Cos'è una passkey?

Una passkey è una chiave digitale univoca che sostituisce la tua password. Quando ne crei una, vengono generate due chiavi digitali collegate: una viene salvata in modo sicuro nel tuo gestore di credenziali e l'altra viene condivisa con il sito web o l'app. Quando accedi, il tuo dispositivo verifica la tua identità tramite volto, impronta digitale o PIN del dispositivo, quindi usa la tua parte di passkey per dimostrare in sicurezza chi sei. La tua chiave privata non viene mai condivisa con il sito web.

Una password è un segreto che ricordi e digiti su un sito web. Una passkey è una chiave digitale univoca archiviata nel tuo gestore di credenziali che non hai bisogno di ricordare o digitare. Ogni passkey è specifica per il sito web o l'app per cui è stata creata, quindi non può essere indovinata, sottratta tramite phishing o riutilizzata su altri account come accade con le password.

La tradizionale autenticazione a due fattori, o 2FA, aggiunge in genere un ulteriore passaggio dopo l'inserimento della password, come un codice inviato via SMS o generato da un'app. Una passkey può sostituire sia la password che questi passaggi aggiuntivi verificando in modo sicuro che possiedi la passkey e che sei davvero tu a usarla tramite volto, impronta digitale o PIN del dispositivo. Alcuni siti web potrebbero comunque richiedere verifiche aggiuntive a seconda di come hanno implementato le passkey.

FIDO2 è lo standard tecnico su cui si basano le passkey. Non è necessario conoscerne i dettagli: basta sapere che "passkey" è il nome intuitivo per ciò che FIDO2 rende possibile, ed è il motivo per cui le passkey funzionano allo stesso modo su sistemi operativi, siti web, app, dispositivi e gestori di credenziali di aziende diverse.

Una chiave di sicurezza fisica può contenere una passkey, ma non è necessaria per utilizzarle. La maggior parte degli utenti conserva le proprie passkey in un gestore di credenziali su smartphone, computer o altri dispositivi. Le chiavi di sicurezza fisiche rappresentano un'opzione alternativa per archiviare le passkey e possono essere utili per chi desidera un ulteriore metodo di accesso.

No. L'impronta digitale o la scansione del volto vengono utilizzate dal tuo dispositivo per confermare la tua identità. I tuoi dati biometrici non lasciano mai il dispositivo e non vengono mai condivisi con il sito web o l'app.

Hai bisogno di accedere alla tua passkey tramite il tuo gestore di credenziali e di un metodo per verificare la tua identità, come il volto, l'impronta digitale o il PIN del dispositivo. Nella maggior parte dei casi non è necessario scaricare nulla di nuovo, poiché smartphone e computer dispongono già di un gestore di credenziali integrato.

La password viene condivisa con il sito web quando effettui l'accesso. Il PIN del dispositivo viene utilizzato solo a livello locale per verificare chi sei e non viene condiviso con il sito web. Quando usi una passkey, il PIN del dispositivo può essere uno dei metodi con cui il dispositivo verifica che sei autorizzato a usarla. Il PIN o codice di sblocco non viene mai condiviso con il sito o l'app.

Di solito in uno di questi due posti: nella memoria sicura integrata del dispositivo (un chip protetto separato dal resto del telefono o computer) o nel tuo gestore di credenziali, se ne utilizzi uno. In genere non puoi "vedere" la chiave grezza, proprio come non puoi visualizzare il codice sorgente dietro una password salvata, ma puoi visualizzare e gestire l'elenco delle passkey create nelle impostazioni del tuo account o nel gestore di credenziali.

No, le passkey appartengono a te e sono legate al sito web, non a Google, Apple o Microsoft. Queste aziende offrono uno spazio per archiviarle e sincronizzarle (un po' come offrono uno spazio per archiviare e sincronizzare le tue foto). Tieni presente, però, che se perdi l'accesso a quell'account potresti non riuscire ad accedere alle passkey su un nuovo dispositivo. Se preferisci evitare questo vincolo, puoi salvare le passkey in un gestore di credenziali differente.

Quando un sito web o un'app offre le passkey, cerca opzioni come "Crea una passkey" o "Configura una passkey" nelle impostazioni dell'account o della sicurezza. Il tuo dispositivo ti chiederà di verificare la tua identità tramite volto, impronta digitale o PIN del dispositivo. La passkey verrà quindi generata e salvata nel tuo gestore di credenziali. Alcuni siti e app ti proporranno di crearne una subito dopo l'accesso.

Molti siti web e app stanno introducendo le passkey per offrire un accesso più pratico e sicuro. Creare una passkey ti consente di utilizzarla al posto della password la prossima volta che effettui l'accesso. A seconda del sito, la password potrebbe rimanere attiva come metodo alternativo o di ripristino.

Di solito accade quando usi un nuovo dispositivo o browser a cui la passkey non è stata ancora "presentata". Una volta configurata anche su quel dispositivo, la richiesta non dovrebbe più comparire. Si tratta di un'incoerenza dovuta all'adozione graduale della tecnologia da parte dei siti, non di un problema della tua passkey.

Alcuni siti non hanno ancora aggiornato completamente i propri sistemi e richiedono la vecchia 2FA per eccesso di cautela. È una procedura ridondante ma innocua, destinata a scomparire man mano che i siti completeranno l'aggiornamento.

Le passkey sono pensate proprio per questo, ma alcuni siti richiedono comunque di impostare una password, anche se intendi accedere sempre tramite passkey, come metodo di emergenza per il recupero dell'account.

Al momento, alcuni siti web mostrano passaggi intermedi (come "Vuoi usare una passkey?") per abituare gli utenti a questa novità. Man mano che diventerà lo standard, il processo sarà rapidissimo: verifichi chi sei con il volto, l'impronta o il PIN e sei subito dentro.

Sì, molti siti web e app consentono di assegnare un'etichetta a ogni passkey. In questo modo è più facile capire quale rimuovere in caso di smarrimento di un dispositivo. Ricorda però che la maggior parte delle passkey sarà disponibile su tutti i tuoi dispositivi, quindi nominarle in base al dispositivo può creare confusione. Molti siti useranno automaticamente il nome del gestore di credenziali in cui le hai salvate (ad es. Google Password Manager, Apple Passwords, Bitwarden). Se il nome non viene compilato automaticamente, valuta di inserire il nome del tuo gestore di credenziali invece di quello del dispositivo.

Questi avvisi possono provenire da un sito web, dal browser o dal gestore di credenziali, quindi la modalità di disattivazione varia in base all'origine. Controlla le impostazioni relative a passkey, accesso o compilazione automatica nel browser o nel tuo gestore di credenziali.

Dipende da dove è archiviata la passkey. Molti gestori di credenziali sincronizzano in modo sicuro le tue passkey tra i tuoi dispositivi, per cui una passkey creata sul telefono potrebbe essere disponibile anche su portatile o tablet. Alcune passkey vengono archiviate solo su un dispositivo specifico e non si sincronizzano. Se la passkey non è disponibile sul dispositivo che stai utilizzando, potresti comunque accedere usando la passkey di un altro dispositivo, come lo smartphone.

Sì, a condizione che il tuo gestore di credenziali supporti entrambi i dispositivi e la sincronizzazione delle passkey. In caso contrario, le passkey di ogni dispositivo rimangono separate.

Il supporto per lo spostamento delle passkey tra gestori di credenziali sta migliorando, ma non è ancora universale. La possibilità di trasferire le passkey dipende dai gestori di credenziali interessati e dalle funzionalità attualmente supportate; la nostra guida alla valutazione dei gestori di credenziali elenca i gestori che attualmente offrono questa funzione. Cerca la voce "Scambio di credenziali".

Succede quando il portatile e il telefono sono collegati per la sincronizzazione delle passkey e il sistema verifica la tua identità richiedendo una conferma tramite entrambi i dispositivi. Può sembrare strano, ma funziona esattamente come previsto.

Puoi utilizzare una passkey dal tuo telefono o tablet per accedere su un altro dispositivo senza salvarla su quest'ultimo. Cerca un'opzione come "Usa un altro dispositivo" durante l'accesso. Solitamente verrà mostrato un codice QR da scansionare con lo smartphone per proseguire.

Sì, ma l'esperienza non è sempre del tutto fluida. Le passkey salvate nel gestore di credenziali di una piattaforma non si sincronizzano necessariamente con un'altra. Ad esempio, se la tua passkey è salvata su Apple Passwords e stai effettuando l'accesso da un PC Windows, potresti dover utilizzare l'iPhone per confermare l'accesso, ad esempio inquadrando un codice QR. Se utilizzi regolarmente dispositivi e browser di ecosistemi differenti, scegliere un gestore di credenziali multipiattaforma può rendere l'esperienza molto più semplice. Consulta i nostri punteggi dei gestori di credenziali per confrontare le opzioni più adatte tra dispositivi, sistemi operativi e browser. Inoltre, se prevedi di trasferire le passkey esistenti, assicurati che il nuovo gestore di credenziali ottenga un punteggio elevato nella categoria Scambio di credenziali.

Se le tue passkey sono sincronizzate dal tuo gestore di credenziali, saranno nuovamente disponibili non appena accederai al gestore di credenziali su un nuovo dispositivo. Se una passkey è stata salvata solo sul dispositivo smarrito, avrai bisogno di un metodo alternativo per accedere o recuperare l'account. Per questo motivo l'uso di un gestore di credenziali è fondamentale per garantirti sempre l'accesso ai tuoi account.

La possibilità di recuperare le tue passkey dipende dal tuo gestore di credenziali e da come è stato configurato. I vari gestori di credenziali adottano approcci differenti per recupero account, backup e accesso da un nuovo dispositivo; è importante quindi conoscerne le opzioni di ripristino in anticipo. Consulta i nostri punteggi dei gestori di credenziali per confrontare come le diverse opzioni gestiscono sicurezza, recupero ed eredità digitale. Se non riesci a recuperare le tue passkey, potresti dover seguire la procedura di recupero dell'account prevista dal singolo sito o app.

Sì. Le passkey non sono collegate al tuo numero di telefono, ma al tuo dispositivo o all'account del gestore di credenziali, quindi cambiare operatore non incide sul loro funzionamento. Assicurati soltanto che il tuo nuovo dispositivo abbia accesso al gestore di credenziali prima di cedere quello attuale.

Alcuni gestori di credenziali offrono già questa possibilità, altri non ancora. Se avere il pieno controllo sui tuoi backup è una priorità, verifica le opzioni di esportazione specifiche del tuo gestore di credenziali.

Dipende da come vengono archiviate le tue passkey. Se il tuo gestore di credenziali le sincronizza tra i tuoi dispositivi, in genere non serve creare più passkey per lo stesso account. Se invece una passkey è salvata solo su un dispositivo, o desideri un ulteriore metodo di accesso di sicurezza, è consigliabile crearne altre.

Alcuni siti offrono questa opzione di sicurezza nelle impostazioni dell'account, anche se non è una caratteristica universale. Controlla le impostazioni di sicurezza dello specifico servizio.

Usa una passkey ogni volta che un sito web o un'app ti offre questa possibilità. La facoltà di rimuovere del tutto la password dipende dal sito: alcuni supportano account basati esclusivamente su passkey, mentre altri mantengono la password come opzione di accesso alternativa o di recupero. Se hai la possibilità di rimuovere la password, assicurati di avere un metodo alternativo e affidabile per accedere o recuperare l'account qualora perdessi l'accesso alla tua passkey.

Sì. Le passkey sono progettate per proteggere dal phishing e da altri attacchi diffusi in grado di sottrarre password e codici di verifica. Ogni passkey è univoca per il sito o l'app per cui è stata generata, quindi non può essere indovinata, riutilizzata altrove o ingannata per funzionare su un sito contraffatto.

Un malintenzionato potrebbe usare le tue passkey solo se in grado di sbloccare il dispositivo (con impronta, volto o PIN), requisito indispensabile per usare qualunque passkey lì salvata. Per un attaccante da remoto è un ostacolo decisamente più difficile da superare rispetto al furto di una password.

Sì, a livello tecnico è possibile, anche se per la maggior parte degli accessi quotidiani non fa alcuna differenza: entrambe sono considerate ugualmente affidabili.

Sì, ma il rischio è diverso rispetto a una violazione di password. Le passkey non sono segreti riutilizzabili come le password, quindi un aggressore non può semplicemente rubare una passkey e usarla per accedere al tuo account. Le tue passkey sono inoltre protette dalla sicurezza del gestore di credenziali e dai dispositivi con cui vi accedi. Per questo motivo scegliere un gestore di credenziali sicuro è fondamentale. Consulta i nostri punteggi dei gestori di credenziali per confrontare come le varie opzioni proteggono le tue passkey e il tuo account.

Talvolta sì. Alcuni gestori di credenziali consentono di condividere in sicurezza le passkey con membri della famiglia o altre persone fidate. La possibilità di condividere dipende dal gestore di credenziali utilizzato e dal fatto che il sito web o l'app ne consenta la condivisione. Consulta i nostri punteggi dei gestori di credenziali per verificare quali opzioni supportano la condivisione familiare.

Dipende dal tuo gestore di credenziali. Alcuni offrono funzionalità come l'accesso di emergenza, i contatti erede o altre opzioni di eredità digitale che aiutano le persone di fiducia ad accedere ai tuoi account o alle tue credenziali in caso di necessità. Se questo aspetto ti sta a cuore, configuralo preventivamente. Consulta i nostri punteggi dei gestori di credenziali per confrontare come le diverse alternative gestiscono l'eredità digitale.

Non necessariamente. Se perdi l'accesso all'account da cui dipende il tuo gestore di credenziali, potresti perdere anche l'accesso alle passkey salvate o sincronizzate tramite di esso. Le conseguenze dipendono dal fornitore e dalle opzioni di ripristino configurate. Questo è uno dei motivi per cui è importante comprendere come il gestore di credenziali gestisce il recupero e l'accesso all'account. Consulta i nostri punteggi dei gestori di credenziali per confrontare le alternative disponibili.

Non per impostazione del sistema. Nella pratica, i gestori di credenziali stanno ultimando il supporto alla migrazione delle passkey, ma i gestori più diffusi supportano già il trasferimento sicuro delle credenziali (comprese le passkey) verso altri servizi. Il supporto a Credential Exchange si sta diffondendo attivamente in tutto l'ecosistema. Consulta la categoria "Ti consente di cambiare gestore" nella sezione dei punteggi dei gestori di credenziali.

La tecnologia di base lo supporta, ma non tutte le aziende hanno ancora rilasciato gli strumenti necessari a rendere il passaggio semplice. Si tratta di una funzionalità ancora in fase di implementazione e non di un limite strutturale delle passkey.

È una critica più che legittima. Essendo una novità per la maggior parte delle persone, molti siti web non hanno ancora investito in spiegazioni chiare. È una lacuna nota del settore con cui la maggior parte dei servizi deve ancora fare i conti. Ed è proprio uno dei motivi per cui questo sito web esiste!

Le passkey sono basate su uno standard aperto di settore (FIDO2) sostenuto congiuntamente da Apple, Google e Microsoft, pertanto rappresentano una direzione a lungo termine e non una moda passeggera. Configurale fin da subito per ridurre i rischi già da oggi.

L'idea fondamentale (sbloccare il dispositivo per accedere a un sito web) rimarrà invariata nel tempo. Ciò che continuerà a migliorare sono l'esperienza di sincronizzazione e la migrazione tra gestori di credenziali descritte sopra.