Passkey spiegate semplice: cosa sono, perché sono sicure e cosa cambia nelle emergenze

Negli ultimi anni, accanto alla classica password, molti servizi propongono un nuovo modo di accedere: le passkey. Invece di digitare una password, si conferma l’accesso con l’impronta digitale, il riconoscimento del volto o il PIN del telefono. Sembra una piccola comodità, ma è un cambiamento importante nel modo in cui proteggiamo i nostri account.

Questa guida spiega cosa sono le passkey in modo semplice, perché sono considerate più sicure, come si usano e, soprattutto, cosa cambiano quando si pensa al recupero degli account e alle emergenze in famiglia. È un aspetto di cui si parla poco, ma che conviene conoscere prima di adottarle.

Cosa sono le passkey

Una passkey è una credenziale digitale che sostituisce la password. Tecnicamente si basa su una coppia di chiavi crittografiche: una chiave pubblica, che il servizio conserva, e una chiave privata, che resta sul tuo dispositivo o nel tuo gestore di password. Quando accedi, il dispositivo dimostra di possedere la chiave privata senza mai inviarla al servizio. Per usarla, il dispositivo ti chiede di sbloccarlo con impronta, volto o PIN.

In pratica, per l’utente l’esperienza è semplice: scegli “accedi con passkey”, appoggi il dito o guardi lo schermo, e sei dentro. Niente da ricordare, niente da digitare.

Le passkey si basano su standard aperti sviluppati dall’industria e sono supportate dai principali sistemi operativi, browser e servizi. Sempre più siti le offrono come alternativa o in aggiunta alla password.

Perché sono più sicure

Il vantaggio più importante è la resistenza al phishing. Gran parte delle violazioni di account nasce da una persona che inserisce la propria password su un sito falso. Con le passkey questo non è possibile: la passkey è legata al dominio del sito autentico e non viene “consegnata” a un sito diverso.

Dove sono conservate

Le passkey possono essere conservate in modi diversi:

• nel gestore di password del sistema operativo, come quello degli account Apple o Google, che le sincronizza tra i dispositivi collegati allo stesso account;
• in un password manager di terze parti che supporta le passkey;
• in una chiave di sicurezza fisica, un piccolo dispositivo da collegare o avvicinare al computer o al telefono.

La sincronizzazione è comoda: se cambi telefono, le passkey sono già lì. Ma significa anche che la sicurezza delle passkey dipende dalla sicurezza dell’account che le sincronizza.

Cosa cambia per il recupero

Con le password, se dimentichi la password puoi in genere reimpostarla via email. Con le passkey il discorso è diverso:

• se perdi un dispositivo, le passkey sincronizzate sono ancora disponibili sugli altri dispositivi o sul nuovo, una volta effettuato l’accesso all’account che le sincronizza;
• se perdi tutti i dispositivi e non riesci ad accedere all’account che sincronizza le passkey, puoi trovarti in difficoltà;
• molti servizi mantengono comunque metodi di recupero alternativi, come email, numero di telefono o codici di backup.

Per questo, adottare le passkey non significa poter trascurare il recupero. Al contrario: conviene verificare per ogni account importante quali metodi alternativi sono attivi, e proteggere con particolare cura l’account principale del telefono, che oggi è la chiave di tutto. Vedi la guida su come proteggere gli account più importanti.

Passkey ed emergenze in famiglia

Qui sta l’aspetto meno discusso. Con le password, molte famiglie si sono sempre affidate, anche se in modo poco sicuro, a un foglio o a un quaderno. Le passkey non si possono scrivere su un foglio: sono legate ai dispositivi e agli account. In un’emergenza, quindi, la famiglia non può “usare la passkey” del titolare, a meno di avere il dispositivo sbloccato.

Dal punto di vista della sicurezza è un bene: nessuno può accedere ai tuoi account al posto tuo. Ma rende ancora più importante ciò che abbiamo detto in molte guide:

• per agire per tuo conto servono deleghe e strumenti formali, non credenziali: vedi la guida sulle deleghe a INPS e Agenzia delle Entrate;
• per l’eredità digitale contano gli strumenti dei servizi, come il contatto erede, e le informazioni che lasci. Ricorda che, per esempio, il contatto erede di Apple non dà accesso ai dati del portachiavi, dove si trovano password e passkey: vedi la guida su Apple e il contatto erede;
• per la continuità servono istruzioni: quali account sono importanti, cosa fare, chi contattare.

Passkey, password manager e verifica in due passaggi

Le passkey non arrivano in un mondo vuoto: per molti anni convivranno con le password, con i password manager e con la verifica in due passaggi. Capire come si combinano aiuta a non creare punti deboli.

• Password manager: molti password manager oggi conservano anche le passkey. È comodo, perché tutto è in un unico posto, ma rende ancora più importante proteggere il password manager stesso con una password principale robusta e la verifica in due passaggi.
• Verifica in due passaggi: una passkey combina già due elementi, il dispositivo che possiedi e lo sblocco con impronta, volto o PIN. Per questo alcuni servizi non chiedono un ulteriore codice quando si accede con passkey. Se invece si accede con la password, la verifica in due passaggi resta fondamentale.
• Password residue: finché un account conserva anche la password, quella password deve restare robusta e unica. Una passkey non protegge un account se la vecchia password debole è ancora attiva e viene rubata.

Il punto chiave è che la sicurezza di un account è pari a quella del suo metodo di accesso più debole, compreso il metodo di recupero. Una passkey perfetta non serve a molto se il recupero avviene tramite un’email protetta da una password ripetuta ovunque.

Passkey e familiari anziani

Per molte persone anziane le passkey possono essere una buona notizia: niente password da ricordare, niente foglietti, meno rischio di cadere nelle truffe via SMS o email che imitano la banca. Ma richiedono un minimo di accompagnamento.

• Spiegare il gesto: “quando il sito ti chiede la passkey, appoggi il dito come per sbloccare il telefono”.
• Configurare il recupero insieme: un contatto di recupero o un numero di telefono aggiornato.
• Non sostituirsi a loro: aiutare a configurare non significa conoscere i loro codici o usare i loro account. Se servirà agire per loro conto, gli strumenti giusti sono le deleghe.
• Annotare cosa è stato attivato, così che la famiglia sappia quali servizi usano e come recuperarli in caso di telefono perso o rotto.

Cosa annotare nelle istruzioni

Le passkey non vanno annotate, ma alcune informazioni sì. Nelle istruzioni per chi dovrebbe aiutarti è utile indicare quali account importanti usano le passkey, quale account principale le sincronizza, quali metodi di recupero sono attivi, dove si trova un’eventuale chiave di sicurezza di riserva e quali deleghe formali hai attivato. Sono informazioni che aiutano a capire la situazione senza dare a nessuno la possibilità di entrare al posto tuo.

Come iniziare a usare le passkey

1. Proteggi l’account principale del telefono con una password robusta, la verifica in due passaggi e metodi di recupero aggiornati.
2. Attiva le passkey sui servizi che le supportano, partendo da quelli importanti.
3. Mantieni metodi di recupero alternativi per ogni account.
4. Usa più di un dispositivo o una chiave di sicurezza di riserva, se possibile.
5. Annota quali account usano le passkey e come recuperarli.

Domande frequenti sulle passkey

Le passkey sostituiscono del tutto le password?

Non ancora. Molti servizi le offrono in aggiunta alla password, e per un periodo convivranno. In alcuni casi è possibile rimuovere la password e usare solo la passkey, ma conviene farlo solo dopo aver verificato i metodi di recupero.

Se qualcuno ruba il telefono, può usare le mie passkey?

Per usare una passkey serve sbloccare il dispositivo con impronta, volto o PIN. Un telefono rubato e bloccato non basta. Per questo il codice di sblocco del telefono deve essere robusto e non deve essere facile da indovinare.

Le passkey funzionano su più dispositivi?

Sì, se sono sincronizzate tramite il gestore di password del sistema operativo o un password manager. In alternativa, molti servizi permettono di accedere da un altro dispositivo inquadrando un codice con il telefono.

Checklist

1. Proteggi l’account principale del telefono.
2. Attiva le passkey sui servizi importanti che le supportano.
3. Verifica i metodi di recupero di ogni account.
4. Prevedi un dispositivo o una chiave di riserva.
5. Usa un codice di sblocco robusto sul telefono.
6. Prepara le istruzioni per la famiglia: account importanti, deleghe, contatti.

Gli errori più comuni

• Pensare che le passkey rendano inutile il recupero.
• Usare un codice di sblocco debole sul telefono.
• Avere un solo dispositivo e nessun metodo alternativo.
• Pensare che la famiglia possa usare le tue passkey in un’emergenza.
• Trascurare le deleghe per le attività che altri dovrebbero svolgere per te.

Come aiuta La Cassaforte Digitale

Le passkey proteggono i tuoi account; La Cassaforte Digitale protegge le informazioni e le istruzioni che servono alle persone di fiducia quando non puoi agire tu: quali account usi, come sono protetti, quali deleghe hai attivato, cosa fare nei primi giorni.

• Accesso a tre fattori: password, codice OTP e Chiave Privata (PIN Master).
• I livelli Verde, Giallo e Rosso per separare istruzioni pratiche e informazioni riservate.
• Ogni delegato riceve una propria Chiave di Accesso Delegato: nessuno usa le tue credenziali né il tuo SPID.

Domande frequenti

Staff La Cassaforte Digitale: la redazione di AVANET SRL (Cuneo), che sviluppa e gestisce La Cassaforte Digitale. Le informazioni su norme e procedure sono verificate sulle fonti ufficiali indicate in fondo alla pagina, alla data di aggiornamento. Questo articolo ha scopo informativo e non sostituisce il parere di un avvocato, di un notaio o del tuo istituto bancario. Chi siamo

Fonti

1. FIDO Alliance — Passkeys — standard e funzionamento delle passkey
2. Apple — Informazioni sulle passkey — passkey sui dispositivi Apple
3. Google — Accedere con una passkey — passkey sugli account Google
4. ACN — Agenzia per la Cybersicurezza Nazionale — buone pratiche di autenticazione

Verificate il 10 novembre 2026.

Approfondimenti