Negli ultimi mesi, accedendo a Google, Microsoft, Amazon o alla tua banca, ti sarà comparso un invito del tipo “Crea una passkey per accedere più velocemente”. Molti titolari di studi e piccole imprese mi chiedono se sia l’ennesima complicazione o qualcosa che vale davvero la pena attivare. La mia risposta è che le passkey sono oggi il modo più semplice per proteggere gli account dal phishing, a patto di introdurle con un minimo di metodo. In questo articolo ti spiego cosa sono, perché funzionano, dove attivarle per prime e quali errori evitare in ufficio.
Cos’è una passkey, spiegato senza gergo
Una passkey è una credenziale che sostituisce la password. Invece di digitare una parola segreta, confermi l’accesso con lo stesso gesto che usi per sbloccare il telefono o il computer: impronta digitale, riconoscimento del volto oppure PIN.
Dietro le quinte, come spiega la FIDO Alliance (il consorzio che ha definito lo standard e di cui fanno parte Apple, Google e Microsoft), ogni passkey è formata da una coppia di chiavi crittografiche:
- la chiave privata resta sul tuo dispositivo e non viene mai inviata a nessuno;
- la chiave pubblica viene consegnata al sito o all’app quando crei la passkey.
Quando accedi, il sito invia una “domanda” che solo la tua chiave privata sa firmare; il sito controlla la firma con la chiave pubblica e ti fa entrare. L’impronta o il volto servono solo a sbloccare la chiave sul tuo dispositivo: i dati biometrici non escono mai dal telefono o dal PC.
Passkey sincronizzate o legate al dispositivo
Esistono due tipi di passkey, ed è utile conoscerli:
- sincronizzate: vengono salvate nel portachiavi di Apple, nel gestore password di Google, in Windows o in un password manager, e sono disponibili su tutti i tuoi dispositivi, anche quando cambi telefono;
- legate al dispositivo: restano su un solo apparecchio, tipicamente una chiave di sicurezza USB o NFC. Sono meno comode ma offrono il livello di garanzia più alto, per gli account più delicati.
Perché le passkey battono password e codici SMS
Il punto debole della password è che si può digitare nel posto sbagliato. Basta un’email ben fatta e una pagina di accesso identica all’originale: lo vedo succedere anche a persone attente. Con le passkey questo trucco non funziona, per tre motivi.
- Non c’è niente da rubare: non esiste una parola segreta da inserire, quindi una pagina falsa non può raccoglierla.
- La passkey riconosce il sito: è legata all’indirizzo esatto del servizio per cui è stata creata. Su un dominio contraffatto semplicemente non si attiva.
- Un furto di dati dal sito non basta: il servizio conserva solo chiavi pubbliche, inutili a un malintenzionato per entrare nel tuo account.
Anche l’autenticazione a due fattori classica resta preziosa, ma un codice via SMS o da app può essere carpito da un sito trappola che lo chiede “in diretta”. Per questo le passkey sono considerate un’autenticazione resistente al phishing, lo stesso livello che le linee guida sulla sicurezza raccomandano per gli account più esposti.
Non è una tecnologia di nicchia: già a fine 2024, secondo i dati FIDO citati da The Hacker News, oltre 15 miliardi di account potevano accedere con una passkey, e dal maggio 2025 Microsoft crea i nuovi account personali “senza password” per impostazione predefinita.
Da dove partire con le passkey in ufficio
Non serve convertire tutto in un giorno. Ti consiglio di procedere per priorità, partendo dagli account che, se rubati, farebbero più danni.
1. Email e suite d’ufficio
La casella email è la chiave di tutto: da lì si reimpostano le password di quasi ogni altro servizio. Se usate Microsoft 365, l’amministratore può abilitare le passkey per i dipendenti dal centro di amministrazione di Microsoft Entra, sia nell’app Microsoft Authenticator sia, con un profilo dedicato, come passkey sincronizzate: la procedura è descritta nella documentazione ufficiale Microsoft. Per gli account Google la creazione è guidata dalla pagina di assistenza dell’account Google.
Questa è anche la migliore difesa contro truffe come quelle che ho raccontato nell’articolo sul device code phishing: più si riducono i metodi di accesso deboli, meno appigli restano agli attaccanti.
2. Banca, PEC e portali con dati di clienti
Molte banche, i grandi marketplace e diversi gestionali in cloud supportano già le passkey. Controlla nelle impostazioni di sicurezza di ciascun servizio la voce “Passkey” o “Accesso senza password”.
3. Il resto, con calma
Per i servizi che non supportano ancora le passkey continua a usare password lunghe e uniche, custodite in un password manager, con il secondo fattore attivo. I password manager più diffusi, tra l’altro, sanno conservare anche le passkey.
Gli errori da evitare
Le passkey sono semplici da usare, ma in un ufficio con più persone vanno introdotte con criterio. Gli sbagli che vedo più spesso sono questi:
- Salvare la passkey dell’account aziendale sul telefono personale di un dipendente, magari sincronizzata sul suo account Apple o Google privato. Quando quella persona lascia lo studio, la credenziale se ne va con lei. Ne parlo anche nella checklist IT per gli ex dipendenti.
- Avere un solo metodo di accesso: se il telefono si rompe o si perde e non c’è un’alternativa, si resta chiusi fuori. Registra almeno due passkey (per esempio telefono e PC, oppure una chiave di sicurezza di riserva) e conserva i codici di recupero in un luogo sicuro.
- Lasciare la password vecchia e debole: se il servizio continua ad accettarla, resta una porta aperta. Dove possibile cambiala con una robusta o, se il servizio lo consente, eliminala.
- Dispositivi senza blocco schermo: la passkey è sicura quanto lo sblocco del dispositivo che la custodisce. PIN o biometria devono essere sempre attivi.
- Account condivisi: una passkey identifica una persona. Le caselle usate da più colleghi vanno trasformate in caselle condivise con accessi individuali, non “risolte” passando il telefono di mano in mano.
Le passkey sono pronte anche per studi e PMI?
Sì, con un po’ di pianificazione. Il mio consiglio pratico è partire da un gruppo ristretto (il titolare e chi amministra i sistemi), verificare che tutto funzioni sui dispositivi in uso e poi estendere a tutti, dedicando dieci minuti a spiegare ai colleghi cosa cambia. Mettere ordine negli accessi è anche un passo concreto verso gli obblighi di sicurezza che molte imprese stanno affrontando con la direttiva NIS2.
Se vuoi un aiuto per fare il punto sugli account del tuo studio e introdurre le passkey senza bloccare il lavoro, trovi come posso aiutarti nella pagina dei servizi.
Domande frequenti
Se perdo il telefono perdo anche le passkey?
No, se usi passkey sincronizzate: le ritrovi sul nuovo dispositivo accedendo al tuo account Apple, Google o al password manager. Per sicurezza conviene comunque avere un secondo metodo di accesso registrato.
Il sito riceve la mia impronta digitale?
No. L’impronta o il volto servono solo a sbloccare la passkey sul tuo dispositivo; al sito arriva soltanto una firma crittografica.
Posso usare una passkey su un computer che non è mio?
Sì: molti siti mostrano un codice QR che inquadri con il telefono, e confermi l’accesso dallo smartphone senza salvare nulla sul computer altrui.
Con le passkey posso fare a meno del password manager?
Non ancora: molti servizi non le supportano. Il password manager resta utile per le password rimaste e può custodire anche le passkey.