Le password sono un disastro. Sono difficili da inventare, impossibili da ricordare, vengono rubate ogni mese in qualche data breach famoso, e siamo tutti costretti a usare un password manager solo per non impazzire. Le grandi aziende tech lo sanno, e da qualche anno spingono tutte nella stessa direzione: eliminarle.

Lo strumento che le sostituisce si chiama passkey. È già attivo su Apple, Google, Microsoft, Amazon, eBay, PayPal, GitHub, Adobe, e ogni mese se ne aggiungono altri. Ti spiego cos'è, perché è molto più sicura di qualunque password, e come iniziare a usarla oggi.

Cos'è una passkey, in due frasi

Una passkey è una chiave crittografica generata e conservata sul tuo dispositivo (telefono, computer, tablet) al posto della password. Per usarla, sblocchi il dispositivo nel modo solito (Face ID, Touch ID, PIN), e il dispositivo dimostra automaticamente al sito che sei tu — senza che tu debba digitare niente.

Tradotto in pratica: al momento del login, invece di digitare email e password, il telefono ti chiede di confermare con il viso o l'impronta. Tutto qui.

Perché è molto più sicura di una password

Quattro motivi tecnici, in ordine di impatto:

1. Non c'è niente da rubare

Una password è una stringa di caratteri che esiste in due posti: nella tua testa (o nel tuo gestore) e nel database del sito. Se i criminali svaligiano il database del sito (succede ogni mese), si portano via la tua password.

Una passkey funziona in modo diverso. Sul tuo dispositivo c'è una chiave privata; sul server del sito c'è solo la chiave pubblica (matematicamente collegata alla privata, ma impossibile da invertire). Quando qualcuno svaligia il server, si porta via solo chiavi pubbliche, che da sole non valgono niente.

2. Non ti puoi far fregare con il phishing

Il phishing — quella mail finta della banca che ti porta a un sito clone — funziona perché tu inserisci la password sul sito sbagliato. Con le passkey questo è tecnicamente impossibile: la passkey è legata al dominio reale del sito (per esempio amazon.it), e il dispositivo si rifiuta automaticamente di usarla su un dominio diverso (amaz0n-secure.it). Anche se sei distratto, il sistema ti protegge.

3. Non puoi crearne una "debole"

Le passkey sono generate dal dispositivo con algoritmi crittografici robusti. Non esistono passkey "deboli" come "Marco1985!" o "qwerty123". Tutte sono complesse al massimo, sempre.

4. Non c'è niente da ricordare

Mai più "qual era la password di questo sito?". Sblocchi il dispositivo, sei dentro. Punto.

Come funziona davvero (in tre passaggi)

La parte tecnica, raccontata semplice:

  1. Quando ti registri a un servizio compatibile, il dispositivo genera due chiavi matematicamente collegate: una privata (resta sempre sul tuo dispositivo, non parte mai) e una pubblica (va al server del sito).
  2. Quando torni a fare login, il sito manda una "sfida" matematica al tuo dispositivo. Il dispositivo la "firma" usando la chiave privata, ma solo dopo che tu hai sbloccato il dispositivo (Face ID, impronta, PIN).
  3. Il sito verifica la firma con la chiave pubblica: corrisponde, sei dentro.

Tu vedi solo lo sblocco con biometria. Tutto il resto avviene in millisecondi, dietro le quinte.

Dove sono già disponibili (al 2026)

L'elenco cresce ogni mese. Tra i servizi consumer più usati, le passkey sono attive su:

  • Apple ID (iCloud, App Store)
  • Google Account (Gmail, YouTube, Drive)
  • Microsoft (Outlook, Xbox, Office)
  • Amazon (account principale)
  • PayPal
  • eBay
  • Adobe Creative Cloud
  • GitHub, GitLab
  • WhatsApp Web (per il login del sito web)
  • X (ex Twitter), TikTok, LinkedIn (su alcuni piani)
  • Best Buy, Target, Home Depot e diversi e-commerce

Ancora pochi nel 2026: la maggior parte delle banche italiane, alcuni servizi pubblici come SPID (che ha la sua autenticazione separata), molte testate giornalistiche minori. La copertura cresce, ma non è universale.

Come attivarle: i tre casi più comuni

Sul tuo Apple ID

Apri Impostazioni → Apple Account → Accesso e sicurezza. Da qui puoi gestire passkey legate ai servizi Apple e iCloud Keychain (che salva e sincronizza le passkey su tutti i tuoi dispositivi Apple).

Sul tuo account Google

Vai su myaccount.google.com → Sicurezza → Passkey. Puoi crearne una con un click. Da quel momento, il prossimo login a Google sarà solo Face ID o impronta.

Su un sito generico

Quando un sito le supporta, in fase di login o nelle impostazioni di sicurezza vedi un'opzione tipo "Aggiungi passkey" o "Login senza password". Clicchi, segui la procedura, il dispositivo memorizza la passkey. La prossima volta, login automatico con biometria.

E se cambio dispositivo? E se lo perdo?

Domanda legittima — la più frequente quando si introduce qualcuno alle passkey.

Le passkey moderne si sincronizzano via cloud tra tutti i tuoi dispositivi dello stesso ecosistema:

  • Su Apple: le passkey sono in iCloud Keychain. Le ritrovi su iPhone, iPad, Mac collegati allo stesso Apple ID.
  • Su Google: sono nel Google Password Manager. Le ritrovi su Android e su Chrome di qualsiasi computer dove sei loggato.
  • Su Microsoft / Windows: nelle credenziali Windows Hello, sincronizzate via account Microsoft.

Quindi se perdi il telefono, le passkey ci sono ancora — sull'iPad, sul Mac, sul vecchio iPhone, ovunque tu sia loggato con lo stesso ID. Quando recuperi un nuovo dispositivo dello stesso ecosistema e ti loggi con Apple ID/Google Account, le passkey tornano automaticamente.

Il caso difficile è il cambio di ecosistema (da Apple ad Android o viceversa): le passkey non si trasferiscono automaticamente. Stanno arrivando standard per la portabilità (FIDO Alliance), ma nel 2026 spesso devi reimpostarle.

Come integrare le passkey con un password manager

Se usi 1Password, Bitwarden, Dashlane o altri gestori di terze parti, anche loro supportano le passkey. Vantaggio: la passkey è cross-platform — la usi su iPhone, Android, Windows e Mac indifferentemente, senza dipendere da un singolo ecosistema.

Per chi ha dispositivi misti (iPhone + Windows, Android + Mac), un password manager è oggi la scelta più razionale: gestisce sia password che passkey con la stessa app, e funziona ovunque.

Devi disattivare le password vecchie?

No, non subito. Per ora le passkey si aggiungono agli account esistenti, non li sostituiscono completamente. Su molti servizi puoi avere entrambe attive: passkey come metodo principale, password come fallback per emergenze (es. da un computer pubblico dove non puoi sincronizzare).

Il consiglio pratico: quando un sito ti propone di attivare la passkey, accettalo. Tieni le password vecchie (con un password manager, idealmente) come backup. Quando le passkey saranno l'unico metodo accettato — succederà gradualmente nei prossimi anni — sarai già pronto.

I limiti veri (da conoscere prima di entusiasmarsi troppo)

Per onestà:

  • Non tutti i siti le supportano ancora. Per certi servizi importanti (alcune banche, INPS, Agenzia Entrate, certi e-commerce) sei ancora obbligato a usare password+OTP.
  • I dispositivi condivisi sono complicati. Se famiglia o conviventi usano lo stesso iPad, ognuno deve avere il proprio profilo.
  • Sui computer pubblici (biblioteca, internet point) non funzionano — è un bene per la sicurezza, ma se ti capita di doverti loggare lì serve la password classica come backup.
  • Il livello di adozione è disomogeneo: USA molto avanti, Italia in ritardo soprattutto sul mondo bancario e PA.

La morale

Le passkey sono davvero il futuro dell'autenticazione, non il prossimo trend tecnologico che svanisce in due anni. Apple, Google, Microsoft e i grandi e-commerce hanno deciso che è la strada — e gli incentivi tecnici (più sicurezza, meno costi, meno frodi) sono allineati con quelli economici.

Cosa fare oggi, in pratica: quando un servizio che usi ti propone di attivare la passkey, accetta. Sblocchi il telefono e sei dentro. Niente da ricordare, niente da dimenticare, niente da farsi rubare. Le password vivranno ancora per anni, ma il treno per liberartene è già partito. Salgi adesso.