Passkey: cosa sono e perché stanno sostituendo le password

Le password hanno un difetto di fondo: per funzionare devono essere segrete, ma per usarle devi scriverle da qualche parte, e tutto ciò che scrivi può essere rubato, indovinato o carpito con un sito fasullo. Le passkey nascono per risolvere il problema alla radice, e nel giro di pochi anni sono passate da esperimento a standard adottato dai principali servizi online.

Come funzionano

Una passkey è una coppia di chiavi crittografiche creata dal tuo dispositivo quando ti registri a un sito. La chiave privata resta sul telefono o sul computer, protetta dal sistema, e non lascia mai il dispositivo. Al sito viene inviata solo la chiave pubblica. Quando accedi, il sito manda una “sfida” e il tuo dispositivo la firma con la chiave privata, dopo averti chiesto l’impronta digitale, il volto o il PIN di sblocco.

Il risultato pratico: non c’è nulla da ricordare, nulla da digitare e nulla che un malintenzionato possa intercettare. Un sito di phishing che imita la tua banca non riceve nessuna password, perché la passkey funziona solo sul dominio esatto per cui è stata creata.

Dove sono già disponibili

Google, Apple, Microsoft, Amazon, PayPal, eBay, GitHub, WhatsApp e molti altri permettono già di accedere con passkey. In Italia le stanno adottando anche diverse banche e alcuni servizi pubblici. Le passkey si sincronizzano tra dispositivi tramite il Portachiavi iCloud, Google Password Manager o gestori di password come 1Password e Bitwarden, quindi non resti chiuso fuori se cambi telefono.

Come attivarle

Vai nelle impostazioni di sicurezza dell’account (di solito alla voce “Accesso” o “Password e sicurezza”), cerca “Passkey” e segui la procedura: il dispositivo ti chiederà una conferma biometrica e la passkey sarà pronta. Consigliamo di tenere attiva anche la password come metodo di riserva finché non sei sicuro di avere la passkey su almeno due dispositivi.

Cosa cambia per la sicurezza

Le passkey rendono inutili i due attacchi più diffusi: il phishing e il riutilizzo delle password rubate da altri siti. Restano importanti il blocco del dispositivo con un codice robusto e il backup dell’account cloud che sincronizza le chiavi. Se il tuo servizio preferito le offre, attivarle è probabilmente il singolo miglioramento di sicurezza più semplice che puoi fare oggi.