Passkey: cosa sono, come funzionano e come attivarle

Ti è mai capitato di dover accedere a un servizio e non ricordare la password, o di ricevere un’email che sembrava autentica e invece portava a una pagina falsa? Le passkey nascono esattamente per togliere di mezzo entrambi i problemi: al posto di una password da digitare, usi l’impronta digitale, il volto o il PIN del dispositivo.

Non è una moda passeggera né una trovata di marketing: è uno standard aperto, sostenuto da Google, Apple, Microsoft e dalla FIDO Alliance, già supportato da moltissimi servizi. Allo stesso tempo, intorno alle passkey circolano due estremi opposti: chi le presenta come la fine di ogni problema di sicurezza e chi le considera complicate e rischiose. La verità, come spesso accade, sta nel mezzo — e in questa guida proviamo a raccontarla senza giri di parole: come funzionano tecnicamente, dove finiscono le chiavi, come si attivano sui principali servizi, cosa succede se perdi il telefono e quali sono, oggi, i limiti reali.

1) Cosa sono, in parole semplici

Una passkey è una coppia di chiavi crittografiche creata dal tuo dispositivo per un sito specifico:

• la chiave privata resta sul tuo dispositivo (o nel gestore che la sincronizza) e non viene mai inviata al sito;
• la chiave pubblica viene consegnata al sito, che la usa per verificare che sia davvero tu.

È lo stesso principio delle firme digitali: il sito non ha nulla da “rubare”, perché non conserva un segreto che possa essere usato da qualcun altro. Se un giorno quel sito subisse un attacco e i dati degli utenti finissero online, le passkey non sarebbero utilizzabili: non c’è nessuna password da leggere.

2) Perché sono più sicure delle password

Non si possono phishare

Questo è il punto più importante. La passkey è legata al dominio del sito: se qualcuno ti porta su una copia perfetta della pagina di accesso, ma con un indirizzo diverso, il dispositivo si rifiuta di usare la chiave. Non c’è nessun codice da dettare al telefono, nessuna password da digitare: la truffa non ha appigli.

Non si riutilizzano

Ogni sito ha la sua passkey. La vecchia abitudine di usare la stessa password ovunque — il vero motivo per cui un attacco a un sito minore può aprire la tua email — qui non esiste.

Non ci sono notifiche da approvare

Chi ha provato l’autenticazione a due fattori con notifiche push conosce il rischio delle richieste ripetute finché si preme “approva”. Con le passkey non c’è nulla da approvare: o il dispositivo firma, o non firma.

3) Come funziona l’accesso, passo passo

La prima volta: nel servizio scegli “crea una passkey”. Il dispositivo chiede conferma con impronta, volto o PIN, genera la coppia di chiavi e invia solo quella pubblica. Fine: da quel momento la password non serve più per accedere (ma spesso resta come metodo di recupero).

Le volte successive: nella pagina di accesso selezioni “Accedi con passkey”, il dispositivo chiede la biometria e sei dentro. Tempo: due secondi.

Da un altro dispositivo: se provi ad accedere da un computer dove la passkey non c’è, compare un codice QR. Lo inquadri con il telefono, confermi con l’impronta e il computer fa l’accesso “tramite” il telefono. È comodissimo e funziona anche tra sistemi diversi.

4) Dove vengono salvate le passkey

Qui inizia la parte che conta davvero, perché determina cosa succede se cambi dispositivo.

Il consiglio pratico è semplice: scegli un solo custode e usa quello per tutto. Se alterni Portachiavi iCloud sul telefono, Google sul PC e un gestore sul lavoro, ti ritroverai con passkey sparse in tre posti diversi e nessuna visione d’insieme.

5) Come attivarle su Google, Microsoft e Apple

Google

1. Vai su myaccount.google.com > Sicurezza.
2. Cerca la voce Passkey (o “Accesso senza password”) e selezionala.
3. Scegli Crea una passkey e conferma con l’impronta o il PIN.
4. Ripeti su un secondo dispositivo, se vuoi una copia di sicurezza.

Microsoft

1. Vai su account.microsoft.com > Sicurezza > Opzioni di sicurezza avanzate.
2. Seleziona Aggiungi un nuovo modo di accedere e scegli la passkey.
3. Puoi salvarla sul dispositivo (Windows Hello), su una chiave fisica o nell’app Microsoft Authenticator.

Apple

1. Le passkey vengono gestite dal Portachiavi iCloud: assicurati che sia attivo in Impostazioni > [il tuo nome] > iCloud > Password e portachiavi.
2. Nei siti compatibili, alla creazione della passkey scegli di salvarla nel Portachiavi.
3. Con Accesso con iPhone puoi usare il telefono anche per accedere da un Mac o da un PC Windows.

6) Se perdi il telefono o cambi dispositivo

È la paura numero uno, ed è legittima. Ecco come funziona nella pratica:

• Se la passkey è sincronizzata (Google, iCloud, gestore di password), la ritrovi automaticamente sul nuovo dispositivo accedendo allo stesso account.
• Se è solo su un dispositivo, sul nuovo dovrai accedere con la password e poi creare una nuova passkey. Per questo è importante non disattivare la password subito dopo aver creato la passkey.
• Se hai una chiave fisica come riserva, quella funziona sempre: è la ragione per cui molti la consigliano come secondo metodo.
• Se non hai né password né secondo metodo, il recupero passa dall’assistenza del servizio e può richiedere giorni. Da evitare.

7) I limiti reali nel 2026

• Non tutti i siti le supportano: la copertura cresce, ma per molti servizi la password resta necessaria. Le passkey convivono con le password, non le hanno ancora sostituite.
• Spostarle tra ecosistemi non è ancora banale: Apple ha introdotto di recente l’esportazione sicura verso gestori di terze parti e Google sta lavorando nella stessa direzione, ma la portabilità universale non è ancora la norma. Se cambi spesso piattaforma, un gestore di password multipiattaforma è la soluzione più solida.
• Dispositivi vecchi o condivisi: su un PC pubblico e senza account personale è meglio non creare passkey.
• Dipendenza dal dispositivo: se la passkey vive solo su un telefono e quel telefono si rompe, serve il piano B. Sempre.
• Ambienti aziendali: alcune policy disattivano le passkey sui dispositivi gestiti. In quel caso serve il reparto IT, non un trucco.

8) Passkey, 2FA e password a confronto

La combinazione migliore oggi è questa: passkey dove possibile, password uniche gestite da un gestore e 2FA sui servizi che non offrono ancora le passkey.

9) Errori da evitare

• Eliminare la password appena creata la passkey, senza avere un secondo metodo: è il modo più rapido per restare fuori.
• Sparpagliare le passkey tra tre custodi diversi senza sapere dove sono.
• Crearle su un dispositivo che non è tuo (PC di ufficio condiviso, computer di un amico).
• Non provare mai il recupero: fai una prova con un servizio secondario, così scopri come funziona prima di averne bisogno davvero.
• Credere che siano invulnerabili: proteggono dal phishing e dalle fughe di dati, non da un dispositivo già compromesso da malware. L’igiene digitale resta necessaria.

Tre situazioni tipiche

“Uso Windows sul PC e iPhone sul telefono”

È lo scenario in cui conviene un gestore di password multipiattaforma come custode delle passkey: le ritrovi su entrambi i sistemi senza dipendere da un singolo produttore. In alternativa, puoi creare due passkey per i servizi più importanti, una per dispositivo.

“Ho creato la passkey e ora non vedo più il campo password”

Molti servizi nascondono l’accesso con password dopo la creazione della passkey, ma la lasciano disponibile come opzione secondaria (“altri modi di accedere”). Se non la trovi, il recupero passa dal flusso “password dimenticata”: verifica prima che l’email di recupero sia aggiornata.

“Uso un PC aziendale”

Le policy possono impedire il salvataggio locale delle passkey. In quel caso puoi usare il telefono tramite codice QR, che non richiede di salvare nulla sul computer.

Domande frequenti

Le passkey sono gratuite?

Sì. Sono uno standard aperto e non c’è nulla da acquistare: servono solo un dispositivo compatibile e, se vuoi, un gestore di password.

Posso usarle su un computer senza sensore di impronte?

Sì: Windows Hello accetta anche un PIN, e puoi accedere tramite il telefono con il codice QR.

Cosa succede se il sito viene violato?

Gli attaccanti ottengono al massimo chiavi pubbliche, che non permettono di accedere. È uno dei vantaggi principali rispetto alle password.

Devo disattivare la 2FA quando attivo le passkey?

No, e in molti servizi non è nemmeno possibile. Tienila attiva come metodo di riserva, almeno finché non hai un secondo dispositivo con la passkey o una chiave fisica.

Le passkey funzionano anche sui siti italiani?

Sempre più spesso sì, soprattutto banche e servizi digitali. La copertura è in crescita costante: vale la pena controllare nelle impostazioni di sicurezza dei servizi che usi di più.

Fonti ufficiali

• FIDO Alliance — Passkeys
• Google — accedere con le passkey
• Microsoft — accedere con una passkey
• Apple — usare le passkey su iPhone

Articoli correlati:
Password sicure: come crearle e gestirle
Confronto tra gestori di password
Evitare truffe e phishing
Sicurezza dello smartphone Android
PC infetto da malware: cosa fare