Passkey: accedere senza password è davvero più sicuro?

Apri un’applicazione, scegli il tuo account e confermi con il volto, l’impronta digitale o il codice del telefono. Pochi istanti dopo sei dentro, senza aver digitato una password.

Sempre più servizi propongono questo tipo di accesso attraverso le passkey. Per chi è abituato a password, codici temporanei e verifiche aggiuntive, la prima domanda è comprensibile: se entrare è così semplice, è anche sicuro?

In generale, sì: una passkey è progettata per resistere a forme comuni di phishing che possono ingannare anche chi usa una password e un codice temporaneo. Ma c’è una seconda domanda che considero altrettanto importante: se il dispositivo non è più disponibile, come recupero l’accesso?

Le due risposte vanno tenute insieme. Un buon sistema di accesso deve essere difficile da sottrarre agli altri e utilizzabile da noi quando ne abbiamo bisogno.

Che cos’è una passkey?

Una passkey è una credenziale digitale che può sostituire la password per accedere a un servizio che la supporta.

Quando la creiamo, il sistema usa una coppia di chiavi crittografiche: una rimane associata al servizio, mentre quella privata viene custodita dal dispositivo, da una chiave di sicurezza o da un gestore compatibile. Al momento dell’accesso, le due parti collaborano per verificare che siamo autorizzati, senza inviare una password da digitare.

Per utilizzare la passkey ci viene normalmente chiesto di sbloccare il dispositivo: per esempio con il riconoscimento del volto, l’impronta o il codice locale.

Questo non significa che il sito riceva la nostra impronta digitale o una scansione del volto. In questo processo, la verifica biometrica serve a sbloccare l’uso della credenziale sul dispositivo; i dati biometrici non vengono inviati al sito come password.

Perché può proteggerci meglio dal phishing?

Con una password, un sito falso può chiedermi di inserire le stesse informazioni che utilizzerei su quello vero. Se la pagina è convincente e io non riconosco l’inganno, rischio di consegnare la password a chi l’ha costruita.

Una passkey funziona diversamente: è legata al servizio per cui è stata creata. Una pagina che imita quel servizio, ma si trova su un dominio diverso, non può semplicemente chiedere al dispositivo di usare la passkey originale come se fosse il sito legittimo.

È una protezione importante anche rispetto a molti codici temporanei: un codice può essere chiesto con l’inganno e utilizzato rapidamente da un’altra persona. La passkey evita che io debba leggere e consegnare quel segreto alla pagina.

Questo non rende impossibile ogni attacco. Un dispositivo compromesso, un metodo di recupero debole o un accesso già aperto possono creare altri problemi. Per questo eviterei di interpretare «resistente al phishing» come «non devo più occuparmi della sicurezza».

Se perdo il telefono, perdo anche gli account?

Non necessariamente. Dipende da dove è conservata la passkey, dalle impostazioni di sincronizzazione e dalle alternative previste dal servizio.

Alcune passkey possono essere sincronizzate in modo protetto tra dispositivi collegati allo stesso account o conservate in un gestore compatibile. In quel caso, se perdiamo il telefono, potremmo ritrovarle su un altro dispositivo autorizzato o recuperarle seguendo la procedura del gestore.

Altre credenziali possono invece essere legate a un singolo dispositivo o a una chiave fisica. Se perdiamo quell’unico strumento e non abbiamo predisposto alternative, recuperare l’account può essere più complicato.

La distinzione, per me, è questa: non basta sapere che esiste una procedura di recupero. Bisogna sapere se saremo in grado di usarla proprio quando il telefono non sarà disponibile.

Per esempio, un codice inviato soltanto a quel telefono potrebbe non aiutarci immediatamente. Allo stesso modo, un’email di recupero è utile soltanto se riusciamo ancora ad accedervi.

Cosa controllerei prima di iniziare

Se volessi introdurre le passkey nei miei account, partirei da un servizio importante e mi prenderei qualche minuto per verificare questi punti:

1. Dove viene salvata la passkey? Sul dispositivo, in un portachiavi sincronizzato, in un gestore di password compatibile o su una chiave fisica? Le possibilità cambiano in base al servizio e agli strumenti utilizzati.

2. La sincronizzazione è attiva e accessibile? Se conto di recuperare la credenziale su un altro dispositivo, devo verificare che sia effettivamente collegato e che io sappia accedere all’account che gestisce la sincronizzazione.

3. Posso registrare un secondo metodo? Se il servizio lo consente, un altro dispositivo o una chiave di sicurezza possono offrire un’alternativa. Conviene predisporla prima che il primo dispositivo venga perso.

4. Come funziona il recupero dell’account? Controllerei indirizzo email, numero di telefono, eventuali codici di recupero e istruzioni ufficiali. I codici, se previsti, vanno conservati in un luogo sicuro e raggiungibile anche senza il dispositivo principale.

5. Che cosa succede alla vecchia password? L’aggiunta di una passkey non significa sempre che la password sia stata eliminata o disattivata. Le opzioni dipendono dal servizio: vale la pena leggere le impostazioni prima di apportare modifiche.

Non serve rivoluzionare tutti gli accessi in un pomeriggio. Per iniziare può essere più utile scegliere un account, configurare con calma la passkey e provare l’accesso anche da un secondo dispositivo, quando disponibile.

E se uso un computer diverso dal mio?

In molti casi è possibile usare una passkey conservata sul telefono per accedere da un computer diverso. La procedura dipende dal servizio e dai dispositivi: può prevedere, per esempio, la scansione di un codice mostrato sul computer e una conferma sul telefono.

Anche qui, però, farei attenzione al contesto. Un computer pubblico o condiviso può presentare rischi propri: il fatto di usare una passkey non garantisce che quel dispositivo sia affidabile o che una sessione lasciata aperta sia protetta.

Quando finisco, verificherei sempre di aver chiuso la sessione e di non aver salvato informazioni su un dispositivo che non controllo.

Le password spariranno?

Le passkey rappresentano un’alternativa concreta, ma non tutti i servizi le supportano nello stesso modo e non tutti permettono di eliminare immediatamente gli altri metodi di accesso.

Finché una password resta attiva, continuo a considerarla parte della sicurezza dell’account. Per questo ha senso che sia unica, robusta e conservata in un gestore affidabile, insieme all’autenticazione aggiuntiva disponibile.

Allo stesso tempo, il portachiavi o il gestore che custodisce le passkey diventa particolarmente importante. Se lì si trovano molte delle mie credenziali, devo proteggerne bene l’accesso e conoscere le sue procedure di recupero.

Semplificare l’accesso senza dimenticare il recupero

Quello che trovo interessante nelle passkey è che cercano di migliorare insieme due aspetti spesso percepiti come opposti: la facilità d’uso e la protezione dell’accesso.

Non devo ricordare una password diversa ogni volta e, allo stesso tempo, riduco il rischio di inserirla in una pagina fraudolenta. È un progresso concreto, purché non ci faccia trascurare ciò che accade fuori dalla situazione ideale.

Prima di attivarne una, mi farei quindi una domanda semplice:

Se domani perdessi questo telefono, saprei ancora entrare nel mio account?

Se la risposta è sì, la passkey può diventare non soltanto un modo più comodo per accedere, ma parte di un sistema che ho imparato a gestire.