Le passkey ti fanno entrare nei tuoi account con il volto, l’impronta o il PIN del telefono, senza digitare password. Sono più comode e soprattutto più sicure: un sito falso non può rubartele. Google, Apple e Microsoft le supportano già, e dal 2025 i nuovi account Microsoft nascono addirittura senza password.
Ecco come funzionano, perché conviene attivarle e come farlo sui servizi che usi di più.
Cos’è una passkey, in parole semplici
Quando crei una passkey per un sito, il tuo dispositivo genera una coppia di chiavi crittografiche collegate tra loro:
- la chiave pubblica viene consegnata al sito;
- la chiave privata resta sul tuo telefono o computer e non viene mai inviata.
Quando accedi, il sito manda una “sfida” al tuo dispositivo. Tu sblocchi con Face ID, impronta o PIN, e il dispositivo risponde usando la chiave privata. Il sito verifica la risposta con la chiave pubblica e ti fa entrare. Nessuna password viaggia in rete, e il sito non conserva nulla che possa servire a un ladro.
Le passkey seguono gli standard della FIDO Alliance, un consorzio di cui fanno parte Apple, Google e Microsoft: per questo funzionano in tutti i principali browser e sistemi operativi.
Perché sono più sicure delle password
- Non si possono indovinare né riutilizzare: ogni passkey è unica per ogni sito.
- Resistono al phishing: la passkey è legata all’indirizzo esatto del sito per cui è stata creata. Su una pagina falsa che imita la tua banca o la tua email semplicemente non funziona.
- Un furto di dati dal sito non ti espone: sul server c’è solo la chiave pubblica, inutile senza quella privata.
- Niente codici via SMS da intercettare: lo sblocco con biometria o PIN avviene sul tuo dispositivo.
Chi le supporta già
Secondo la FIDO Alliance, oltre 15 miliardi di account online possono già usare le passkey. Tra i servizi più diffusi ci sono:
- Google, per Gmail, YouTube e tutto l’account;
- Microsoft, che dal maggio 2025 crea i nuovi account senza password e propone una passkey al primo accesso;
- Apple, che le salva e sincronizza tra i tuoi dispositivi con il Portachiavi iCloud;
- molti servizi di acquisti, pagamenti e lavoro, come Amazon, PayPal e GitHub.
Quando un sito le supporta, di solito te lo propone da solo dopo l’accesso, con un messaggio del tipo “Crea una passkey”.
Come attivarle
Account Google
- Vai su g.co/passkeys e accedi al tuo account.
- Tocca Crea una passkey.
- Conferma con impronta, volto o PIN del dispositivo che stai usando.
Da quel momento puoi entrare con la passkey invece che con la password. Se usi più dispositivi, puoi crearne una per ciascuno.
Account Microsoft
Accedi su account.microsoft.com, apri la sezione Sicurezza e cerca le opzioni di accesso: lì puoi aggiungere una passkey e, se vuoi, rimuovere del tutto la password. Su Windows la passkey si sblocca con Windows Hello (volto, impronta o PIN).
iPhone, iPad e Mac
Assicurati che il Portachiavi iCloud sia attivo. Quando un sito o un’app ti propone di creare una passkey, conferma con Face ID o Touch ID: verrà salvata e sincronizzata su tutti i tuoi dispositivi Apple. Le ritrovi nell’app Password (sulle versioni meno recenti, in Impostazioni › Password).
Android
Le passkey vengono salvate nel Gestore delle password di Google e sincronizzate sugli altri dispositivi collegati allo stesso account Google.
Se perdi o cambi telefono
- Le passkey sincronizzate (Portachiavi iCloud, Gestore delle password di Google) tornano sul nuovo dispositivo appena accedi con il tuo account.
- Tieni sempre attivi altri metodi di recupero: email o numero di telefono di emergenza, codici di backup.
- Se il telefono viene rubato, entra nelle impostazioni di sicurezza dei tuoi account da un altro dispositivo e revoca le sue passkey.
- Per usare un account da un computer che non è tuo, molti siti mostrano un codice QR: lo inquadri con il telefono, sblocchi e sei dentro, senza lasciare la passkey su quel computer.
I limiti, per essere onesti
- Non tutti i siti le supportano ancora: per un po’ conviverai con passkey e password.
- Passare da un ecosistema all’altro, per esempio da iPhone ad Android, può richiedere qualche passaggio in più. Alcuni gestori di password indipendenti salvano le passkey su tutti i sistemi.
- Un buon gestore di password resta utile per gli account che non le offrono.
Da dove cominciare
- L’email principale, Google o Microsoft: chi controlla la tua email può reimpostare quasi tutte le altre password.
- Gli account con pagamenti: negozi online, PayPal.
- I social e gli strumenti di lavoro.
Bastano dieci minuti, e ogni account che passi alle passkey è un account in meno esposto al phishing.
Commenti
I commenti sono gestiti da Disqus: aprendoli accetti che vengano caricati i suoi contenuti e cookie.