Niente da ricordare, niente da digitare, niente da farsi rubare: le passkey sostituiscono le password con la crittografia a chiave pubblica. E non sono più il futuro, sono già il presente.
Ammettiamolo: le password non funzionano. Le scegliamo troppo semplici, le riusiamo su dieci siti diversi, le dimentichiamo, le scriviamo su un post-it. E soprattutto ce le facciamo rubare: basta un'email ben fatta, un link a un sito che sembra quello della banca, e la password finisce nelle mani sbagliate.
Secondo l'ultimo rapporto della FIDO Alliance, presentato a maggio 2026 per il World Passkey Day, un intervistato su tre ha subito nell'ultimo anno la violazione di un account o ha ricevuto un avviso di furto dei dati. Lo stesso rapporto racconta però anche la soluzione, che sta arrivando molto più in fretta di quanto si pensasse: nel mondo sono in uso circa 5 miliardi di passkey.
Che cos'è una passkey
Una passkey è un modo di accedere a un sito o a un'app senza password. Quando entri, il telefono o il computer ti chiede di sbloccarlo come fai sempre (impronta digitale, riconoscimento del volto o PIN del dispositivo) e sei dentro.
Sembra solo una comodità, ma sotto c'è un cambiamento profondo: con la passkey non esiste più un segreto condiviso tra te e il sito. E un segreto che non esiste non si può rubare.
Come funziona: due chiavi invece di una password
Le passkey si basano su uno standard aperto, FIDO2/WebAuthn, e sulla crittografia a chiave pubblica, la stessa che protegge HTTPS.
- Registrazione. Quando crei una passkey per un sito, il tuo dispositivo genera una coppia di chiavi: una privata, che resta sul dispositivo (protetta dall'impronta o dal PIN), e una pubblica, che viene inviata al sito.
- Accesso. Il sito ti manda una sfida: un numero casuale, diverso ogni volta.
- Il dispositivo, dopo che lo hai sbloccato, firma la sfida con la chiave privata.
- Il sito verifica la firma con la chiave pubblica. Se torna, sei tu.
La chiave privata non lascia mai il dispositivo e non viaggia in rete. Il sito conserva solo la chiave pubblica, che è appunto pubblica: se un giorno qualcuno rubasse il database del sito, troverebbe solo chiavi che non servono a nulla per entrare al tuo posto.
Un confronto da laboratorio. Con la password il server conserva un'impronta del tuo segreto e tu glielo mandi a ogni accesso. Con la passkey il segreto non lo mandi mai: dimostri di possederlo firmando una sfida. È come la differenza tra dire la combinazione di una cassaforte ad alta voce e aprirla davanti a qualcuno senza rivelarla.
Perché il phishing non funziona più
È il vero punto di forza. Una passkey è legata al dominio del sito per cui è stata creata. Se un'email truffa ti porta su banca-sicura-login.com invece che sul sito vero della tua banca, il tuo dispositivo non trova nessuna passkey per quel dominio e semplicemente non la usa.
Con una password, invece, il sito falso te la chiede, tu la scrivi, e il gioco è fatto. Con le passkey non c'è niente da scrivere e quindi niente da farsi estorcere: l'errore umano, che è alla base della maggior parte degli attacchi, viene tolto dall'equazione.
E se perdo il telefono?
È la domanda che tutti fanno. Le passkey create su iPhone, Android o Windows vengono sincronizzate in modo cifrato con il tuo account (portachiavi di iCloud, Gestore delle password di Google, oppure un gestore di password come Bitwarden o 1Password). Se cambi o perdi il telefono, le ritrovi sul dispositivo nuovo dopo aver fatto l'accesso al tuo account.
Si può anche usare il telefono per entrare da un computer che non è tuo: il computer mostra un codice QR, lo inquadri con il telefono, confermi con l'impronta e la passkey resta sul telefono, mentre l'accesso avviene sul computer.
A che punto siamo
I numeri del rapporto FIDO del 2026, basato su un sondaggio tra 11.000 persone e 1.400 aziende in dieci Paesi, mostrano che la transizione è in pieno corso:
- il 90% degli intervistati conosce le passkey e il 75% le ha attivate su almeno un account;
- il 49% le usa regolarmente quando sono disponibili;
- il 68% delle aziende le ha già introdotte o le sta introducendo per i dipendenti;
- tra queste, molte segnalano accessi più rapidi, meno richieste di reset della password e meno incidenti di phishing.
Restano però dei limiti: più della metà delle aziende usa ancora la password come metodo principale per far accedere i dipendenti, e molti servizi offrono la passkey solo come opzione, accanto alla vecchia password. Le password non spariranno domani, ma la direzione è chiara.
Come attivarle oggi
Molti dei servizi che usi già le supportano: Google, Apple, Microsoft, WhatsApp, PayPal, Amazon, GitHub e tanti altri. In genere il percorso è questo:
- apri le impostazioni di sicurezza dell'account (cerca "Passkey" o "Accesso senza password");
- scegli Crea una passkey e conferma con impronta, volto o PIN;
- al prossimo accesso, scegli Accedi con passkey.
Un consiglio: dopo averla creata, prova subito a uscire e rientrare, e tieni attivo un secondo metodo di recupero dell'account (un altro dispositivo o i codici di backup).
Perché interessa a chi studia informatica
Le passkey sono un ottimo esempio di come la teoria diventi qualcosa che usiamo tutti i giorni. Dentro ci sono molti argomenti dei nostri corsi:
- la crittografia asimmetrica e la firma digitale (chiave pubblica e privata);
- il meccanismo sfida-risposta (challenge-response), che impedisce di riutilizzare una risposta intercettata;
- il legame con il dominio e con HTTPS, che rende inutili i siti clone;
- il principio per cui la sicurezza migliore è quella che non dipende dalla memoria e dall'attenzione delle persone.
E per chi sviluppa siti web, come facciamo nei corsi di PHP e Flask, c'è una buona notizia: i browser offrono già le API WebAuthn per aggiungere l'accesso con passkey alle proprie applicazioni. Un ottimo spunto per un progetto d'esame.
Fonte dei dati: FIDO Alliance, rapporto "World Passkey Day 2026" (maggio 2026), fidoalliance.org.