Le passkey stanno rendendo più comune un modo diverso di accedere ai servizi online: invece di ricordare e digitare una password, si conferma l’operazione con un dispositivo personale. Il gesto può assomigliare allo sblocco dello smartphone, ma il funzionamento dell’autenticazione è diverso da quello di una normale password salvata nel browser.
Le ricerche della FIDO Alliance documentano l’ampliamento della loro adozione nei servizi rivolti ai consumatori e negli ambienti di lavoro. Per utilizzarle con consapevolezza è utile capire che cosa proteggono, dove vengono conservate e come prepararsi al cambio o alla perdita di un dispositivo.
Che cos’è una passkey
Una passkey è una credenziale digitale basata su standard FIDO, utilizzata per dimostrare a un servizio che si possiede la chiave corretta per accedere a un account. Non è una parola segreta scelta dall’utente e non coincide con l’impronta digitale o con il riconoscimento del volto.
La conferma locale può avvenire attraverso un metodo supportato dal dispositivo, come biometria o PIN. Questi sistemi autorizzano l’utilizzo della credenziale: non trasformano il volto o l’impronta in una password da inviare al sito.
Per l’utente il vantaggio più immediato è pratico: viene meno la necessità di inventare, memorizzare e trascrivere una sequenza diversa per ogni accesso supportato.
Come funziona l’accesso con una passkey
Il sistema utilizza una coppia di chiavi crittografiche. Il servizio conserva la chiave pubblica, mentre la chiave privata è gestita dall’autenticatore o dal sistema che custodisce la passkey.
Durante l’accesso, il servizio invia una richiesta che viene firmata con la chiave privata dopo la conferma dell’utente. La verifica della firma permette di autenticarsi senza trasmettere la chiave privata al sito. Le informazioni biometriche utilizzate per la conferma locale restano sul dispositivo.
Per comprendere la differenza, si può immaginare una verifica in cui si dimostra di possedere la chiave adatta senza consegnarla a chi controlla. L’analogia è semplificata, ma aiuta a distinguere il meccanismo dallo scambio di un segreto digitato.
Perché le passkey resistono al phishing
Il phishing cerca spesso di convincere una persona a inserire le proprie credenziali in una pagina che imita un servizio autentico. Una password digitata in quel modulo può essere acquisita e riutilizzata.
Le passkey sono associate al servizio per cui sono state create. Un sito con un dominio diverso non può normalmente ottenere un’autenticazione valida presentandosi come quello originale. È questa relazione tecnica a rendere il sistema resistente al phishing delle credenziali.
La protezione riguarda però l’autenticazione. Non impedisce ogni truffa online e non rende affidabili messaggi, pagamenti o richieste soltanto perché l’account è stato aperto con una passkey. Anche dopo l’accesso resta importante valutare ciò che si sta autorizzando.
Passkey sincronizzate e legate al dispositivo
Non tutte le passkey vengono gestite allo stesso modo. Alcune possono essere sincronizzate tra dispositivi attraverso un gestore compatibile; altre rimangono legate a uno specifico dispositivo o a una chiave di sicurezza hardware.
La sincronizzazione può facilitare l’utilizzo quotidiano quando si lavora con più strumenti. La sua disponibilità dipende però dal gestore, dalle impostazioni e dai dispositivi coinvolti: non è corretto presumere che qualsiasi credenziale sia automaticamente disponibile ovunque.
Le credenziali legate al dispositivo richiedono un’attenzione particolare alla continuità dell’accesso. Sapere quale tipo si sta utilizzando permette di organizzare per tempo eventuali alternative.
Come iniziare senza complicare la gestione degli account
Un approccio ordinato consiste nel partire da un account personale che si usa spesso, seguendo le indicazioni del servizio e del gestore scelto. Prima di creare la credenziale è utile leggere dove verrà salvata e su quali dispositivi sarà disponibile.
Dopo l’attivazione conviene effettuare un nuovo accesso di prova e controllare le opzioni di recupero. Un piccolo promemoria può indicare il servizio, il gestore e gli strumenti autorizzati, senza contenere password, codici riservati o altri segreti.
Questa verifica iniziale aiuta a individuare subito eventuali problemi. È preferibile comprenderli quando si dispone ancora di tutti i propri dispositivi, anziché scoprirli durante un viaggio o dopo la sostituzione del telefono.
Che cosa fare quando si cambia o si perde il telefono
Il comportamento corretto dipende dal servizio e dal tipo di passkey. Una credenziale sincronizzata può essere recuperabile attraverso il relativo gestore, mentre una passkey legata a un dispositivo potrebbe richiedere un altro metodo già registrato.
Prima di dismettere un telefono è quindi prudente verificare l’accesso dal nuovo dispositivo e controllare le procedure previste dal servizio. In caso di perdita, occorre seguire le indicazioni ufficiali per mettere in sicurezza dispositivo, account del gestore e accessi associati.
Le possibilità di recupero vanno predisposte in anticipo. L’eventuale disponibilità di un secondo dispositivo, di una chiave hardware o di altri metodi dipende dalle opzioni effettivamente offerte dal singolo servizio.
Account condivisi e strumenti di lavoro
Su un dispositivo utilizzato da più persone è particolarmente importante capire chi può sbloccare il profilo che custodisce le credenziali. La comodità dell’accesso non deve rendere confusa la distinzione tra identità personali e lavorative.
In un’organizzazione, l’introduzione delle passkey dovrebbe accompagnarsi a istruzioni chiare: strumenti consentiti, gestione dei dispositivi, assistenza e procedure per chi cambia ruolo o lascia l’azienda. Sono aspetti organizzativi che completano la tecnologia.
Per esempio, un gruppo di lavoro può preparare una breve guida interna che spieghi chi contattare quando un dispositivo non è disponibile. La continuità operativa dipende anche da queste informazioni, non soltanto dal metodo di accesso.
Come valutare se sono adatte alle proprie abitudini
Prima di adottare una nuova modalità di autenticazione, può essere utile rispondere ad alcune domande: quali account la supportano, quali dispositivi si utilizzano e quanto è chiaro il recupero in caso di problemi?
Chi passa spesso da un computer all’altro avrà esigenze diverse da chi usa sempre un solo telefono. Il criterio migliore è scegliere una configurazione che si comprende e che si riesce a gestire nel tempo.
Le passkey possono semplificare molti accessi, ma l’adozione dovrebbe essere accompagnata da una verifica pratica del funzionamento quotidiano, anziché da una modifica frettolosa di tutti gli account.
Domande frequenti sulle passkey
Una passkey è la stessa cosa del PIN del telefono?
No. Il PIN può essere il metodo locale con cui si autorizza l’utilizzo della passkey. La credenziale impiegata per autenticarsi al servizio è un elemento distinto.
Posso utilizzare le passkey su tutti i siti?
Solo sui servizi che le supportano e con una configurazione compatibile. Le opzioni disponibili vanno controllate nelle impostazioni ufficiali dell’account.
Posso eliminare subito tutti gli altri metodi di accesso?
È meglio verificare prima il funzionamento della nuova configurazione e le possibilità di recupero. La gestione dei metodi alternativi deve seguire le indicazioni del servizio e, per gli account professionali, le regole dell’organizzazione.
