Addio password: come sono passato alle passkey (e perché non torno indietro)

Se c'è una cosa che, da chi si occupa di sicurezza, mi tocca ripetere ogni settimana è: "non riusare la stessa password ovunque". Il punto è che le password sono un sistema fragile per natura. Le passkey sono la novità che quest'anno sta finalmente arrivando sui grandi servizi per superarle — e dopo qualche mese di uso quotidiano posso dire che, dove ci sono, non torno più indietro.

Cos'è una passkey #

Una passkey è una credenziale che sostituisce del tutto la password. Invece di un segreto che digiti (e che qualcuno può rubare), si basa su una coppia di chiavi crittografiche:

• una chiave privata, che resta custodita nel tuo dispositivo e non lo lascia mai;
• una chiave pubblica, che il sito conserva e con cui verifica la tua identità.

Quando accedi, sblocchi la passkey con quello che già usi per il telefono — impronta, volto o PIN — e il dispositivo dimostra al sito di possedere la chiave privata, senza mai trasmetterla.

Perché è più sicura di una password #

Il vantaggio non è "comodità", è proprio robustezza:

• Niente da rubare sul server. Il sito conserva solo la chiave pubblica: in un data breach non c'è alcuna password da farsi sfuggire.
• A prova di phishing. La passkey è legata al sito reale: se finisci su un clone truffaldino, semplicemente non funziona.
• Niente da ricordare né riciclare. Sparisce il problema della stessa password usata su dieci servizi.

In pratica sposti la fiducia da "un segreto che puoi rivelare" a "una chiave che non lascia mai il tuo dispositivo". È un cambio di paradigma, non un ritocco.

Come si attiva, passo per passo #

Sui servizi che le supportano il percorso è quasi sempre lo stesso:

• Entra nelle impostazioni di sicurezza dell'account.
• Cerca la voce "Passkey" e scegli Crea / Aggiungi.
• Conferma con impronta, volto o PIN del dispositivo.

Fatto. Da quel momento accedi senza digitare nulla. Io le ho attivate su Google, Microsoft, Apple, PayPal e i primi altri che le hanno introdotte: la lista si allunga di mese in mese.

Cosa succede se cambio o perdo il telefono #

È la domanda che mi fanno tutti, ed è quella giusta. La risposta è che le passkey, sui sistemi moderni, si sincronizzano in modo cifrato con il tuo account cloud (il portachiavi di Apple, il gestore password di Google, e simili). Quindi:

• prendi un telefono nuovo, accedi al tuo account cloud, e le passkey ti seguono;
• per accedere da un dispositivo altrui puoi usare il telefono come "chiave", confermando via QR code e prossimità.

Il consiglio da tecnico: assicurati che l'account cloud che fa da custode abbia a sua volta una buona protezione (autenticazione a due fattori) e, dove possibile, registra più di un dispositivo o una chiave di backup.

Dove funziona già (e dove no) #

Siamo agli inizi: la copertura è buona sui grandi servizi, ma ancora lontana dall'essere universale. Parecchi siti restano solo a password. Nessun problema — le passkey convivono benissimo con i vecchi metodi, quindi le attivi dove ci sono e per il resto continui come prima. È una transizione appena cominciata, non un aut-aut.

In conclusione #

Le passkey non sono l'ennesima "funzione di sicurezza" da ignorare: sono il modo più promettente che abbiamo, da oggi, per accedere senza il rischio delle password. Più comode e più sicure, un abbinamento raro.

Il mio suggerimento è di partire dagli account che contano di più — email e servizi finanziari — e attivarle lì per prime, man mano che le introducono. È il quarto d'ora meglio investito per la tua tranquillità digitale.