Perché le passkeys contano (anche se hai già una password)
La maggior parte degli accessi all’inventario inizia ancora come vent’anni fa: un’e-mail e una password. È un segreto condiviso. Lo digiti, il sito lo verifica, e chiunque lo apprenda può fingersi te. Pagine di phishing, accessi riutilizzati da altre violazioni e malware infostealer funzionano perché il segreto può uscire dalla tua testa e viaggiare in rete.
Il Data Breach Investigations Report 2026 di Verizon trova ancora l’uso di credenziali rubate in circa il 36% delle violazioni. Le credenziali stesse compaiono come dati rubati in più di un quarto di esse. L’ «elemento umano» (phishing, errori, ingegneria sociale) è presente in circa tre violazioni su cinque. Le password non sono l’unica via d’ingresso, ma restano una via affidabile.
Cos’è davvero una passkey
Una passkey è una credenziale FIDO2 / WebAuthn: una coppia di chiavi pubblica/privata creata sul tuo dispositivo (o in un gestore di password o una chiave di sicurezza hardware) per un sito preciso. Il sito conserva la chiave pubblica. La chiave privata non lascia mai l’authenticator. Quando accedi, il sito invia una sfida usa e getta. Il tuo dispositivo sblocca la chiave privata come sblocchi il telefono o il computer (Windows Hello, Face ID, un PIN, un tocco sulla chiave di sicurezza) e firma la sfida. Il sito verifica la firma. Fine.
Non c’è una password da ricordare, riutilizzare o incollare. Non c’è nemmeno un segreto nella nostra base dati che serva se qualcuno lo copia. Una chiave pubblica finita in un dump non fa entrare nessuno.
La FIDO Alliance tratta «passkey» come un nome comune, come «password». Le passkeys sincronizzate viaggiano con il tuo account Apple, Google o gestore. Le passkeys legate a un dispositivo (comprese le chiavi di sicurezza FIDO) restano su un solo authenticator. Entrambe sono passkeys. La versione sincronizzata è quella che la maggior parte delle persone userà ogni giorno. La versione legata al dispositivo è l’opzione più stretta quando vuoi che la chiave privata non lasci mai un pezzo di hardware.
Perché il phishing rimbalza
La proprietà importante non è la biometria. È l’associazione all’origine. Quando la passkey viene
creata, il browser registra il vero sito (l’identificativo della relying party, in pratica il dominio). All’accesso
l’authenticator userà quella passkey solo se la richiesta arriva da quello stesso dominio. Un sosia su
simpleinventorymanagement.example non può esercitare una passkey registrata per
simpleinventorymanagement.com. Il dispositivo rifiuta. Non hai nemmeno l’occasione di «confermare»
sulla pagina falsa.
Questo è il senso di «resistente al phishing» nel linguaggio CISA e NIST: l’authenticator non consegnerà un segreto utilizzabile a un sito che si finge il tuo. Il National Cyber Security Centre britannico ha confrontato le credenziali FIDO2 con le password e con l’MFA tradizionale (password più SMS, codice di un’app o notifica push). Contro il phishing di tipo adversary-in-the-middle, l’MFA tradizionale resta vulnerabile. FIDO2 no. I codici SMS e le richieste «approva questo accesso» possono essere inoltrati in tempo reale. Una passkey no, perché la firma è legata alla vera origine.
Le Digital Identity Guidelines del NIST (SP 800-63B-4) ora richiedono che i servizi al livello di garanzia 2 offrano un’opzione resistente al phishing, e la richiedono al livello 3. La CISA considera FIDO/WebAuthn (chiavi di sicurezza e passkeys) e le smart card PKI i metodi che qualificano davvero. Le notifiche push, i codici e-mail e gli SMS no.
Stuffing, dump e «ho usato una password unica»
Anche una password unica e lunga fallisce se la digiti sul sito sbagliato, o se un malware sul computer la legge mentre la scrivi. Il credential stuffing funziona perché le persone riutilizzano le password da un sito all’altro: una fuga altrove diventa un accesso qui. I log degli infostealer nei rapporti Verizon recenti continuano a mostrare e-mail aziendali mescolate a account personali su dispositivi non gestiti. Nessuno di questi attacchi produce una chiave privata utilizzabile sul nostro dominio.
Un’indagine sui consumatori della FIDO Alliance per il World Passkey Day 2025 ha trovato che il 36% delle persone aveva almeno un account compromesso a causa delle password. Non è un motivo per farsi prendere dal panico. È un motivo per smettere di fare del segreto di accesso qualcosa che si può indurre qualcuno a digitare.
Cosa non è
- Non è magia contro un computer già preso. Se un malware gira già con la tua identità, può abusare di ciò che puoi sbloccare, compresi alcuni archivi di passkeys sincronizzate. Le passkeys alzano l’asticella contro il phishing da remoto. Non sostituiscono l’igiene del dispositivo.
- Non è un motivo per abbandonare il SSO. Se la tua azienda richiede il SAML, quello resta prioritario. Le passkeys sono per gli account che accedono direttamente qui. Non aggirano l’obbligo di SSO su un dominio verificato.
- Non è un secondo fattore in aggiunta alla password. Una passkey è un accesso primario. Conserva la 2FA con app di autenticazione che già supportiamo se vuoi un secondo passo sull’accesso con password. Non trattare una passkey come quel secondo passo.
- Non è irrecuperabile. Tieni una password (e, per un’azienda, il SSO) così un telefono perso è un inconveniente, non un blocco. Registra più di una passkey se puoi: computer più telefono, o una chiave hardware di riserva.
Dove stanno le passkeys accanto al SSO
Il single sign-on SAML resta la mossa giusta quando un’ azienda vive già in Okta, Entra ID o Google Workspace. L’IdP diventa la porta d’ingresso: la disattivazione è un interruttore, e la policy MFA vive in un solo posto. Le passkeys aiutano tutti gli altri, e aiutano il titolare che non è ancora dietro un IdP: la persona che altrimenti riutilizzerebbe una password sull’app di inventario che contiene i costi dei fornitori, le posizioni di magazzino e lo storico degli ordini.
L’inventario è un dato operativo. Un accesso rubato non è solo «qualcuno ha visto un conteggio». È qualcuno che può rettificare le scorte, completare ordini, o leggere in silenzio cosa compri e quanto paghi. Rendere quell’accesso resistente al phishing è lo stesso istinto che chiudere a chiave il magazzino. La differenza è che il magazzino falso su Internet non può scassinare la serratura.
Come iniziare
- Accedi come al solito, poi apri Passkeys nelle impostazioni dell’account.
- Aggiungi una passkey sul dispositivo che usi davvero. Dalle un nome che riconoscerai più avanti.
- Aggiungine una seconda se puoi (telefono e computer, o una chiave hardware).
- Alla visita successiva, usa «Accedi con una passkey», o lascia che il browser ne proponga una nel campo e-mail.
Hai ancora la tua password. Questa è una porta in più, non la demolizione di quella vecchia. Per il resto di come proteggiamo gli account e le connessioni IA, vedi la pagina sulla sicurezza.