Configurare le passkey – accedere senza password su iPhone, Android e Windows

Una passkey si basa sullo standard FIDO2 della FIDO Alliance, un'associazione di partner industriali. Il suo cuore, secondo l'UFCS, sono due protocolli: CTAP2 tra dispositivo e «authenticator» e WebAuthn del W3C tra browser e server. Alla configurazione il tuo dispositivo genera una coppia di chiavi casuale per quel preciso servizio: la chiave privata resta sul dispositivo o nell'authenticator, quella pubblica va al servizio. Apple descrive lo stesso principio: il server non apprende mai la chiave privata e quella pubblica non è un segreto – non esiste più un «segreto condiviso» che qualcuno possa rubare.

L'accesso funziona come challenge-response: il servizio invia una sfida, il tuo dispositivo la firma con la chiave privata dopo lo sblocco e il servizio verifica la firma con la chiave pubblica. Poiché l'indirizzo del servizio è incorporato nella sfida e l'authenticator lo controlla prima di firmare, la risposta vale solo per il vero server di destinazione. L'UFCS scrive che WebAuthn protegge così efficacemente da numerosi attacchi di phishing e «Mallory-in-the-Middle»; Microsoft lo dice in modo concreto: una passkey per netflix.com funziona solo su netflix.com, su una pagina che le somiglia il tuo dispositivo non la presenta nemmeno.

Secondo l'UFCS il termine indica oggi due cose: la tecnologia delle chiavi FIDO sincronizzabili e la singola chiave privata che sostituisce la password. Impronta e volto sono solo la chiave d'ingresso alla chiave sul dispositivo – i dati biometrici, secondo Google e la guida di Chrome, restano sul dispositivo e non vengono condivisi con Google. Una pagina dettagliata del nostro glossario «Che cos'è una passkey?» esce il 4 novembre 2026.

L'UFCS, nella sua valutazione tecnologica «Chiavi d'accesso» di settembre 2025, constata che sulla sicurezza delle passkey non si possono fare affermazioni valide in generale, perché il diavolo sta nella singola implementazione – «Cionondimeno per almeno tre motivi le chiavi d'accesso sono sempre migliori rispetto alle password»: primo, sono diverse per ogni singolo server di destinazione e vanno compromesse una a una, mentre le password spesso vengono riutilizzate per molti servizi. Secondo, sono generate in maniera pseudo-casuale e non si indovinano. Terzo, non vengono trasmesse sulle linee di comunicazione, quindi non si possono né intercettare dal traffico dati né riutilizzare per attacchi «replay». L'UFCS saluta con favore e sostiene espressamente questo sviluppo e prevede che FIDO2 si imporrà sotto forma di varie implementazioni delle passkey – Google, Apple e Microsoft stanno sostituendo le password ovunque possibile.

A che punto siamo lo mostra la FIDO Alliance nel suo comunicato del 15 ottobre 2026: circa 7 miliardi di passkey nel mondo e, presso i 15 servizi per consumatori del suo «Passkey Index» – tra cui Amazon, Google, Microsoft, PayPal, Shopify, TikTok e WhatsApp –, «more than a third of successful sign-ins», cioè più di un terzo degli accessi riusciti, passa da una passkey, quasi tre volte più veloce rispetto a password e classico secondo fattore. Ogni partecipante che misura il phishing segnala da allora, secondo FIDO, meno attacchi riusciti. Google aggiunge sulla sua pagina di assistenza il vantaggio quotidiano: le passkey non possono essere condivise, copiate, scritte o comunicate accidentalmente.

Per te significa: la passkey ti toglie i due rischi più grandi delle password – riutilizzo e phishing. Quello che non ti toglie è la cura della via di riserva: finché un servizio conserva la tua password, questa deve essere robusta e unica (→ Creare una password sicura – e cosa è davvero sicuro nel 2026), e per i servizi senza passkey il secondo fattore resta la protezione migliore (→ Attivare la verifica in due passaggi su Google – richieste, app, token o passkey).

In origine, secondo l'UFCS, la chiave privata doveva restare fissa e non leggibile nell'authenticator («device-bound authenticators»). Poiché con più dispositivi è scomodo, la FIDO Alliance ha aggiunto la sincronizzazione tramite un cloud storage («synced authenticators») – sono esattamente le passkey nel portachiavi iCloud, nel Gestore delle password di Google, in Microsoft Password Manager e nei password manager. L'UFCS dice chiaramente che tutte queste semplificazioni «vanno però tutti a detrimento della sicurezza» e che la protezione hardware originaria è stata abbandonata per un'ampia penetrazione sul mercato; quanto un'implementazione si discosti dallo standard va esaminato caso per caso. La FIDO Alliance prevede tre livelli di certificazione: L1 ammette hardware e software a piacimento, L2 richiede un Secure Element o un Trusted Execution Environment, L3 un ambiente approvato dall'Alliance – per l'UFCS questa suddivisione è troppo grossolana per valutazioni di sicurezza.

Nella valutazione tecnologica «Livelli di sicurezza per procedure, mezzi e servizi di autenticazione» di settembre 2026 l'UFCS classifica le procedure: la sola password sta in «basso», le passkey sincronizzate in «medio*», le chiavi hardware FIDO2 senza sincronizzazione in «alto*» – l'asterisco contrassegna le procedure che proteggono dal phishing in tempo reale. Entrambe le varianti di passkey sono quindi resistenti al phishing; la differenza sta nel fatto che la chiave resti in hardware dedicato o possa essere copiata su più dispositivi tramite un cloud. Apple replica che il portachiavi iCloud è crittografato end-to-end con chiavi che Apple non conosce e che le passkey restano recuperabili anche se perdi tutti i dispositivi.

Il nostro consiglio pratico: per i privati le passkey sincronizzate sono la scelta giusta – nel portachiavi iCloud, nel Gestore delle password di Google, in Microsoft Password Manager o in un password manager indipendente se usi dispositivi di produttori diversi (→ Migliori password manager 2026: 1Password, NordPass, Bitwarden e Proton Pass a confronto). Il caso di perdita è così risolto e dal phishing sei protetto. Per gli account particolarmente importanti – e-mail, password manager, banca – vale la pena aggiungere una chiave hardware, meglio due, perché non si può recuperare.

Nell'Account Google la passkey è dal 10 ottobre 2023 l'opzione predefinita per gli account privati, nell'Apple Account e sui siti web in Safari passa dal portachiavi iCloud, nell'account Microsoft dalle «Opzioni di sicurezza avanzate». WhatsApp ha comunicato il 25 agosto 2026 che più di un miliardo di persone protegge il proprio account con una passkey – dopo l'ondata di account dirottati segnalata in Svizzera, un buon motivo per attivarla anche lì. Anche i 15 servizi del Passkey Index della FIDO Alliance, tra cui Amazon, PayPal, Shopify e TikTok, la offrono.

Non tutte le app e i siti web sono a questo punto. Apple, Google e Microsoft lo dicono allo stesso modo: se all'accesso o nelle impostazioni dell'account non vedi un'opzione per una passkey, il servizio al momento non la supporta. Allora restano password più secondo fattore – e un'occhiata alle impostazioni di sicurezza tra qualche mese.

Nuova è la creazione automatica delle passkey: se accedi con una password salvata, il sito può creare una passkey in background. Apple la descrive per siti web e app, Chrome la salva nel Gestore delle password di Google e ti avvisa, Edge la mette in Microsoft Password Manager. Chi non lo vuole disattiva in Chrome, in «Password e compilazione automatica» > «Gestore delle password di Google» > «Impostazioni», l'opzione «Crea automaticamente una passkey per accedere più velocemente» e in Edge, in «Impostazioni» > «password e riempimento automatico» > «Microsoft Password Manager» > «Altre impostazioni», l'opzione «aggiornamento automatico alle passkey». In entrambi i casi i dati di accesso esistenti restano.

La password resta. L'UFCS fa notare che molti ambiti d'impiego delle passkey permettono di continuare a usare le password o le rendono addirittura obbligatorie, per esempio come backup per il ripristino – password deboli e una cattiva gestione delle password restano così vie d'attacco realistiche. Chi configura la passkey e tiene la vecchia password uguale ovunque ha solo trascurato la porta sul retro, non l'ha chiusa.

Il dispositivo è la chiave. Google scrive che, una volta creata una passkey, chiunque sia in grado di sbloccare il tuo dispositivo può accedere al tuo Account Google, anche se lì sei uscito dall'account. Quindi: nessuna passkey su dispositivi condivisi, blocco schermo obbligatorio, e una passkey finita per sbaglio su un dispositivo altrui va rimossa subito dall'account. Gli account di lavoro o della scuola possono essere limitati, secondo Google e Microsoft – Google Workspace consente l'accesso con la sola passkey solo se l'amministrazione lo permette, le organizzazioni Microsoft possono bloccare posizioni di salvataggio. E in modalità Incognito, secondo Google, su alcuni sistemi le passkey non funzionano.

Il trasloco non è ancora risolto. L'UFCS cita il Credential Exchange Format e il relativo Credential Exchange Protocol, con cui le passkey si potrebbero esportare e reimportare singolarmente, ma supportati solo da alcune implementazioni; la nostra ricerca presso i quattro password manager conferma il quadro, da Bitwarden con CXP a NordPass del tutto senza esportazione. E una passkey non ti protegge da malware sul tuo stesso dispositivo né dalle truffe al telefono in cui qualcuno ti spinge ad approvare un accesso. Tieni aggiornati sistema operativo e browser – Google lo indica come requisito perché le passkey funzionino in modo sicuro – e diffida di chi ti mette fretta per confermare un accesso.

Converti per primi i tre grandi account che aprono tutti gli altri: Google, Apple e Microsoft. Lì la passkey è ormai lo standard, il percorso richiede pochi minuti per account, e questi account sono legati alla casella e-mail da cui si reimposta tutto il resto. Poi vengono i servizi che offrono le passkey – WhatsApp, servizi di pagamento, negozi online; dove l'opzione manca, restano password più secondo fattore (→ Attivare la verifica in due passaggi su Google – richieste, app, token o passkey).

Chi usa solo dispositivi Apple o solo Android è ben servito dal portachiavi iCloud o dal Gestore delle password di Google. Chi mescola – iPhone e PC Windows, Android e Mac – prende un password manager che sincronizza passkey e password su tutte le piattaforme; Bitwarden e Proton Pass, secondo il nostro confronto, lo fanno anche gratis. E per ogni account vale: sempre due vie d'ingresso – seconda passkey, chiave hardware, codici di backup o una password robusta con secondo fattore (→ Creare una password sicura – e cosa è davvero sicuro nel 2026). La passkey rende l'accesso più semplice e più sicuro; prepararsi al caso di perdita resta compito tuo.