Una passkey permette di entrare in un account senza digitare la password: scegli l’account, autorizzi l’accesso con impronta, riconoscimento del volto o PIN e il dispositivo completa la verifica. Il gesto somiglia allo sblocco del telefono, ma dietro cambia il modo in cui il servizio riconosce chi sta entrando. Non riceve una parola segreta da confrontare con quella registrata: verifica una prova crittografica prodotta per quell’accesso.
Il vantaggio diventa concreto quando accedi alla posta dal portatile, riapri un’app dopo settimane o usi un servizio sul telefono senza ricordarne la password. Dove sono supportate, le passkey possono eliminare sia la password sia il successivo codice temporaneo dal normale percorso di accesso. Per usarle con criterio bastano alcune distinzioni: che cosa viene salvato, dove rimane disponibile e quale ruolo ha lo sblocco del dispositivo.
Passkey: una credenziale basata su standard condivisi
Una passkey è una credenziale digitale associata a un account e a uno specifico servizio. Non devi inventarla, memorizzarla o ricopiarla. Quando la crei, il dispositivo o il gestore incaricato genera le chiavi necessarie e registra presso il servizio la parte che serve a riconoscerti. Da quel momento puoi autorizzarne l’utilizzo attraverso una verifica locale.
Il nome identifica una tecnologia utilizzabile su piattaforme diverse. La base è FIDO2, l’insieme di standard che comprende WebAuthn e CTAP. WebAuthn, sviluppato dal W3C, consente ai siti di chiedere al browser la creazione o l’utilizzo di una credenziale. CTAP regola la comunicazione con gli autenticatori compatibili, per esempio una chiave fisica o, nei flussi previsti, un altro dispositivo.
Non occorre conoscere queste sigle per accedere a un account. Servono però a capire perché una passkey non appartiene necessariamente a una sola marca di telefono. Apple, Google e Microsoft implementano questa tecnologia nei rispettivi ecosistemi. Lo standard fornisce una base comune; la disponibilità effettiva dipende anche dal servizio, dal browser, dal sistema operativo e dal gestore delle credenziali utilizzato.
Che cosa succede quando autorizzi l’accesso
Il meccanismo utilizza la crittografia asimmetrica: due chiavi collegate tra loro, una pubblica e una privata. La chiave pubblica viene registrata dal servizio insieme all’account. Quella privata è custodita dall’autenticatore o dal gestore scelto e non viene consegnata al servizio durante l’accesso. Se la passkey prevede la sincronizzazione, può essere resa disponibile sugli altri dispositivi attraverso il relativo sistema di protezione.
Quando vuoi entrare, il servizio invia una richiesta crittografica valida per quel tentativo. Dopo la tua autorizzazione, l’autenticatore firma la richiesta usando la chiave privata. Il servizio controlla la risposta con la chiave pubblica registrata. Una risposta intercettata non diventa una password da riutilizzare liberamente: la verifica è legata alla richiesta e al contesto dell’autenticazione.
Sullo schermo tutto questo può ridursi alla selezione dell’account e a una conferma. La differenza rispetto a una password salvata nel browser rimane però sostanziale. Con il riempimento automatico, il browser inserisce comunque una password nel modulo. Con una passkey produce una prova di possesso della credenziale. Per questo il beneficio non si limita a risparmiare qualche battuta sulla tastiera.
Impronta, volto e PIN autorizzano la passkey
L’autenticazione biometrica è uno dei modi per autorizzare l’utilizzo della passkey. L’impronta o il riconoscimento del volto vengono verificati localmente: il servizio online non riceve l’immagine del dito o del viso. Riceve la risposta crittografica e le informazioni previste dal protocollo per verificare l’accesso. Il sensore serve quindi a sbloccare l’uso della credenziale custodita sul dispositivo.
Non è obbligatorio avere un lettore di impronte o una fotocamera per il riconoscimento facciale. A seconda del dispositivo e dell’autenticatore, la conferma può avvenire anche con un PIN o un altro metodo di verifica locale. È il motivo per cui le passkey possono essere utilizzate anche su un computer privo di sensori biometrici.
Questo chiarisce anche una confusione frequente: un’app che si apre con l’impronta non sta necessariamente usando una passkey. Potrebbe limitarsi a sbloccare una sessione già attiva o una password conservata sul telefono. La passkey riguarda invece la credenziale con cui il servizio autentica l’account. Il gesto visibile può essere identico, mentre il processo sottostante cambia.
Perché aiutano contro il phishing
Con una password puoi finire su una pagina falsa e digitare il segreto nel posto sbagliato. Anche un codice temporaneo può essere richiesto da una pagina ingannevole e usato rapidamente da chi sta tentando l’accesso. Una passkey è invece vincolata all’identità del servizio per cui è stata creata: browser e sistema operativo verificano tale associazione quando devono utilizzarla.
È qui che nasce la resistenza al phishing. Una pagina che imita colori, logo e modulo di accesso non ottiene per questo il diritto di usare la passkey del servizio autentico. Non devi distinguere ogni volta due schermate quasi identiche per decidere dove consegnare una password. Il controllo dell’associazione fa parte del funzionamento della tecnologia.
Cambia anche il valore delle credenziali conservate sul server. La chiave pubblica non permette, da sola, di ricavare quella privata e impersonare l’utente. Questo riduce uno dei rischi tipici del furto di password, ma non protegge automaticamente tutti i dati dell’account da una violazione del servizio. La protezione riguarda un passaggio preciso: dimostrare il diritto di accedere.
Dove rimangono disponibili le passkey
Per l’uso quotidiano conta distinguere le passkey sincronizzate da quelle legate a un singolo dispositivo. Le prime possono essere rese disponibili sugli altri dispositivi compatibili attraverso lo stesso gestore e il relativo account. Se usi telefono e portatile, potresti quindi ritrovare la credenziale su entrambi senza registrarla separatamente presso il servizio ogni volta.
Le passkey legate a un dispositivo rimangono invece su quell’autenticatore. Una chiave di sicurezza fisica compatibile può conservarle e autorizzarne l’uso quando viene collegata o avvicinata al dispositivo, secondo le modalità supportate. Questa soluzione può servire a chi vuole una credenziale separata dal telefono o deve rispettare requisiti di accesso stabiliti dall’organizzazione.
La presenza di uno standard comune non significa che ogni passkey compaia automaticamente in qualsiasi gestore. Contano il luogo in cui l’hai salvata e gli strumenti che utilizzi sugli altri dispositivi. Prima di affidarle un account importante, conviene sapere quale gestore la custodisce e se rimarrà disponibile sul computer e sul telefono che usi abitualmente. È una scelta pratica quanto decidere dove conservare le password.
Quando servono davvero nella giornata
Il primo caso è l’accesso frequente a un account personale. Se un servizio supporta bene le passkey, puoi passare dalla richiesta di login alla conferma sul dispositivo senza recuperare una password e poi cercare un codice. Il vantaggio si avverte soprattutto quando vieni disconnesso o accedi da un browser diverso: sono i momenti in cui il normale riempimento automatico potrebbe non bastare.
Un secondo caso è il passaggio tra telefono e computer. Nei flussi compatibili puoi usare una passkey custodita sul telefono per autorizzare un accesso sul computer, anche quando la credenziale non è salvata direttamente su quest’ultimo. Il percorso può includere la scansione di un codice QR e una verifica di vicinanza tramite Bluetooth. L’autenticazione tra dispositivi non implica automaticamente il trasferimento della passkey sul computer.
Il beneficio può essere utile anche per un servizio che apri raramente. Dopo mesi non devi ricordare quale combinazione avevi scelto o ricominciare dal recupero della password. Resta una condizione: la credenziale deve essere disponibile attraverso un dispositivo o un gestore a cui hai ancora accesso. La comodità dipende quindi anche da come hai organizzato la sua conservazione.
Che cosa cambia rispetto alla verifica in due passaggi
Una passkey può sostituire il percorso composto da password e codice temporaneo. Il possesso della credenziale, insieme alla verifica locale dell’utente quando richiesta, permette di combinare più elementi di autenticazione senza chiedere di ricopiare un codice ricevuto via messaggio o generato da un’app. Per chi accede significa meno passaggi; per il servizio significa verificare una prova crittografica vincolata alla propria identità.
Non tutti i servizi adottano però lo stesso percorso. Alcuni mantengono la password come alternativa, altri possono chiedere controlli aggiuntivi in determinate circostanze. Creare una passkey non garantisce quindi che la password precedente venga cancellata o che spariscano tutte le verifiche. Il risultato dipende dalle scelte del servizio e dalle condizioni dell’accesso.
Per valutare il cambiamento basta osservare un accesso nuovo: viene proposta la passkey? La conferma arriva sul dispositivo previsto? Riesci a distinguere quel percorso da quello che utilizza ancora la password? Sono riscontri più utili della sola comparsa dell’impronta, perché consentono di capire quale credenziale stai effettivamente usando.
Il controllo da fare prima di affidarsi alle passkey
Prima di adottarle per un account importante, chiarisci tre elementi: dove viene custodita la credenziale, su quali dispositivi puoi usarla e quale percorso di recupero offre il servizio. Non serve eliminare subito ogni altro metodo di accesso. Serve sapere che cosa accadrebbe se il telefono diventasse indisponibile o se perdessi l’accesso al gestore che sincronizza le credenziali.
Il recupero merita attenzione perché rimane una strada per rientrare nell’account. Una passkey protegge l’autenticazione ordinaria, mentre le procedure alternative hanno regole proprie. Anche il dispositivo conserva un ruolo centrale: chi riesce a usarlo con le autorizzazioni necessarie può avere accesso a funzioni e sessioni già aperte. La passkey non sostituisce il blocco dello schermo e la protezione dell’account del gestore.
Quando il servizio la supporta e sai dove ritrovarla, la passkey è utile proprio perché rende meno impegnativo un gesto ripetuto: entrare nel proprio account. Sul telefono personale può bastare il volto; sul portatile, un’impronta o il PIN. Il lavoro crittografico rimane dietro quella conferma, senza chiederti di inventare e custodire un’altra password.
