Le passkey semplificano l'accesso e resistono al phishing. Ecco come funzionano, come iniziare e come preparare il recupero dell'account prima di averne bisogno. Un accesso più comodo è utile soltanto se sai gestirlo anche quando il telefono si rompe, il computer viene sostituito o un collega lascia l'azienda. Questa guida accompagna la scelta dall'attivazione alla manutenzione, con un percorso pensato per persone e piccoli uffici. Che cos'è una passkey Una passkey è una credenziale digitale associata a un account e al servizio che la riconosce. Usa una coppia di chiavi crittografiche: il servizio conserva la chiave pubblica, mentre quella privata viene utilizzata dall'autenticatore per dimostrare il diritto di accesso. Non viene inviata al sito come una password. Per autorizzare l'operazione puoi usare il PIN del dispositivo o un controllo biometrico. Il sito non riceve l'impronta né la scansione del volto. PIN e biometria servono a sbloccare l'uso della credenziale, non diventano la password del servizio. La documentazione di Apple sulla sicurezza delle passkey descrive questo funzionamento e la gestione nel proprio ecosistema. Perché il phishing diventa più difficile La credenziale viene utilizzata nel contesto del servizio per cui è stata registrata. Una pagina che imita la grafica del tuo account su un dominio diverso non può semplicemente raccoglierla come farebbe con una password digitata. La FIDO Alliance spiega le basi di questa resistenza al phishing. Resta necessario proteggere dispositivi, sessioni aperte e procedure di recupero. Una passkey non impedisce ogni truffa: un falso operatore può ancora convincerti a effettuare un pagamento o a installare software. Per riconoscere il contesto dell'inganno, leggi anche come controllare i domini nelle email di phishing. Da dove iniziare Scegli un account che utilizzi spesso, ma sul quale puoi fare una prova senza interrompere il lavoro. Prima dell'attivazione rispondi a quattro domande: dove verrà conservata la passkey, chi può sbloccare quel dispositivo, quale altro metodo ti permette di entrare e come potresti revocarla. Esempio: hai un portatile personale e uno smartphone. Attivi una passkey su un servizio, verifichi l'accesso dopo essere uscito e controlli che esista una seconda strada praticabile. Annota il nome del servizio e il luogo di conservazione, senza copiare segreti in un foglio condiviso. Quando sostituisci uno dei dispositivi, ripeti la prova prima di cancellare il vecchio. Un password manager resta utile per gli account che richiedono ancora password e, se lo supporta, per gestire passkey. Parti dalle regole organizzative della guida al password manager per accessi e lavoro, evitando archivi personali usati informalmente da tutto un reparto. Il percorso completo sulle passkey Ogni approfondimento affronta una decisione diversa: • Passkey, password e MFA: differenze e resistenza al phishing aiuta a scegliere il metodo di accesso senza confondere nomi e livelli di protezione. • Come attivare una passkey e verificare il primo accesso propone una procedura di prova e controlli quando qualcosa non funziona. • Recuperare gli account quando perdi il telefono distingue il cambio programmato del dispositivo dallo smarrimento. • Introdurre le passkey in ufficio collega autenticazione, responsabilità e gestione dei collaboratori. Passkey e MFA devono essere valutate nel servizio concreto. Per definire le priorità, parti dagli account sui quali attivare subito la MFA. Domande frequenti Devo usare l'impronta? Non necessariamente: il metodo di verifica dipende dal dispositivo e dall'autenticatore, e può includere un PIN. Posso eliminare subito tutte le password? Conviene completare prima una prova di accesso e recupero per ogni servizio. Il supporto alle passkey e i metodi alternativi non sono uniformi. Una passkey vale per tutti i siti? No: le credenziali vengono registrate per specifici servizi. Un gestore può raccoglierne molte, ma non le trasforma in una sola credenziale universale. Qual è il primo risultato da cercare? Un accesso verificato e una via di recupero comprensibile. La comodità quotidiana e la continuità quando cambia il dispositivo vanno progettate insieme. Per distinguere il segreto ricordato dalla verifica biometrica, leggi anche la riflessione su password, biometria e memoria: chiarisce il confine fra fattore di conoscenza e caratteristiche personali misurate.