Una passkey è una credenziale crittografica creata sul proprio dispositivo e legata al singolo servizio. Non c’è una password da digitare, quindi non può essere rubata con un messaggio di phishing: il dispositivo verifica l’identità del sito prima di autenticare. Per l’utente il gesto diventa semplice, come sbloccare il telefono con l’impronta o il codice.
Come funziona, in breve
Quando crei una passkey, il dispositivo genera una coppia di chiavi: una resta custodita sul dispositivo, l’altra viene registrata presso il servizio. Al momento dell’accesso, il dispositivo firma una richiesta con la chiave privata e il servizio la verifica con quella pubblica. La chiave privata non lascia mai il dispositivo e non viene mai scritta da nessuna parte.
Vantaggi pratici
- Resistenza al phishing: la passkey funziona solo sul sito per cui è stata creata. Una pagina falsa, anche molto convincente, non riceve nulla di utile.
- Nessuna password da riutilizzare: non c’è più una stringa da indovinare o da rubare in una violazione.
- Rapidità: l’accesso richiede pochi secondi, con impronta o codice del dispositivo.
Qualche limite da conoscere
Le passkey sono legate ai dispositivi e agli ecosistemi che le sincronizzano. Se cambi telefono o perdi l’accesso al tuo account di sincronizzazione, devi avere un metodo di recupero funzionante. Per questo conviene mantenere attiva almeno un’altra modalità di accesso, come la verifica in due passaggi, e conservare i codici di recupero del servizio.
Come iniziare
Controlla le impostazioni di sicurezza dei servizi che usi di più: molti propongono già la creazione di una passkey. Cominciare dall’email e dal conto bancario è una scelta sensata. Non serve sostituire tutto subito: ogni servizio convertito riduce il numero di password che possono essere esposte.
Le passkey non sono ancora universali, ma la direzione è chiara. Imparare a usarle oggi significa trovarsi pronti quando diventeranno lo standard per la maggior parte degli accessi.