Le passkey permettono di accedere a molti servizi online senza digitare una password. Al suo posto viene utilizzato un metodo di sblocco già configurato sul dispositivo, come l’impronta digitale, il riconoscimento facciale, un PIN o una sequenza. La procedura può sembrare simile a quella usata per sbloccare lo smartphone, ma dietro il funzionamento c’è un sistema crittografico progettato per ridurre i rischi legati alle credenziali tradizionali.
Una passkey viene creata per uno specifico account e per uno specifico servizio. Il dispositivo conserva una chiave privata, mentre il sito o l’app riceve soltanto la relativa chiave pubblica. Le due chiavi lavorano insieme per verificare l’identità dell’utente senza trasmettere una password riutilizzabile. Anche se un sito venisse colpito da una violazione, la chiave pubblica memorizzata dal servizio non permetterebbe da sola di accedere all’account.
Questa tecnologia è supportata da sistemi come Android, iOS, Windows e macOS, oltre che dai principali browser e servizi online. Google, Apple e Microsoft hanno adottato le passkey all’interno dei rispettivi ecosistemi, mentre lo standard è promosso dalla FIDO Alliance. Prima di utilizzarle conviene capire come vengono create, quali vantaggi offrono rispetto alle password e cosa fare quando si cambia o si perde un dispositivo.
Che cosa sono le passkey e come funzionano
Una passkey è una credenziale digitale basata sulla crittografia a chiave pubblica. Durante la registrazione, il dispositivo genera una coppia di chiavi: quella privata rimane protetta localmente, mentre quella pubblica viene associata all’account del servizio.
Quando si effettua l’accesso, il sito invia una richiesta di verifica. Il dispositivo usa la chiave privata per produrre una risposta crittografica, ma la rende disponibile soltanto dopo lo sblocco locale. Il servizio controlla la risposta con la chiave pubblica e autorizza l’ingresso se la verifica è corretta.
La chiave privata non viene visualizzata dall’utente e, normalmente, non viene copiata sul sito. In base al sistema utilizzato, la passkey può essere sincronizzata in modo protetto tra dispositivi appartenenti allo stesso account, oppure può restare legata a un singolo dispositivo o a una chiave di sicurezza fisica.
Il ruolo di impronta digitale, volto e PIN
L’impronta digitale, il riconoscimento facciale e il PIN non sono la passkey in senso stretto. Sono metodi locali che autorizzano il dispositivo a usare la chiave privata. Il sito online non riceve l’immagine dell’impronta, la scansione del volto o il PIN.
Questa distinzione è importante per la privacy. Il sensore biometrico verifica l’identità direttamente sul telefono o sul computer; il servizio riceve soltanto il risultato crittografico della verifica. Se il dispositivo non supporta la biometria o questa non è disponibile, può essere richiesto il codice di sblocco configurato dall’utente.
La sicurezza dipende quindi anche dalla protezione del dispositivo. Un PIN troppo semplice, il telefono lasciato sbloccato o l’assenza di aggiornamenti possono ridurre il livello di difesa. È opportuno usare un codice non facilmente intuibile e attivare il blocco automatico dello schermo.
Passkey e password: quali sono le differenze
Le password sono informazioni che l’utente deve ricordare e inserire. Possono essere rubate tramite phishing, registrate da software dannosi, riutilizzate su più siti o ottenute attraverso banche dati compromesse. Le passkey eliminano la necessità di digitare una credenziale condivisa con il servizio.
Il sistema riduce anche il rischio di phishing perché la passkey è associata al sito per cui è stata generata. Una pagina contraffatta con un indirizzo diverso non dovrebbe poter utilizzare la credenziale destinata al sito originale. Questo meccanismo non rende però sicuro ogni account in automatico: bisogna controllare il dispositivo, il browser, l’account principale e le procedure di recupero.
Le passkey non impediscono a un malintenzionato di accedere a un dispositivo già sbloccato. Per questo è importante proteggere lo smartphone o il computer e rimuovere tempestivamente i dispositivi smarriti dall’account.
Passkey e autenticazione a due fattori
Una passkey può sostituire la password e, in molti casi, fornisce una verifica basata sul possesso del dispositivo e sul suo sblocco locale. L’autenticazione a due fattori, invece, aggiunge una seconda prova dopo la password, per esempio un codice generato da un’app, una notifica o una chiave di sicurezza.
Le due tecnologie hanno obiettivi collegati ma non sono identiche. Un account può permettere l’accesso con una passkey e mantenere altri metodi di recupero o verifica. Per comprendere il funzionamento dei codici aggiuntivi è utile consultare anche la guida sull’autenticazione a due fattori.
La scelta dipende dal servizio. Quando sono disponibili, le passkey possono rendere l’accesso più rapido e meno esposto al furto delle password; la verifica in due passaggi resta comunque utile come metodo alternativo o di recupero.
Come creare e usare una passkey con Google
Google consente di creare passkey dall’area di gestione dell’account, con passaggi che possono variare leggermente in base al dispositivo e alla versione del sistema operativo. Le indicazioni aggiornate sono disponibili nella documentazione ufficiale Google sulle passkey.
In genere la procedura comprende questi passaggi:
- accedere all’Account Google e aprire la sezione dedicata alla sicurezza;
- selezionare l’opzione relativa alle passkey o alle chiavi di accesso;
- confermare l’identità con la password, se richiesta;
- scegliere il dispositivo e autorizzare la creazione con impronta, volto o PIN;
- verificare che la nuova passkey compaia nell’elenco dei metodi disponibili.
In seguito, su un sito compatibile, è sufficiente selezionare l’accesso con passkey e sbloccare il dispositivo. Se si usa un computer diverso, il servizio può proporre una passkey salvata sullo smartphone tramite un codice QR o una connessione tra dispositivi, sempre con conferma locale.
Cosa fare se si cambia o si perde il dispositivo
Prima di sostituire lo smartphone è consigliabile verificare che le passkey siano sincronizzate con il gestore supportato dal sistema oppure aggiungere un metodo alternativo di accesso. È utile mantenere aggiornati numero di telefono, indirizzo email di recupero e dispositivi autorizzati.
In caso di furto o smarrimento, bisogna bloccare o cancellare da remoto il dispositivo quando possibile, cambiare le credenziali dell’account principale e rimuovere il dispositivo dall’elenco delle sessioni attive. Le procedure dipendono dal servizio: Google, Apple e Microsoft offrono pannelli separati per controllare gli accessi.
Le passkey sincronizzate possono essere recuperabili su un nuovo dispositivo dopo l’accesso all’account che le gestisce. Una passkey salvata soltanto sul dispositivo perso, invece, potrebbe non essere trasferibile. Per questa ragione è prudente configurare più metodi di accesso e conservare i codici di recupero in un luogo protetto. Anche una verifica delle password compromesse può aiutare a individuare account che richiedono una protezione aggiuntiva.
Vantaggi e limiti da valutare
Le passkey riducono il numero di password da ricordare, limitano il rischio di riutilizzo delle credenziali e rendono più difficile il phishing basato su pagine false. L’accesso tramite biometria o PIN è inoltre rapido e non richiede la digitazione di codici ricevuti via SMS.
Restano alcuni limiti pratici. Non tutti i siti supportano ancora la tecnologia, le procedure possono cambiare tra Android, iOS, Windows e macOS e il recupero dipende dal gestore utilizzato. Una passkey non sostituisce le buone pratiche di sicurezza: aggiornamenti, blocco dello schermo, controllo dei dispositivi collegati e protezione dell’account principale rimangono importanti.
Domande frequenti
Le passkey sono più sicure delle password?
In molti casi riducono i rischi legati a phishing, riutilizzo e furto delle password. La sicurezza dipende comunque dalla protezione del dispositivo e dell’account che sincronizza le credenziali.
La passkey invia la mia impronta al sito?
No. L’impronta o il volto vengono verificati localmente dal dispositivo. Il sito riceve una risposta crittografica, non i dati biometrici.
Posso usare una passkey su più dispositivi?
Sì, quando il sistema o il gestore utilizzato supporta la sincronizzazione. In alternativa è possibile usare una passkey salvata su un singolo dispositivo o una chiave di sicurezza compatibile.
Cosa succede se perdo il telefono?
È necessario bloccare o cancellare il dispositivo, rimuoverlo dall’account e usare un metodo alternativo di accesso. Le passkey sincronizzate possono essere recuperate tramite il gestore associato all’account.
Le passkey eliminano del tutto le password?
No. Molti servizi continuano a offrire password, codici di recupero o autenticazione a due fattori. La disponibilità dei metodi dipende dal singolo account e dal dispositivo.
