Passkey, cosa sono: le passkey sono credenziali di accesso senza password, basate su crittografia a chiave pubblica, che si sbloccano con impronta digitale, volto o PIN del dispositivo. Nascono per eliminare il punto debole di quasi tutti i sistemi, le password, che si dimenticano, si riutilizzano e si consegnano ai siti falsi. Il 2026 è l’anno in cui le grandi piattaforme stanno accelerando, a partire da Microsoft.
Come funzionano le passkey?
Una passkey è una credenziale di accesso senza password, basata su crittografia a chiave pubblica e sugli standard FIDO. In pratica:
- viene creata sul tuo dispositivo (telefono, computer, chiave di sicurezza) per uno specifico sito o app;
- si sblocca con impronta digitale, riconoscimento del volto o PIN;
- funziona solo sul dominio corretto: su un sito clone semplicemente non si attiva;
- il sito conserva solo la parte pubblica della chiave, inutile per un attaccante.
Perché le passkey sono più sicure delle password?
Sono più sicure perché non c’è nulla da rubare né da consegnare a un sito falso:
| Aspetto | Password | Passkey |
|---|---|---|
| Cosa può essere rubato | La password, da un database violato | Niente di utile: il sito ha solo la chiave pubblica |
| Riutilizzo su più siti | Frequente | Impossibile: ogni passkey vale per un solo sito |
| Pagina di login falsa | Può ricevere la password | Non riceve la passkey |
| Come si accede | Da ricordare e digitare | Un tocco, con impronta, volto o PIN |
Passkey Microsoft: il calendario di Entra ID
Microsoft ha annunciato un passo che accelera il cambiamento per milioni di aziende che usano Entra ID (l’ex Azure Active Directory) per gli accessi a Microsoft 365 e ad altri servizi:
- 1° settembre 2026: le passkey diventano il metodo di autenticazione predefinito. Chi usa ancora SMS o chiamata come secondo fattore viene invitato a registrare una passkey.
- 30 ottobre 2026: le organizzazioni che vogliono mantenere SMS e voce devono scegliere un provider telefonico compatibile, a proprio carico.
- 1° febbraio 2027: Microsoft smette di fornire direttamente l’invio di SMS e chiamate in Entra ID.
La motivazione dichiarata è il phishing potenziato dall’AI: campagne sempre più credibili e pagine di login indistinguibili da quelle vere. I codici SMS si possono intercettare o consegnare a un sito falso; le passkey no. Lo stesso tipo di inganno sfrutta oggi anche la voce, come spieghiamo in truffe con voce clonata dall’AI.
Dove conviene attivare le passkey subito?
Conviene partire dagli account che aprono la porta a tutti gli altri:
- Email aziendale, che è la chiave di tutti gli altri account.
- Gestionali e servizi cloud.
- Pannelli di amministrazione di siti ed e-commerce.
- Home banking e piattaforme di pagamento, dove disponibili.
Per le aziende che forniscono servizi a soggetti NIS2, accessi protetti di questo tipo sono anche una delle garanzie più semplici da dimostrare: ne parliamo in NIS2, scadenza di ottobre 2026.
Come si crea una passkey?
Si crea dalle impostazioni di sicurezza dell’account, dove il servizio la supporta. Il percorso è quasi sempre lo stesso:
- apri la sezione sicurezza o accesso dell’account;
- scegli l’opzione per aggiungere una passkey;
- conferma con impronta, volto o PIN del dispositivo.
Conviene registrare una seconda passkey su un altro dispositivo, o tenere attivo un metodo di recupero, per non restare chiusi fuori se si perde il telefono.
Le passkey servono anche ai clienti del tuo sito?
Sì, dove ci sono account. Aree riservate, account di acquisto e portali clienti possono offrire l’accesso con passkey. I vantaggi sono concreti: meno account compromessi, meno richieste di “ho dimenticato la password”, meno abbandoni al login, che spesso coincidono con abbandoni al checkout. Ne parliamo anche in carrello abbandonato: cause e soluzioni.
In sintesi
Le passkey non sono un esperimento: sono il nuovo standard di accesso, e conviene adottarle prima che diventino obbligatorie. Insieme ad aggiornamenti e backup sono una delle basi della sicurezza descritte nel Rapporto Clusit 2026. Tech To Business, web agency di Catanzaro, realizza siti e aree riservate con accessi sicuri per attività in Calabria: trovi come lavoriamo nella pagina realizzazione siti web a Catanzaro.