Le password hanno un problema strutturale: dipendono dalla memoria umana. E la memoria umana, quando deve gestire decine di credenziali diverse, tende a semplificare. Il risultato è prevedibile: secondo il Verizon Data Breach Investigations Report 2025, le credenziali rubate restano il principale vettore di attacco nelle violazioni di applicazioni web, coinvolte nell’88% dei casi analizzati in quella categoria. Complessivamente, le credenziali compromesse figurano come vettore di accesso iniziale in oltre un quinto delle violazioni totali esaminate nel rapporto.
Le passkey rappresentano la risposta tecnologica a questo problema. Non sono un miglioramento incrementale delle password, ma una sostituzione completa del paradigma di autenticazione. In questo articolo vediamo cosa sono, come funzionano a livello tecnico e come iniziare a utilizzarle.
Cosa sono le passkey
Una passkey è una credenziale di autenticazione basata su crittografia asimmetrica, conforme agli standard FIDO2 e WebAuthn sviluppati dalla FIDO Alliance in collaborazione con il W3C. In termini pratici, una passkey sostituisce la combinazione nome utente e password con un meccanismo crittografico legato al dispositivo dell’utente e sbloccabile tramite biometria (impronta digitale, riconoscimento facciale) o PIN del dispositivo.
A differenza delle password, le passkey non vengono mai digitate, non possono essere indovinate e non transitano sulla rete in forma leggibile. Questo le rende intrinsecamente resistenti al phishing, agli attacchi brute force e alle violazioni dei database.
Come funzionano: il meccanismo tecnico
Per comprendere le passkey è necessario conoscere il principio della crittografia a chiave pubblica, lo stesso alla base di HTTPS e della firma digitale.
Registrazione (enrollment)
Quando si crea una passkey per un servizio, il dispositivo genera una coppia di chiavi crittografiche:
- Chiave privata: resta sul dispositivo dell’utente, protetta dal chip di sicurezza (TPM, Secure Enclave o equivalente). Non viene mai trasmessa al server del servizio.
- Chiave pubblica: viene inviata al server del servizio, che la associa all’account dell’utente. Anche se un attaccante rubasse il database del server, la chiave pubblica da sola è inutilizzabile.
Autenticazione (login)
Quando si effettua l’accesso, il processo si articola in quattro passaggi:
- Il server invia al dispositivo una “sfida” (challenge): un dato casuale unico per quella sessione.
- Il dispositivo chiede all’utente di sbloccare la passkey tramite biometria o PIN locale.
- Una volta sbloccata, la chiave privata firma crittograficamente la sfida.
- Il server verifica la firma usando la chiave pubblica memorizzata in fase di registrazione. Se la verifica ha successo, l’accesso è concesso.
L’intero processo avviene in meno di un secondo. L’utente percepisce soltanto la richiesta biometrica, analoga allo sblocco del telefono.
Protezione anti-phishing integrata
Un aspetto fondamentale del protocollo WebAuthn è il binding al dominio. La passkey creata per esempio.com funziona esclusivamente su esempio.com. Se un attaccante creasse un sito clone su esempio-login.com e tentasse di indurre l’utente ad autenticarsi, la passkey semplicemente non si attiverebbe. Questa protezione è automatica e non richiede alcuna valutazione da parte dell’utente, eliminando il fattore umano che rende il phishing così efficace.
Perché le passkey sono più sicure delle password
Il confronto tra passkey e password tradizionali evidenzia vantaggi su ogni fronte di attacco.
- Phishing: le password possono essere inserite su qualsiasi sito che ne faccia richiesta, anche fraudolento. Le passkey funzionano solo sul dominio corretto, rendendo il phishing tecnicamente impossibile.
- Brute force: le password corte o prevedibili possono essere indovinate con attacchi automatizzati. Le passkey utilizzano chiavi crittografiche a 256 bit: un attacco brute force richiederebbe un tempo superiore all’età dell’universo.
- Data breach: quando un servizio subisce una violazione, le password (anche se hashate) possono essere recuperate. Le chiavi pubbliche memorizzate dal server non consentono l’autenticazione senza la corrispondente chiave privata, che resta sul dispositivo dell’utente.
- Riutilizzo delle credenziali: secondo diverse ricerche, circa due terzi degli utenti riutilizzano la stessa password su più servizi. Le passkey sono uniche per ogni servizio per progettazione, senza richiedere alcuno sforzo all’utente.
- Social engineering: un utente può essere indotto a rivelare una password al telefono o via email. Una passkey non può essere comunicata verbalmente perché non è un’informazione conosciuta dall’utente.
Passkey e autenticazione a due fattori
Una domanda frequente riguarda il rapporto tra passkey e MFA (Multi-Factor Authentication). In realtà, le passkey sono intrinsecamente multifattoriali: combinano il possesso del dispositivo (qualcosa che hai) con la biometria o il PIN (qualcosa che sei o che sai). Per questo motivo, molti servizi che adottano le passkey non richiedono un secondo fattore aggiuntivo, semplificando l’esperienza senza ridurre la sicurezza.
Sincronizzazione tra dispositivi
Una delle obiezioni iniziali alle passkey riguardava la portabilità: cosa succede se cambio telefono o devo accedere da un altro dispositivo? I principali ecosistemi hanno risolto questo problema con la sincronizzazione cloud delle passkey.
- Apple: le passkey vengono sincronizzate tramite iCloud Keychain su tutti i dispositivi Apple associati allo stesso Apple ID, con crittografia end-to-end.
- Google: le passkey sono sincronizzate tramite Google Password Manager su dispositivi Android e Chrome, anch’esse con crittografia end-to-end.
- Microsoft: Windows 11 supporta le passkey e consente l’autenticazione cross-device tramite QR code con uno smartphone.
Per chi utilizza un password manager dedicato, strumenti come 1Password, Bitwarden e Dashlane supportano la memorizzazione e la sincronizzazione delle passkey in modo indipendente dall’ecosistema del dispositivo.
Quali servizi supportano le passkey nel 2026
L’adozione delle passkey ha accelerato significativamente. Ecco una panoramica dei principali servizi che le supportano:
- Google: supporto completo su tutti i servizi (Gmail, Drive, YouTube, ecc.). Le passkey possono essere impostate come metodo di accesso predefinito.
- Apple: supporto nativo su tutti i servizi Apple e su Safari per i siti web compatibili.
- Microsoft: supporto per account personali e aziendali (Microsoft 365, Entra ID).
- Amazon: supporto per gli account consumer.
- PayPal: supporto attivo nei principali mercati.
- GitHub: supporto completo, particolarmente rilevante per gli sviluppatori.
- WhatsApp: supporto per la protezione dell’account.
- Adobe, Shopify, Nintendo, PlayStation: supporto progressivamente esteso.
Il sito passkeys.directory mantiene un elenco aggiornato di tutti i servizi compatibili.
Come configurare una passkey: procedura pratica
La configurazione di una passkey è semplice e richiede pochi minuti. Prendiamo come esempio un account Google:
- Accedere a myaccount.google.com e navigare nella sezione Sicurezza.
- Selezionare “Passkey e token di sicurezza” nella sezione dedicata all’accesso.
- Fare clic su “Crea una passkey”.
- Il browser chiederà di confermare l’identità tramite biometria del dispositivo (impronta digitale, Face ID, Windows Hello) o PIN.
- La passkey viene creata e associata al dispositivo. Al successivo login, sarà sufficiente la verifica biometrica al posto della password.
La procedura è analoga per gli altri servizi: si trova sempre nelle impostazioni di sicurezza dell’account, nella sezione relativa ai metodi di accesso.
Il futuro dell’autenticazione
La FIDO Alliance e i principali attori tecnologici hanno una visione chiara: un futuro senza password. Non si tratta di un obiettivo teorico, ma di una transizione già in corso. Google ha dichiarato che le passkey sono state utilizzate per autenticarsi su oltre 400 milioni di account. Apple e Microsoft hanno integrato il supporto a livello di sistema operativo, rendendo le passkey accessibili a miliardi di utenti.
La transizione completa richiederà anni: molti servizi dovranno aggiornare le proprie infrastrutture di autenticazione e le password rimarranno disponibili come metodo di fallback. Tuttavia, la direzione è inequivocabile.
Il consiglio pratico è iniziare ad attivare le passkey su tutti i servizi che le supportano, a partire da quelli critici: email, home banking, cloud storage e social media. Ogni account protetto da una passkey è un account sottratto al phishing e alle violazioni di credenziali. In un panorama di minacce in costante evoluzione, questo rappresenta un vantaggio concreto e misurabile.