facile da indovinare e usa il blocco automatico. Se altre persone conoscono il codice di sblocco, potrebbero riuscire ad autorizzare accessi dal dispositivo già sbloccato. Anche la protezione dell’account che sincronizza le credenziali conta: password robusta, verifica in due passaggi e attenzione agli avvisi di accesso restano misure utili.
Sincronizzazione e accesso da più dispositivi
Una passkey può essere legata al singolo dispositivo oppure sincronizzata tramite un gestore compatibile. Nel primo caso, usarla su un nuovo computer o telefono può richiedere un’altra credenziale o una procedura di accesso tra dispositivi. Nel secondo, il gestore può rendere la passkey disponibile su altri dispositivi dopo aver verificato l’identità dell’utente. Sincronizzazione e recupero dipendono dal provider e dalle piattaforme, non soltanto dal sito in cui hai registrato la passkey.
La documentazione Google descrive, per i propri ambienti, la sincronizzazione tramite Google Password Manager e la possibilità di usare il telefono vicino per autorizzare l’accesso su un altro dispositivo. Indica anche requisiti di piattaforma che aiutano a verificare la compatibilità: Credential Manager supporta passkey su Android dalla versione 9, corrispondente all’API 28; su Android 14 o versioni successive è possibile selezionare gestori compatibili di terze parti. Per Chrome su iPhone e iPad la documentazione indica iOS e iPadOS 16 o versioni successive, mentre la configurazione di Chrome come provider di compilazione automatica su iOS è indicata da iOS 17. Su macOS, il supporto Chrome per passkey in Portachiavi iCloud è indicato dalla versione 13.5. Sono dettagli riferiti agli ambienti descritti da Google, non una garanzia di compatibilità per ogni app o dispositivo. Consulta la tabella Google degli ambienti supportati prima di cambiare impostazioni o dispositivo.
Se la passkey è sincronizzata, la sicurezza del gestore e del relativo account diventa parte della protezione complessiva. Se è solo sul dispositivo, pianifica prima cosa fare in caso di smarrimento o guasto. Per gli account essenziali, registra più di una passkey quando il servizio lo consente, ad esempio su un secondo dispositivo fidato, e conserva aggiornato un metodo di recupero. Non archiviare codici di recupero in un luogo accessibile a chiunque.
Quale scegliere per lavoro e account personali?
Per un account che supporta passkey, questa può ridurre il rischio di furto tramite phishing e liberarti dalla necessità di inventare o ricordare una password dedicata. La scelta è particolarmente pratica se accedi spesso da più dispositivi e hai già un gestore affidabile. Per gli account che accettano soltanto password, usa una password unica e lunga e conservala in un gestore; non riutilizzare la stessa credenziale tra posta, banca, strumenti aziendali e social. Per confrontare le funzioni da valutare, puoi leggere i criteri per scegliere un gestore di password.
In un’attività professionale, controlla anche se il servizio permette di gestire le credenziali dei collaboratori, revocare quelle non più necessarie e recuperare l’account quando una persona lascia l’azienda. Una passkey personale sincronizzata sul proprio account privato potrebbe non essere adatta a una procedura condivisa o a un dispositivo aziendale: verifica le regole interne e gli strumenti messi a disposizione dall’organizzazione. Per gli approfondimenti su accessi e protezione digitale, consulta la sezione Web e tecnologia.
Come controllare che l’accesso sia davvero pronto
Prima di affidarti a una passkey per un account importante, fai questi controlli:
- Nelle impostazioni di sicurezza, verifica che la passkey risulti registrata per l’account corretto e che il nome del servizio sia quello atteso.
- Prova ad accedere dal dispositivo abituale e, se possibile, da un secondo dispositivo. Non cancellare l’unica credenziale funzionante prima di aver verificato l’alternativa.
- Controlla dove viene conservata: sul dispositivo, in un gestore sincronizzato o su una chiave di sicurezza compatibile. Accertati di poter accedere anche al gestore.
- Aggiorna email e numero di recupero, proteggi l’account email e leggi la procedura del servizio per smarrimento o cambio dispositivo.
- Rimuovi dall’account i dispositivi e i metodi che non usi più, ma solo dopo aver verificato che non siano l’unica via di accesso.
Una passkey non protegge da ogni minaccia: un dispositivo compromesso, un PIN condiviso, un account del gestore sottratto o una procedura di recupero debole possono ancora creare problemi. Inoltre, i servizi possono mantenere attive password, codici o accessi alternativi. Esamina ciascuno di questi metodi e proteggi l’account email usato per il recupero. La misura utile non è solo registrare una passkey: è sapere dove si trova, come autorizza l’accesso e come rientrare nell’account se il dispositivo principale non è disponibile.
Domande frequenti
Una passkey è la stessa cosa dell’impronta digitale?
No. L’impronta o il riconoscimento del volto possono sbloccare il dispositivo, ma non sono la credenziale che il sito riceve. La passkey è una credenziale crittografica gestita dal dispositivo o dal gestore scelto; il sito riceve una prova firmata, non i dati biometrici. In alcuni casi si usa un PIN o un’altra modalità di sblocco.
Se perdo il telefono perdo anche tutte le passkey?
Non necessariamente. Se la passkey è sincronizzata tramite un gestore accessibile da altri dispositivi, potrebbe essere ripristinabile dopo l’accesso all’account del gestore. Una passkey legata a un solo dispositivo può invece richiedere un altro dispositivo registrato o il metodo di recupero del servizio. Verifica prima come funziona il recupero per ciascun account importante.
Posso continuare a usare la password dopo aver creato una passkey?
Dipende dal servizio: alcuni mantengono password e passkey come metodi alternativi, altri permettono di eliminare o disattivare la password. Controlla le impostazioni di sicurezza dell’account e proteggi anche ogni metodo di recupero ancora attivo. Una passkey non rende sicura una procedura alternativa debole o un account email di recupero lasciato senza protezione.
Le passkey funzionano su dispositivi diversi?
Possono essere sincronizzate tra dispositivi tramite un gestore compatibile oppure utilizzate con un dispositivo vicino, se il servizio e le piattaforme supportano l’accesso tra dispositivi. La disponibilità concreta dipende dal sistema operativo, dal browser, dal gestore delle credenziali e dalle impostazioni dell’account. Prima di cambiare telefono o computer, prova l’accesso e conserva un metodo alternativo sicuro.