Le passkey sono considerate una delle alternative più concrete alle password. La loro promessa è semplice: accedere a un sito o a un'app usando lo stesso gesto con cui si sblocca il telefono, senza dover ricordare una stringa complessa e senza consegnare al servizio un segreto riutilizzabile.
Che cosa c'è dietro una passkey
Una passkey utilizza crittografia a chiave pubblica. Quando viene creata, il dispositivo genera una coppia di chiavi: quella pubblica può essere registrata dal servizio; quella privata resta protetta sul dispositivo o nel sistema di sincronizzazione scelto dall'utente. Durante il login, il servizio invia una richiesta che viene firmata con la chiave privata.
Questo meccanismo cambia radicalmente il rischio tipico delle password. Non esiste una password da digitare su un sito contraffatto e la chiave privata non viene inviata al server. Per questo le passkey sono progettate per resistere meglio al phishing.
Biometria e passkey non sono la stessa cosa
Face ID, impronta digitale o PIN servono generalmente a sbloccare localmente l'uso della credenziale. Il servizio remoto non riceve necessariamente l'impronta o il volto. La biometria è quindi un meccanismo di autorizzazione sul dispositivo, non la credenziale che viene trasmessa al sito.
Dove vengono conservate
Le passkey possono essere memorizzate in un ecosistema sincronizzato, per esempio attraverso il gestore credenziali del sistema operativo, oppure su dispositivi e chiavi di sicurezza specifiche. La sincronizzazione migliora la comodità perché permette di usare la stessa credenziale su più apparecchi, ma rende importante capire come funziona il recupero dell'account che la conserva.
Cosa succede se cambio telefono
Se la passkey è sincronizzata con un account, il nuovo dispositivo può riceverla dopo l'accesso e le verifiche previste. In altri casi si può utilizzare un dispositivo vicino per autenticarsi o creare una nuova passkey. La procedura concreta dipende dal servizio e dal gestore utilizzato.
Prima di eliminare una vecchia modalità di accesso conviene controllare quali opzioni di recupero siano disponibili. Una tecnologia sicura può diventare scomoda se l'utente non sa come rientrare nell'account dopo la perdita di un dispositivo.
Perché sono più resistenti al phishing
Le passkey sono legate all'origine del servizio. Questo rende molto più difficile utilizzare una credenziale valida su un dominio falso. È un vantaggio strutturale rispetto alle password, che un utente può essere indotto a digitare praticamente ovunque.
I limiti attuali
La transizione non è ancora uniforme. Alcuni servizi mantengono password e codici come fallback; altri supportano le passkey soltanto su parte delle piattaforme. Anche la gestione tra ecosistemi diversi sta migliorando, ma può risultare meno intuitiva della sincronizzazione all'interno dello stesso sistema.
Come iniziare senza rischi
Il modo più prudente è attivare una passkey su servizi importanti senza rimuovere immediatamente tutte le alternative. Verificate il login da un secondo dispositivo, controllate le opzioni di recupero e soltanto dopo decidete quali metodi mantenere.
La tecnologia non elimina ogni rischio di sicurezza, ma rimuove una delle debolezze più antiche del web: il fatto che un segreto umano, copiabile e riutilizzabile debba essere digitato nel posto giusto ogni volta.
