La password è nata per un mondo più piccolo. Oggi ne abbiamo decine, le riusiamo, le dimentichiamo, e resta l’anello più fragile della sicurezza: se qualcuno te la ruba con un phishing, tutto il resto crolla. Le passkey nascono per superare questo modello, e non sono una promessa futura: sono già utilizzabili sui servizi che usiamo ogni giorno.
Cos’è una passkey
Una passkey è una credenziale di accesso basata sugli standard FIDO2 e WebAuthn, sviluppati dalla FIDO Alliance e dal W3C. Al posto di una parola segreta condivisa con il sito, si usa una coppia di chiavi crittografiche: una chiave privata che resta sul tuo dispositivo e una chiave pubblica che viene consegnata al servizio.
Quando accedi, il sito invia una sfida che solo la tua chiave privata può firmare. Il dispositivo la firma dopo che tu hai confermato la tua identità in locale — con l’impronta, il volto o il PIN del dispositivo — e rimanda al sito la prova. La chiave privata non lascia mai il dispositivo e non viene mai trasmessa. Non c’è un segreto da digitare, quindi non c’è un segreto da rubare.
Perché è più sicura di una password
Il vantaggio più importante è che le passkey sono resistenti al phishing, e non per fortuna: per come sono costruite. Ogni passkey è legata al dominio del sito su cui è stata creata. Se finisci su una pagina-truffa che imita la tua banca, la passkey semplicemente non si attiva, perché il dominio non corrisponde. È una garanzia tecnica, non un consiglio di prudenza che dipende dalla tua attenzione in quel momento.
A questo si aggiungono altri punti a favore:
- Niente da riusare. Ogni servizio ha la sua coppia di chiavi, quindi non esiste la “password unica” che, se scoperta, apre dieci account.
- Niente database di password da violare. Il servizio conserva solo la chiave pubblica, che da sola non serve a nulla a un attaccante.
- Niente da intercettare. Non viaggiando alcun segreto, non c’è nulla da catturare lungo il percorso.
Dove sono già disponibili
Le passkey sono supportate dai principali ecosistemi. Apple le sincronizza tramite il portachiavi di iCloud, Google tramite il suo gestore delle password, Microsoft le integra nel proprio account e nei sistemi Windows. I gestori di password più diffusi le supportano a loro volta, così puoi conservarle indipendentemente dal dispositivo che usi.
Nella pratica questo significa che una passkey creata sul telefono può seguirti sugli altri dispositivi collegati allo stesso account, e che spesso puoi accedere da un computer semplicemente confermando sul telefono. Un numero crescente di servizi — dalle grandi piattaforme ai portali quotidiani — permette già oggi di attivarle.
Come iniziare
Non serve rivoluzionare tutto in un giorno. Il modo più sensato è procedere per gradi:
- Parti dagli account più importanti: email principale, account del telefono, banca. Sono quelli che, se compromessi, fanno più danno.
- Cerca l’opzione nelle impostazioni di sicurezza del servizio, di solito sotto voci come “passkey” o “accesso senza password”, e segui la procedura guidata.
- Conferma con la biometria o il PIN del dispositivo: è quel gesto che autorizza la creazione e l’uso della passkey.
- Tieni comunque un secondo metodo di recupero finché non ti senti a tuo agio, così non rischi di restare fuori da un account.
Cosa sapere prima di passarci del tutto
Le passkey sono un chiaro passo avanti, ma è giusto conoscerne anche i lati pratici. La sincronizzazione tra dispositivi dipende dall’ecosistema che usi, quindi conviene capire dove vengono conservate le tue passkey e come recuperarle se cambi telefono. Chi vive a cavallo tra sistemi diversi può trovare l’esperienza meno uniforme, anche se la situazione migliora di continuo. E come per ogni cosa, la sicurezza complessiva dipende anche da quanto è protetto il dispositivo o l’account che custodisce le chiavi.
Restano dettagli gestibili, non ostacoli. La direzione è segnata: un accesso più semplice per chi lo usa e molto più difficile da attaccare per chi ci prova. Vale la pena iniziare ad adottarle, un account alla volta.