Passkey come funzionano 2026: Guida Completa
Passkey come funzionano 2026: sostituiscono la password con una coppia di chiavi crittografiche generata sul dispositivo. La chiave privata resta nel telefono o nel computer e non viene mai inviata al sito, che conserva soltanto la chiave pubblica. Per entrare basta sbloccare il dispositivo con impronta, volto o PIN: nessun codice da digitare, nessun segreto da rubare.
Indice
Un numero dice quanto la transizione sia avanzata: la FIDO Alliance, il consorzio che governa lo standard insieme al W3C, stima 5 miliardi di credenziali di questo tipo attive nel mondo (FIDO Alliance, 7 maggio 2026). La rilevazione, condotta da Sapio Research su 11.000 consumatori in dieci Paesi, indica che il 90% conosce le chiavi d’accesso e il 75% ne ha attivata almeno una.
Microsoft renderà le passkey il metodo di accesso predefinito su Entra ID dal 1° settembre 2026 (Microsoft, 13 luglio 2026), ritirando SMS e chiamate vocali il 1° febbraio 2027. Il motivo è misurabile: secondo Microsoft Threat Intelligence le campagne di phishing generate con l’intelligenza artificiale arrivano a un tasso di clic del 54%, contro circa il 12% di quelle tradizionali (Microsoft Digital Defense Report 2025). Anche in Italia il phishing resta tra le minacce più frequenti: nel solo aprile 2026 l’ACN ha registrato 265 eventi cyber e 174 incidenti (ACN, aprile 2026).
Ultimo aggiornamento: 10 agosto 2026
Cosa sono le passkey e come funzionano?
Una passkey è una credenziale crittografica: alla registrazione il dispositivo genera due chiavi matematicamente legate. La pubblica va al sito, la privata resta nell’area protetta del dispositivo. Per accedere il server invia una sfida casuale, il dispositivo la firma con la chiave privata dopo lo sblocco biometrico e il server verifica la firma. Nessun segreto viaggia sulla rete.
Lo standard si chiama FIDO2 e unisce WebAuthn, l’API web curata dal W3C, e CTAP (Client to Authenticator Protocol), che fa dialogare browser e autenticatore. Il dato biometrico non è la chiave: impronta e volto sbloccano solo localmente l’accesso a quella privata, e la FIDO Alliance precisa che le informazioni biometriche non lasciano mai il dispositivo.
Passkey come funzionano 2026: perché il phishing non funziona
Ogni chiave d’accesso è legata al dominio per cui è stata creata. L’autenticatore registra il Relying Party ID, cioè il dominio del servizio, e rifiuta di usare quella coppia di chiavi per qualsiasi altro dominio. Il browser inserisce l’origine reale della pagina nei dati firmati: su un sito clonato la firma non parte nemmeno.
Un esempio chiarisce la differenza. Immaginiamo un’email che porta a banca-esempio.it.login-sicuro.net, copia perfetta del sito autentico banca-esempio.it.
- Con la password: il modulo falso accetta tutto e le credenziali finiscono all’attaccante, che le riusa sul sito vero.
- Con l’OTP via SMS: il codice viene digitato nel modulo falso e inoltrato in tempo reale al sito autentico. Il secondo fattore c’è, ma sei tu a consegnarlo.
- Con la passkey: il browser dichiara l’origine login-sicuro.net. Il gestore di credenziali non trova alcuna chiave per quel dominio e non propone nulla: niente da digitare, niente da consegnare.
La protezione non dipende dall’attenzione dell’utente. Il NIST definisce resistente al phishing un autenticatore che lega il proprio output a un canale di comunicazione o al nome del verificatore, come fa FIDO2/WebAuthn (NIST SP 800-63B Supplemento 1, aprile 2024). Resta utile sapere come riconoscere un’email di phishing: quelle email funzionano ancora sugli account protetti solo dalla password.
Le passkey stanno entrando nel mainstream perché offrono ciò che il settore ha faticato a ottenere per decenni: un’autenticazione più sicura e al tempo stesso più semplice da usare.
Andrew Shikiar, Executive Director e CEO, FIDO Alliance (2026)
Le passkey sono più sicure delle password con 2FA?
Sì, su un piano preciso: la resistenza al phishing. Una password protetta da un codice a sei cifre resta un segreto che l’utente può digitare nel posto sbagliato, e i kit di phishing moderni inoltrano quel codice in tempo reale. Una chiave d’accesso non è digitabile e non funziona fuori dal suo dominio.
Passkey
- Phishing: bloccato per costruzione
- Per accedere: dispositivo sbloccato con impronta, volto o PIN
- Se perdi il dispositivo: le sincronizzate tornano sul nuovo
- Portabilità: sincronizzazione tramite il provider
- Costo: zero, già nel sistema operativo
Password + 2FA
- Phishing: vulnerabile, il codice si può inoltrare
- Per accedere: un segreto da ricordare più un codice da digitare
- Se perdi il dispositivo: servono i codici di recupero
- Portabilità: totale, ma il segreto è intercettabile
- Costo: zero, ma Microsoft ritira gli SMS dal 1° febbraio 2027
Il 2FA non diventa inutile: sugli account che non offrono ancora le chiavi d’accesso resta la difesa migliore, e vale la pena ripassare l’autenticazione a due fattori e come attivarla. Cambia la gerarchia: dove la passkey esiste, l’SMS è il gradino più basso.
Dove si attivano le passkey nel 2026?
Il supporto è integrato nei tre grandi ecosistemi. Su iPhone, iPad e Mac le chiavi d’accesso sono gestite dal Portachiavi iCloud e richiedono almeno iOS 16, iPadOS 16 o macOS Ventura, con l’autenticazione a due fattori attiva sull’ID Apple. Google le supporta su Chrome, Android e Workspace; Microsoft le rende predefinite su Entra ID dal 1° settembre 2026.
La FIDO Alliance distingue le passkey sincronizzate, disponibili su tutti i dispositivi che usano lo stesso provider, da quelle device-bound, legate a un solo apparecchio come le chiavi hardware USB. Nel primo caso Apple indica che il Portachiavi iCloud è cifrato end-to-end con chiavi che Apple non conosce. Il percorso è sempre lo stesso: si cerca la voce «passkey» nelle impostazioni di sicurezza e si conferma con lo sblocco. La password, però, resta come riserva.
Vale la pena passare alle passkey?
Sì per gli account che contano — email principale, banca, account del sistema operativo, social — dove il phishing è il vettore reale e il guadagno di sicurezza è immediato. No come progetto totale: molti servizi non le offrono ancora, e chi lavora su dispositivi condivisi o ecosistemi misti continuerà a gestire password di riserva.
È una tecnologia adottata ma non completata: secondo la rilevazione FIDO Alliance 2026 il 68% delle organizzazioni ha distribuito le chiavi d’accesso o è in fase di distribuzione, ma solo il 28% si dichiara completamente passwordless.
Vale la pena se hai un iPhone o un telefono Android recente e vuoi chiudere il rischio phishing sui tre o quattro account più sensibili: l’attivazione richiede meno di un minuto per servizio e non costa nulla. Non vale la pena se cerchi una sostituzione completa della password già oggi, se condividi un account con altre persone o se dipendi da servizi che non supportano lo standard: meglio restare sul 2FA e curare il resto, a partire da come proteggere il WiFi di casa con WPA3.
Domande frequenti
Le domande che tornano più spesso sulle chiavi d’accesso riguardano quattro punti concreti: la perdita del telefono, l’uso su più apparecchi, il rapporto con il 2FA e la resistenza ai siti falsi. Qui sotto la risposta breve a ciascuna, verificata sulle fonti ufficiali dello standard.
Cosa succede se perdo il telefono?
Le passkey sincronizzate non si perdono con il dispositivo: restano nell’account del provider — Portachiavi iCloud, Google o Microsoft — e ricompaiono appena accedi dal nuovo apparecchio. Apple precisa che il Portachiavi iCloud è recuperabile anche se l’utente perde tutti i suoi dispositivi. Le passkey device-bound si perdono invece con l’oggetto: per quelle serve una seconda chiave di riserva.
Posso usare le passkey su più dispositivi?
Sì, se sono passkey sincronizzate. La FIDO Alliance definisce così le credenziali disponibili da tutti i dispositivi dell’utente che usano lo stesso provider: creata sull’iPhone, la chiave funziona anche sul Mac collegato allo stesso ID Apple. Tra ecosistemi diversi la sincronizzazione automatica non c’è: la strada più semplice è registrare una passkey separata sul secondo dispositivo.
Le passkey sostituiscono l’autenticazione a due fattori?
Nella pratica sì per la maggior parte dei servizi, perché l’accesso richiede due elementi distinti: il possesso del dispositivo e la verifica dell’utente con biometria o PIN. Il NIST classifica queste credenziali come autenticatori resistenti al phishing, categoria che il codice via SMS non raggiunge. Alcuni servizi chiedono comunque un secondo fattore per policy interne. E finché la password resta attiva come riserva, va protetta anche quella.
Un sito falso può rubare una passkey?
No, non con il phishing classico. La chiave privata non lascia il dispositivo e l’autenticatore rifiuta di usarla per un dominio diverso da quello registrato alla creazione: su una copia del sito il gestore di credenziali non propone nulla. Il rischio si sposta sul recupero dell’account e sulla password di riserva, che spesso resta abilitata. Conviene quindi controllare quali metodi alternativi il servizio lascia attivi.
Questo articolo è stato scritto dalla redazione di Info Pratica e verificato su fonti ufficiali e attendibili (istituzioni, enti pubblici, studi ed esperti citati nel testo). Scopri come lavoriamo nella pagina Redazione.
