La passkey è nettamente più sicura della password. A differenza dei codici tradizionali, la passkey non può essere rubata tramite phishing, non richiede di essere ricordata a memoria e si basa su una chiave crittografica archiviata nel tuo dispositivo e protetta da sblocco biometrico (Face ID, impronta digitale o PIN). Se un sito o un’app offre la possibilità di attivarla, è la scelta migliore per blindare i tuoi account.
Perché le password non bastano più (e qual è il vero problema)
Per decenni ci siamo abituati a inventare sequenze di lettere, numeri e caratteri speciali. Il risultato? Password dimenticate, foglietti sparsi sullo schermo o, peggio, la stessa parola d’ordine (“Estate2024!”) riutilizzata per la posta elettronica, i social media e l’e-commerce sotto casa.
Il vero limite delle password non è solo la memoria umana, ma la loro stessa architettura di sicurezza:
- Il fattore umano e il phishing: Quando ricevi un’email contraffatta che sembra inviata dal tuo servizio di streaming preferito o dalla banca, inserisci le credenziali nel sito civetta senza accorgertene. In quel momento hai consegnato le chiavi di casa ai truffatori.
- I data breach dei server: Se il database di un sito web viene violato dagli hacker, le password memorizzate nei loro sistemi possono finire nel dark web a disposizione di chiunque.
- Gli attacchi automatizzati: I software moderni impiegano pochissimo tempo per testare combinazioni di parole comuni tramite attacchi a forza bruta (brute force).
La password è fondamentalmente un “segreto condiviso”: lo conosci tu e lo conosce il server del sito. Se quel segreto viene intercettato o rubato alla fonte, l’account è compromesso.
Le passkey eliminano questo punto debole basandosi sullo standard aperto FIDO2 (promosso da Apple, Google, Microsoft e dalle principali aziende tech), sostituendo la parola d’ordine con un sistema di chiavi crittografiche che non vengono mai condivise.
Cosa controllare prima di passare alle passkey
Passare alle passkey non richiede competenze informatiche, ma per un’esperienza senza intoppi è utile verificare tre requisiti sul tuo ecosistema di tutti i giorni:
- Il blocco schermo attivo: Smartphone, tablet o computer devono avere un metodo di blocco impostato (Face ID, Touch ID, lettore di impronte su Android/Windows o PIN di sblocco).
- L’account cloud principale: Le passkey vengono sincronizzate in modo sicuro nel tuo cloud di riferimento (Portachiavi iCloud per i dispositivi Apple, Gestore Password di Google per Android e Chrome, o gestori terzi come 1Password). Verifica che il tuo account Google o Apple ID abbia l’autenticazione a due fattori (2FA) attiva.
- La compatibilità del servizio: I grandi servizi come Google, Apple, Amazon, WhatsApp, Nintendo, PayPal, X (Twitter) e TikTok supportano già le passkey. Altri siti si stanno adeguando progressivamente: se non vedi l’opzione nelle impostazioni di sicurezza del tuo profilo, significa che il sito usa ancora il metodo classico.
Come funzionano le passkey nella pratica quotidiana
Quando crei una passkey per un account, il tuo dispositivo genera una coppia di chiavi crittografiche matematicamente collegate:
- Chiave pubblica: Viene inviata al server del sito (ad esempio Amazon). È pubblica, quindi anche se un hacker dovesse bucare il server di Amazon e rubarla, non potrebbe usarla per accedere.
- Chiave privata: Resta custodita all’interno dell’hardware di sicurezza del tuo telefono o PC (come il chip Secure Enclave su iPhone). Non esce mai dal dispositivo e non viene mai trasmessa online.
Cosa succede quando fai il login:
- Apri la pagina di accesso del sito e selezioni “Accedi con Passkey”.
- Il dispositivo ti chiede di confermare la tua identità tramite impronta digitale, volto o PIN locale.
- La chiave privata firma la richiesta e la invia al server, che la confronta con la chiave pubblica e ti fa entrare.
In tutto il processo non hai digitato alcuna password, non hai atteso l’arrivo di un SMS con codice di verifica e nessun sito truffa ha potuto rubarti le credenziali, perché la passkey è legata in modo indissolubile al dominio web ufficiale del servizio.
Confronto diretto: Passkey vs Password
| Caratteristica | Password tradizionale | Passkey |
| Resistenza al Phishing | Bassa (puoi digitarla su un sito falso) | Totale (funziona solo sul dominio legittimo) |
| Rischio da Data Breach | Alto se il database del sito viene violato | Nullo (il server possiede solo la chiave pubblica) |
| Sforzo di memoria | Alto (bisogna ricordarle o scriverle) | Nullo (autenticazione tramite biometria) |
| Autenticazione a 2 Fattori | Da impostare a parte (SMS o App 2FA) | Integrata nel sistema (dispositivo + biometria) |
| Facilità d’uso | Richiede digitazione o copia-incolla | Richiede solo il tocco dell’impronta o lo sguardo |
| Ripristino in caso di smarrimento | Tramite email o reset manuale | Tramite backup crittografato sul Cloud personale |
Errori comuni da evitare
L’adozione delle passkey è immediata, ma ci sono alcune disattenzioni pratiche da non commettere:
- Disattivare la biometria o il PIN dallo smartphone: Rimuovere la schermata di blocco dal telefono disattiva automaticamente la protezione delle passkey.
- Trascurare la sicurezza dell’account cloud: Poiché le passkey si sincronizzano sul tuo account Apple, Google o Microsoft, assicuratevi che quell’account principale sia protetto con una password forte e verifica a due fattori.
- Credere che la fotocamera frontale basti sempre: Nei dispositivi Android senza sensori 3D dedicati, lo sblocco facciale semplice potrebbe essere considerato “a bassa sicurezza” dal sistema operativo, che ti chiederà quindi il PIN o l’impronta.
- Eliminare la passkey per errore dal gestore password: Se cancelli una passkey dalle impostazioni del browser o del dispositivo, dovrai effettuare nuovamente l’accesso tramite metodi di recupero tradizionali per rigenerarla.
FAQ Brevi
Cosa succede se perdo il telefono o cambio smartphone?
Non perdi l’accesso ai tuoi account. Le passkey sono sincronizzate in modo crittografato nel cloud (iCloud Keychain o Gestore Password di Google). Quando configurerai il nuovo smartphone con il tuo account, le passkey saranno pronte all’uso.
Posso usare una passkey su PC se l’ho creata sullo smartphone?
Sì. Quando provi ad accedere da un computer fisso o dal portatile di un amico, lo schermo mostrerà un codice QR. Ti basterà inquadrarlo con la fotocamera dello smartphone e confermare l’identità con l’impronta o il volto per autorizzare il login sul PC.
Le passkey funzionano anche senza connessione internet?
La verifica dell’impronta o del volto avviene interamente offline all’interno del tuo dispositivo. Per completare il login al sito è chiaramente necessaria la connessione di rete, ma l’operazione di sblocco della chiave non dipende dai server esterni.
Devo cancellare subito tutte le mie vecchie password?
Non è necessario farlo manualmente in un giorno. Il metodo più comodo è attivare la passkey ogni volta che un servizio su cui sei già registrato (come WhatsApp o Amazon) ti propone la configurazione. La passkey affiancherà e poi sostituirà gradualmente la tua vecchia parola d’ordine.
