Le passkey sono il sistema con cui Google, Apple e Microsoft stanno provando a mandare in pensione le password: al posto di una parola segreta da ricordare, l’accesso avviene sbloccando il telefono o il computer con impronta, volto o PIN. Funzionano bene, sono già attive su quasi metà dei siti più visitati al mondo e tolgono di mezzo il phishing. Ma c’è un dettaglio che quasi nessuno spiega: attivare una passkey, da solo, non mette al sicuro l’account.
Una passkey è una chiave crittografica che resta nel dispositivo e non può essere rubata con un finto sito o una mail-trappola. Si attiva in pochi passaggi su account Google, Apple e Microsoft. Il problema è che nella maggior parte dei servizi la passkey si affianca alla password invece di sostituirla: finché quella vecchia password esiste, la porta d’ingresso vulnerabile resta aperta. E prima di attivarle va sistemato il recupero dell’account.
Indice
- Come funziona davvero una passkey
- Attivarla su Google
- Attivarla su Apple
- Attivarla su Microsoft
- La trappola: la password resta lì
- Se perdi il telefono
- Quanto sono diffuse (e quanto in Italia)
- Domande frequenti
Come funziona davvero una passkey
Il meccanismo si regge su una coppia di chiavi crittografiche generate al momento della registrazione. Una, quella pubblica, viene consegnata al sito e conservata sui suoi server; l’altra, la chiave privata, resta nel dispositivo e non lo lascia mai. Quando si accede, il sito invia una sfida matematica che solo la chiave privata sa risolvere, e il dispositivo la risolve dopo aver verificato che sia davvero il proprietario a chiederlo, tramite impronta, riconoscimento del volto o PIN.
Le conseguenze pratiche sono tre e vale la pena capirle, perché sono la ragione per cui questa tecnologia è considerata un salto di qualità. La prima è che sul server del sito non c’è nulla di riutilizzabile: se quel database viene violato, gli aggressori si portano via chiavi pubbliche che da sole non aprono niente. La seconda è che non esiste nulla da digitare, quindi non c’è nulla da intercettare o da farsi consegnare con l’inganno. La terza, meno ovvia, è che la passkey è legata al dominio del sito che l’ha creata: se si finisce su una copia fraudolenta, il browser semplicemente non trova nessuna chiave da usare e l’accesso non parte. Il phishing non fallisce perché l’utente se ne accorge, fallisce perché tecnicamente non funziona.
È la differenza con i codici via SMS, che invece si possono farsi dettare al telefono da un finto operatore, e con le password salvate, che si possono copiare. Chi ha letto le nostre schede su vishing e quishing ritrova qui il rimedio strutturale a quel tipo di attacchi.
Attivarla su Google
Il percorso parte dalla pagina dell’account Google, alla voce Sicurezza, dove compare la sezione dedicata alle passkey e chiavi di accesso. Su un telefono Android connesso all’account la creazione richiede una conferma sola, perché il sistema usa la protezione già impostata sul dispositivo. Su computer conviene farlo dal browser Chrome con il profilo attivo.
Dopo la creazione compare l’elenco dei dispositivi su cui la passkey è disponibile: Google le sincronizza attraverso il proprio gestore di password, quindi una passkey creata sul telefono funziona anche sul tablet e sul computer collegati allo stesso account. Nella stessa schermata c’è l’opzione che conta più di tutte, ed è quella che gli utenti saltano: si chiama Salta la password quando possibile. Attivandola, Google smette di proporre il campo password nei casi in cui la passkey è utilizzabile. La guida ufficiale di Google la descrive in dettaglio.
Attivarla su Apple
Sui dispositivi Apple le passkey sono integrate nel portachiavi iCloud e in buona parte dei casi si creano da sole: quando un sito le supporta, Safari propone di salvare una chiave di accesso al posto della password, e da lì in poi l’accesso avviene con Face ID o Touch ID. Perché la sincronizzazione funzioni serve che il portachiavi iCloud sia attivo nelle impostazioni dell’ID Apple e che l’autenticazione a due fattori sia in funzione.
Le chiavi salvate si trovano nell’app Password, dove si possono anche eliminare quelle che non servono più. Una nota utile per chi passa spesso da un mondo all’altro: una passkey creata su iPhone si può usare per accedere da un computer Windows inquadrando un codice QR che compare sullo schermo, con il telefono che fa da autenticatore via Bluetooth. La chiave non viene copiata sul computer, resta sul telefono.
Attivarla su Microsoft
Microsoft è andata più avanti di tutti. Dal 2 maggio 2025 i nuovi account Microsoft nascono già senza password, con passkey, notifica push o chiave di sicurezza fisica come metodi di accesso predefiniti. Da novembre 2025 anche gli account già esistenti possono eliminare completamente la password dalle impostazioni di sicurezza, cosa che gli altri due grandi non permettono ancora.
Su Windows 11 la gestione è affidata a Windows Hello, che consente di creare, vedere ed eliminare le passkey direttamente dalle impostazioni di sistema. Chi vuole portarsele su altri dispositivi può registrarle nell’app Microsoft Authenticator sul telefono.
La trappola: la password resta lì
Ed eccoci al punto che rende l’entusiasmo prematuro. Nella grande maggioranza dei servizi la passkey viene aggiunta ai metodi di accesso, non li sostituisce. L’account continua ad avere la sua vecchia password, e quella password continua a funzionare.
Il risultato è che la protezione contro il phishing, cioè il vantaggio principale di tutta la tecnologia, resta parziale. Un finto messaggio della banca o del servizio di posta che porta l’utente a digitare le credenziali su una pagina clonata ottiene esattamente quello che cercava, perché la passkey che sta ferma sul telefono non impedisce a nessuno di usare l’altra porta. Chi ha attivato una passkey convinto di aver chiuso la questione ha in realtà aggiunto una comodità, non una difesa.
Cosa fare, in concreto, dipende dal servizio. Sull’account Microsoft la password si può rimuovere del tutto, ed è la soluzione più netta. Su Google si attiva l’opzione che salta la password quando è possibile, che non la cancella ma ne riduce moltissimo l’uso. Ovunque non si possa fare né l’una né l’altra cosa, la vecchia regola resta valida: password lunga, diversa da ogni altra, custodita in un gestore di password, con l’autenticazione a due fattori attiva.
Se perdi il telefono
È la domanda che frena più persone, ed è giusto farsela prima di attivare qualsiasi cosa. La risposta breve è che nella maggior parte dei casi non succede nulla di grave, perché le passkey dei tre grandi ecosistemi sono sincronizzate in forma cifrata nel cloud: configurando un telefono nuovo con lo stesso account, le chiavi tornano disponibili senza bisogno di ricrearle.
Il guaio si presenta in due situazioni. La prima è quella di chi ha una passkey vincolata a un singolo dispositivo — succede con le chiavi hardware e con alcune configurazioni aziendali — e non ha registrato un secondo metodo: quella chiave sparisce insieme all’oggetto. La seconda riguarda chi ha attivato la passkey ma non ha mai messo in ordine i metodi di recupero dell’account: senza un secondo dispositivo collegato, un numero di telefono aggiornato o i codici di backup salvati da qualche parte, si può restare chiusi fuori in modo definitivo.
La regola operativa è semplice e va rispettata nell’ordine: prima si sistemano i metodi di recupero, poi si attivano le passkey. Conviene anche registrarne almeno due, su dispositivi diversi, e conservare i codici di backup in un posto che non sia il telefono stesso. Vale la pena rivedere in parallelo anche il proprio backup del telefono, perché il momento in cui si perde il dispositivo è quello in cui ci si accorge di cosa mancava.
C’è infine il caso del computer di qualcun altro, in un albergo o in un ufficio. Lì non va creata nessuna passkey: si usa la propria, quella che sta sul telefono, inquadrando il codice QR che il sito propone. La chiave resta sul dispositivo personale e il computer estraneo non conserva niente.
Quanto sono diffuse (e quanto in Italia)
I numeri arrivano dal rapporto che la FIDO Alliance, il consorzio che governa lo standard, ha pubblicato in occasione del World Passkey Day del maggio 2026. Le passkey attive nel mondo hanno superato i cinque miliardi; il 90% delle persone intervistate sa cosa siano, il 75% ne ha attivata almeno una e il 49% le usa regolarmente quando il sito le supporta. Sul fronte dei siti, circa il 48% dei cento più visitati al mondo le accetta, più del doppio rispetto al 2022.
Su questi dati serve però una precisazione che nessuno fa, e che cambia il modo di leggerli. L’indagine, condotta da Sapio Research nell’aprile 2026, ha coinvolto undicimila persone in dieci Paesi: Stati Uniti, Regno Unito, Francia, Germania, Australia, Singapore, Giappone, Corea del Sud, Cina e India. L’Italia non è tra questi. Quel 75% descrive il comportamento di mercati mediamente più avanti sull’adozione digitale, e applicarlo tale e quale al pubblico italiano è un salto logico che non sta in piedi.
Un’ultima annotazione riguarda i servizi pubblici italiani, dove la novità per ora non arriva: l’accesso a INPS, Agenzia delle Entrate e alla pubblica amministrazione passa da SPID e CIE, che hanno meccanismi propri e non usano le passkey. Chi immagina di sostituire tutte le proprie credenziali in un colpo solo resterà deluso: per adesso si tratta di coprire gli account personali più esposti — posta, cloud, social, acquisti online — e di lasciare il resto com’è.
Domande frequenti
Le passkey sostituiscono davvero le password?
Solo dove il servizio consente di eliminare la password, come sugli account Microsoft. Nella maggior parte dei casi la passkey si affianca alla password, che continua a funzionare e resta attaccabile con il phishing.
Serve internet per usarle?
Serve per l’accesso al sito, ma la verifica avviene sul dispositivo: la chiave privata non viene mai trasmessa, e nemmeno l’impronta o il volto, che restano nel telefono.
Funzionano tra Apple e Android?
Sì. Una passkey salvata su iPhone si può usare per accedere da un computer Windows o da un altro dispositivo inquadrando un codice QR: il telefono fa da autenticatore via Bluetooth e la chiave non viene copiata altrove.
E se qualcuno mi ruba il telefono?
Per usare la passkey deve superare il blocco del dispositivo, cioè impronta, volto o PIN. Un telefono rubato e bloccato non consente di accedere agli account, ma conviene revocare le passkey dalle impostazioni dell’account dal primo dispositivo disponibile.
Posso creare una passkey sul computer di un altro?
Meglio di no. In quei casi si usa la passkey del proprio telefono tramite codice QR, senza lasciare nulla sul dispositivo altrui.
Le passkey funzionano con SPID?
No. SPID e CIE hanno sistemi di autenticazione propri e non rientrano nello standard FIDO, quindi l’accesso ai servizi pubblici italiani per ora non cambia.
Da dove conviene cominciare?
Dall’account che protegge tutti gli altri, cioè quello di posta elettronica, perché è quello da cui si recuperano le credenziali di ogni altro servizio. Prima però vanno verificati i metodi di recupero.
