Accedere a un account senza ricordare una password non è più una promessa futuristica. Su molti siti e applicazioni è possibile usare una passkey, detta anche chiave di accesso: si conferma l'identità con lo stesso gesto utilizzato per sbloccare il telefono o il computer. Ma che cosa viene davvero verificato? E soprattutto: se il telefono si rompe o viene perso, l'account è perduto?
Che cos'è una passkey
Una passkey è una credenziale digitale basata sugli standard FIDO2 e WebAuthn. A differenza della password, non consiste in una parola o sequenza di caratteri da comunicare al sito. Quando viene creata, il sistema genera una coppia di chiavi crittografiche: una pubblica, registrata dal servizio, e una privata, custodita nell'ambiente che gestisce la passkey.
Quando proviamo ad accedere, il sito invia una richiesta crittografica. Il dispositivo, dopo la nostra autorizzazione, usa la chiave privata per produrre una risposta verificabile con la chiave pubblica. La chiave privata non deve essere trasmessa al sito.
Perché bastano impronta digitale, volto o PIN?
Il riconoscimento del volto, l'impronta o il PIN non sono la passkey: sono il modo con cui il dispositivo verifica localmente che possiamo utilizzarla. Questo distingue due operazioni: sbloccare la credenziale e dimostrare al servizio di possederla. Secondo FIDO Alliance, i dati biometrici restano nel dispositivo e non vengono inviati al sito durante l'autenticazione.
Non tutti i dispositivi usano necessariamente la biometria: anche un PIN o un altro meccanismo di sblocco compatibile possono autorizzare l'accesso.
Perché le passkey resistono al phishing
Con una password tradizionale, un criminale può costruire una pagina che imita quella della banca o della posta elettronica e convincere la vittima a digitare le credenziali. La passkey, invece, è associata all'identità del servizio per cui è stata creata. Una pagina su un dominio ingannevole non può normalmente ottenere una risposta di autenticazione valida per il dominio autentico.
È una caratteristica tecnica importante, riconosciuta anche dalle linee guida NIST sull'autenticazione resistente al phishing. Non significa però che ogni truffa sia impossibile: allegati dannosi, falsi operatori di assistenza, dispositivi compromessi e procedure di recupero deboli rimangono rischi distinti.
Come si crea e si usa una passkey
- Apri le impostazioni di sicurezza di un account che supporta le chiavi di accesso.
- Cerca la voce Passkey o Chiave di accesso e scegli di crearne una.
- Conferma sul dispositivo con impronta, volto, PIN o altro metodo proposto.
- Al successivo accesso seleziona la passkey e autorizza la richiesta, senza digitare una password.
Le voci precise cambiano secondo il sito, il browser, il sistema operativo e il gestore delle credenziali. Su alcuni servizi la password rimane disponibile come alternativa; su altri l'esperienza può essere completamente senza password.
Che cosa succede se perdi o cambi telefono?
Dipende da dove è custodita la passkey. Molti gestori di credenziali consentono di sincronizzarla in forma cifrata tra dispositivi collegati allo stesso account. Dopo aver configurato un nuovo telefono e recuperato l'accesso al gestore, le chiavi sincronizzate possono tornare disponibili. Questo non vale automaticamente per ogni configurazione.
Esistono infatti anche passkey vincolate a un singolo dispositivo, per esempio quelle conservate in determinate chiavi di sicurezza hardware. In quel caso, perdere l'unico dispositivo che le contiene può richiedere una seconda passkey già registrata o la procedura di recupero prevista dal servizio.
Prima di affidarti a una sola passkey, controlla come recuperare l'account, mantieni aggiornati i contatti di recupero e valuta un secondo metodo di accesso sicuro. Non presumere che tutte le passkey siano sincronizzate o trasferibili.
Posso accedere dal computer usando la passkey del telefono?
Sì, quando il servizio e i dispositivi supportano l'accesso tra dispositivi. Può apparire un codice QR da scansionare con lo smartphone, seguito da una conferma locale. Alcune implementazioni usano Bluetooth per verificare che telefono e computer siano vicini: non è un invio della chiave privata al computer.
Passkey e autenticazione a due fattori: qual è la differenza?
La verifica in due passaggi tradizionale può richiedere password e codice temporaneo. Una passkey combina il possesso della credenziale con la verifica locale dell'utente quando richiesta: per questo può offrire un accesso forte con un solo gesto. La classificazione formale del livello di garanzia dipende comunque dall'implementazione e dalle regole del servizio.
Le passkey riducono inoltre il rischio legato al riutilizzo delle password e agli archivi di password rubate. Ma se un sito conserva metodi di accesso alternativi meno robusti, è necessario proteggere anche quelli.
Tre accorgimenti pratici per usarle bene
- Proteggi il dispositivo: imposta un blocco schermo robusto, aggiorna sistema operativo e browser e non condividere il PIN.
- Prepara il recupero: verifica se il gestore sincronizza le passkey e quali alternative sono disponibili in caso di furto o guasto.
- Controlla gli accessi residui: dove restano attive password o codici SMS, applica anche a questi metodi le protezioni offerte dal servizio.
Le passkey sostituiranno tutte le password?
La direzione è quella di ridurre l'uso di segreti da ricordare e digitare, ma il passaggio non è uniforme. Servizi, dispositivi e procedure di recupero devono supportare la tecnologia. Oggi la scelta più utile è attivare le passkey dove disponibili, capire come sono conservate e preparare un percorso di recupero prima che serva davvero.
In sintesi: una passkey non è una password nascosta dietro l'impronta digitale: è un diverso sistema crittografico di accesso. Offre una protezione concreta contro il furto di credenziali tramite falsi siti, senza rendere superflua la sicurezza dell'account nel suo complesso.
