Passkey: che cosa cambia quando accedi senza password

Una schermata propone di creare una passkey. Accetti, sblocchi il dispositivo e, al prossimo accesso, non devi più digitare la password. L’esperienza può sembrare familiare, ma il meccanismo dietro è diverso: il servizio verifica una prova crittografica, non una parola segreta.

Due chiavi, due compiti

Una passkey associa a un account una coppia di chiavi. Quella pubblica è conservata dal servizio; quella privata è gestita dall’autenticatore, per esempio sul dispositivo o attraverso un gestore di credenziali. Quando accedi, il servizio invia una richiesta di prova: l’autenticatore la firma e il sito verifica la firma con la chiave pubblica. La chiave privata non viene consegnata al sito durante l’accesso. [1]

Il vantaggio contro il phishing

Una password può essere copiata e inserita in una pagina contraffatta. Una passkey è invece legata al sito o all’app per cui è stata creata: browser e sistema operativo controllano questa associazione. È questa proprietà, non soltanto l’assenza di una password da ricordare, a rendere il metodo resistente al phishing. Non significa che ogni possibile attacco a un account sia eliminato. [2]

Impronta, volto o PIN non sono la passkey

Lo sblocco con impronta, riconoscimento facciale o PIN autorizza l’uso della credenziale. Non equivale a inviare al sito la tua impronta o il tuo volto: il servizio riceve la prova dell’autenticazione, mentre i dati biometrici restano sul dispositivo. Il dettaglio dell’interfaccia cambia in base al sistema e al gestore utilizzato. [2]

E se cambi o perdi il telefono?

Le passkey possono essere sincronizzate da un gestore compatibile oppure restare legate a un singolo dispositivo, come una chiave di sicurezza. La differenza conta quando cambi telefono o perdi l’accesso al dispositivo. Prima di procedere, chiarisci dove verrà salvata la credenziale e quale percorso di recupero offre il servizio. L’accesso su un secondo dispositivo dipende dalla soluzione scelta. [3]

Tre domande prima di iniziare

Dove viene salvata la passkey? Quali dispositivi potranno usarla? Come recupererò l’account se perdo l’accesso al gestore o al dispositivo? Sono domande pratiche da risolvere consultando le istruzioni del servizio. MDN richiama proprio la necessità di predisporre il recupero quando le credenziali non sono più disponibili. [1]

Questa è una guida ai concetti, non una prova di compatibilità su ogni piattaforma. La verifica svolta riguarda le fonti elencate qui sotto; schermate, requisiti e procedure del singolo servizio possono cambiare.