Passkey: il 2026 è l'anno dell'addio alle password?

Cosa sono le passkey?

Le passkey sono credenziali crittografiche che sostituiscono la password: al posto di una parola segreta da ricordare, il tuo dispositivo custodisce una chiave privata che nessuno può rubare o intercettare, e la sblocchi con l'impronta, il volto o il PIN. Sono la promessa dietro il titolo di questo articolo: il 2026 è davvero l'anno in cui possiamo iniziare a immaginare la fine delle password.

Tecnicamente le passkey si basano sugli standard FIDO2 e WebAuthn, definiti dalla FIDO Alliance insieme al W3C. Il meccanismo è la crittografia a chiave pubblica: quando ti registri su un sito, il dispositivo genera una coppia di chiavi. La chiave pubblica resta sul server del servizio, la chiave privata non lascia mai il tuo dispositivo. Al login il sito invia una sfida, il dispositivo la firma con la chiave privata sbloccata dalla biometria, il server verifica la firma con la chiave pubblica. Nessun segreto condiviso viaggia sulla rete.

La differenza con la password è enorme. La password è un segreto che tu conosci e che il server memorizza: se il server viene bucato, quel segreto finisce in mano a qualcun altro. La passkey non è un segreto condiviso: sul server c'è solo la chiave pubblica, che da sola non serve a nulla. Non a caso avevamo spiegato che la password del tuo sito è già in vendita sul dark web e costa 3 euro: con le passkey quel problema non esiste, perché non c'è nulla da vendere.

Perché Apple, Google e Microsoft spingono le passkey?

Apple, Google e Microsoft spingono le passkey perché la password è ormai il punto più debole della sicurezza digitale, e le passkey la eliminano alla radice sincronizzandosi automaticamente tra i dispositivi dell'utente.

Le tre piattaforme hanno integrato il supporto alle passkey nei sistemi operativi e nei browser, rendendole disponibili a miliardi di utenti senza installare nulla. La chiave privata viene salvata in modo cifrato nel portachiavi dell'ecosistema — iCloud Keychain, Google Password Manager, Windows Hello — e sincronizzata su tutti i dispositivi: chi cambia telefono ritrova le proprie passkey senza ricordare nulla. Gli standard prevedono anche l'uso cross-device: puoi accedere da un computer non tuo autenticandoti con il telefono tramite un QR code.

Le ragioni della spinta sono tre, molto concrete:

• Sicurezza: eliminano phishing, riuso delle password e furti di credenziali dai database, cause della maggior parte delle violazioni.
• Esperienza d'uso: accedere con l'impronta o il volto è più veloce che digitare una password e attendere un codice SMS.
• Costi: meno reset password significa meno chiamate all'assistenza, quindi più conversioni e meno abbandoni.

La convergenza di tre concorrenti storici sullo stesso standard aperto è il segnale più affidabile che la direzione è quella: non è la scommessa di un vendor, è un'infrastruttura condivisa.

Le passkey sono davvero a prova di phishing?

Sì: le passkey sono resistenti al phishing per costruzione, perché non c'è nessun segreto che l'utente possa digitare su un sito falso o consegnare a un truffatore.

Il phishing tradizionale funziona così: ti arriva un'email che imita la tua banca, clicchi, digiti utente e password su una pagina clone, e i tuoi dati finiscono all'aggressore. Con le passkey questo attacco non ha presa. Primo: non c'è nulla da digitare, la chiave privata non lascia il dispositivo. Secondo, più importante: la passkey è legata crittograficamente al dominio per cui è stata creata. Una passkey per banca-vera.it non si attiva su banca-vera-login.net, perché il dominio non corrisponde. L'errore umano esce dall'equazione.

Questo chiude uno dei vettori d'attacco più sfruttati di sempre. Basta ripercorrere la nostra rassegna sulle 10 peggiori violazioni di dati dal 2015 a oggi per notare quante partono da credenziali rubate, riusate o carpite con l'inganno. Le passkey neutralizzano intere categorie di rischio: credential stuffing, phishing e furto di massa dalle basi dati, perché sul server c'è solo la chiave pubblica, inutile da sola.

Cosa cambia per un sito o un portale aziendale?

Abilitare il login con passkey sul tuo sito, portale o e-commerce significa offrire un accesso più veloce e sicuro, con un impatto diretto e misurabile su conversioni, costi di assistenza e rischio di frodi.

Sul fronte del business i vantaggi sono tangibili:

• Più conversioni: meno attriti al login e alla registrazione, meno carrelli abbandonati e meno account mai completati.
• Meno reset password: la voce "password dimenticata" è tra le più costose dell'assistenza; le passkey la riducono drasticamente.
• Meno credential stuffing: gli attacchi automatizzati che provano milioni di combinazioni rubate altrove smettono di funzionare.
• Meno frodi: un accesso legato al dispositivo e alla biometria è molto più difficile da compromettere.

C'è poi il fronte interno, spesso trascurato: gli account aziendali. Adottare le passkey per gestionali, portali e servizi cloud usati dai dipendenti abbatte il rischio che una singola password rubata apra la porta all'intera azienda. È lo stesso principio di igiene digitale che rende un'organizzazione più resiliente e più in linea con la normativa: chi si è confrontato con la direttiva NIS2 sa che l'autenticazione forte e resistente al phishing non è più un'opzione, ma un'aspettativa concreta per molte imprese della catena di fornitura.

Le passkey sostituiranno del tutto le password?

Non subito: nel 2026 le passkey convivranno ancora con password e MFA, e la strategia giusta per un'azienda è affiancarle come opzione preferita, non imporle dall'oggi al domani.

I limiti attuali vanno conosciuti per gestirli. La sincronizzazione è comoda ma legata all'ecosistema, e il passaggio tra Apple, Google e Microsoft non è ancora fluidissimo. C'è poi il recupero: se perdi tutti i dispositivi servono meccanismi di ripristino ben progettati, perché non esiste una "password dimenticata" da reimpostare. Infine, non tutti gli utenti e i dispositivi più vecchi sono pronti: serve un percorso graduale.

Per questo la parola chiave della transizione è coesistenza. Le passkey si aggiungono ai metodi esistenti come opzione più sicura, mentre password e MFA restano come rete di sicurezza. L'obiettivo non è spegnere le password domani, ma renderle secondarie, facendo della passkey l'opzione predefinita.

Come adotta le passkey una PMI, in pratica?

Una PMI adotta le passkey con un percorso graduale: prima le offre come metodo aggiuntivo accanto alla password, poi le rende opzione predefinita, infine riduce la dipendenza dalle password dove ha senso.

• Verifica tecnica: controlla che il tuo sito, e-commerce o portale usi un sistema di autenticazione che supporta WebAuthn/FIDO2 (molte piattaforme moderne e i principali provider di identità lo offrono già).
• Affiancamento: attiva la passkey come metodo aggiuntivo, senza rimuovere subito la password. L'utente prova, si fida, adotta.
• Recupero robusto: progetta bene il ripristino dell'accesso (più dispositivi registrati, canali di recupero verificati) prima di spingere l'adozione.
• Interno prima o insieme: introduci le passkey per gli account aziendali dei dipendenti, dove il perimetro è controllato e il beneficio è immediato.
• Comunicazione: spiega ai clienti cos'è una passkey e perché è più sicura e comoda; l'adozione cresce con la fiducia.
• Misura e allarga: monitora adozione, reset password e abbandoni al login, e rendi la passkey l'opzione predefinita quando i numeri lo giustificano.

Come per ogni cambiamento digitale, l'errore da evitare è il salto brusco: si parte da un perimetro controllato, si misura, si allarga.

In sintesi

Le passkey sono credenziali crittografiche basate sugli standard FIDO2 e WebAuthn che sostituiscono la password: la chiave privata resta sul dispositivo dell'utente, sbloccata dalla biometria, mentre sul server c'è solo la chiave pubblica, inutile da rubare. Sono resistenti al phishing per costruzione, perché legate al dominio corretto e prive di segreti da digitare, e neutralizzano credential stuffing e furti di massa dalle basi dati. Apple, Google e Microsoft le hanno integrate nei loro sistemi con sincronizzazione automatica tra dispositivi. Per un'azienda abilitarle su sito o portale significa più conversioni, meno reset password e meno frodi; all'interno riducono il rischio che una credenziale rubata comprometta l'intera organizzazione. Nel 2026 non sostituiscono ancora del tutto le password: convivono con password e MFA in una fase di transizione. Il percorso giusto per una PMI è graduale — offrirle come metodo aggiuntivo, curare il recupero, poi renderle l'opzione predefinita.

In A126 aiutiamo le imprese a introdurre l'accesso con passkey su siti, e-commerce e portali clienti e ad adottare l'autenticazione resistente al phishing per gli account aziendali, con un percorso graduale che convive con i metodi esistenti e riduce reset, abbandoni e rischio di violazioni. Se vuoi capire come portare le passkey nella tua azienda senza rompere nulla, contattaci per una consulenza gratuita.

A126 Corporate Advisors — la sicurezza che semplifica, non complica.