Quando questo articolo fu pubblicato per la prima volta, l’idea di accedere a un account senza digitare una password sembrava ancora una prospettiva lontana. Google sperimentava la verifica in due passaggi e valutava sistemi biometrici basati su impronta digitale, volto e voce.
Oggi quella previsione si è realizzata, almeno in parte. Google non ha eliminato le password, ma dal 2023 propone le passkey come opzione predefinita per gli account personali, invitando gli utenti a utilizzarle quando il dispositivo è compatibile. Chi crea una passkey può accedere usando l’impronta digitale, il riconoscimento del volto oppure il PIN con cui sblocca il proprio dispositivo. La password rimane comunque disponibile come metodo alternativo.
La domanda, quindi, non è più se Google voglia superare le password. È capire come funzionano le passkey, perché sono considerate più sicure e quali problemi restano ancora da risolvere.
CHE COS’È UNA PASSKEY
Una passkey non è una password più lunga nascosta nello smartphone. È una credenziale digitale basata sulla crittografia a chiave pubblica.
Quando viene creata, il sistema genera due elementi collegati:
– una chiave pubblica, conservata dal sito o dal servizio;
– una chiave privata, custodita sul dispositivo dell’utente o nel suo gestore di credenziali.
Durante l’accesso, il servizio invia una richiesta crittografica al dispositivo. Dopo che l’utente ha confermato la propria identità tramite impronta, volto o PIN, il dispositivo firma la richiesta utilizzando la chiave privata.
La chiave privata non viene trasmessa al sito e non deve essere digitata o ricordata. Il riconoscimento biometrico serve soltanto a sbloccare localmente la passkey: Google specifica che i dati relativi al volto o all’impronta rimangono sul dispositivo e non vengono condivisi con i suoi server.
PERCHÉ LE PASSKEY PROTEGGONO MEGLIO DAL PHISHING
Con una password tradizionale, un sito contraffatto può convincere l’utente a digitare le proprie credenziali. Se la password viene intercettata, può essere riutilizzata immediatamente dall’aggressore.
Una passkey è invece collegata al sito per cui è stata creata. Il browser e il sistema operativo verificano che la richiesta provenga dal dominio corretto: una pagina di phishing che imita Google non può ottenere una risposta valida per accedere al vero account Google.
Le passkey eliminano anche alcuni problemi tipici delle password:
– non possono essere deboli o facili da indovinare;
– non vengono riutilizzate su servizi diversi;
– non devono essere comunicate o copiate;
– non vengono inserite manualmente in una pagina web.
NIST considera l’autenticazione crittografica legata al dominio resistente al phishing, perché impedisce a un sito impostore di catturare e riutilizzare la credenziale. Questo non significa, però, che le passkey rendano un account invulnerabile: non proteggono da malware, truffe finalizzate a rubare dati personali o procedure di recupero configurate male.
DALLA VERIFICA IN DUE PASSAGGI ALLE PASSKEY
Per anni Google ha puntato sulla verifica in due passaggi. Oltre alla password, l’utente doveva confermare l’accesso tramite smartphone, codice temporaneo, applicazione di autenticazione o chiave di sicurezza.
Questo sistema resta molto più sicuro dell’utilizzo della sola password, ma alcuni metodi, come i codici SMS e i codici temporanei digitati manualmente, possono ancora essere intercettati tramite phishing.
Nel maggio 2023 Google ha introdotto le passkey per gli account personali. Nell’ottobre dello stesso anno le ha rese l’opzione proposta per impostazione predefinita, attivando la preferenza “Salta la password quando è possibile” per chi crea una passkey.
Nel maggio 2024 l’azienda dichiarava che le passkey erano già state utilizzate più di un miliardo di volte su oltre 400 milioni di Account Google. Nel 2026 FIDO Alliance, l’organizzazione che sviluppa gli standard su cui si basano, ha stimato circa cinque miliardi di passkey attive nel mondo. Secondo la stessa ricerca, condotta su 11.000 consumatori in dieci Paesi, il 75% degli intervistati ne aveva attivata almeno una. Sono dati diffusi dall’organizzazione di settore, ma mostrano che questa tecnologia non è più riservata a pochi utenti esperti.
COME SI ACCEDE A GOOGLE CON UNA PASSKEY
Su uno smartphone o un computer personale, l’accesso è simile allo sblocco del dispositivo. Dopo aver inserito l’indirizzo email, Google può chiedere di utilizzare:
– l’impronta digitale;
– il riconoscimento del volto;
– il PIN o il codice di sblocco;
– una chiave di sicurezza fisica compatibile con FIDO2.
È possibile usare anche la passkey presente sullo smartphone per accedere da un altro computer. In questo caso compare un codice QR da scansionare con il telefono; il Bluetooth serve a verificare che i due dispositivi siano fisicamente vicini.
Google indica il supporto per Windows 10 o versioni successive, macOS Ventura, ChromeOS 109, Android 9, iOS 16 e per versioni moderne di Chrome, Safari, Edge e Firefox. Sistemi e browser devono comunque essere aggiornati.
LA PASSWORD NON È STATA ANCORA ELIMINATA
Il titolo originale di questo articolo poneva una domanda che oggi ha una risposta più precisa: Google sta riducendo il ruolo delle password, ma non le ha ancora eliminate.
Anche dopo aver creato una passkey, l’utente può scegliere “Prova un altro metodo” e utilizzare la password o un sistema alternativo. Nelle impostazioni dell’account è inoltre possibile disattivare “Salta la password quando è possibile” e tornare a visualizzare per prima la richiesta della password.
Per gli account Google Workspace la situazione può variare: l’amministratore dell’organizzazione può decidere se consentire l’accesso senza password oppure utilizzare la passkey soltanto come secondo fattore.
Per alcuni anni vecchi e nuovi sistemi continueranno quindi a convivere. Non tutti i dispositivi, i servizi e gli utenti sono già pronti per un ambiente completamente senza password.
COSA SUCCEDE SE PERDI LO SMARTPHONE
La passkey non è necessariamente legata a un unico telefono. Può essere sincronizzata in modo cifrato attraverso un gestore di credenziali oppure creata su più dispositivi e su una chiave di sicurezza fisica.
Se un dispositivo viene perso o rubato, la passkey associata può essere rimossa dalle impostazioni dell’Account Google utilizzando un altro dispositivo autorizzato. È comunque importante mantenere aggiornati email e numero di recupero e predisporre almeno un metodo alternativo di accesso.
Google avverte inoltre di non creare passkey su computer o smartphone condivisi: chiunque riesca a sbloccare quel dispositivo potrebbe accedere all’account. La passkey protegge dal furto remoto delle credenziali, ma non sostituisce un buon PIN, gli aggiornamenti di sicurezza e la protezione fisica del dispositivo.
COME ATTIVARE UNA PASSKEY SULL’ACCOUNT GOOGLE
Per creare una passkey:
1. accedi al tuo Account Google;
2. apri la sezione Sicurezza e accesso;
3. seleziona Passkey e token di sicurezza;
4. scegli Crea una passkey;
5. conferma l’operazione sbloccando il dispositivo.
Dopo la creazione, nella stessa sezione puoi controllare quali dispositivi possiedono una passkey e rimuovere quelli che non utilizzi più. La funzione va attivata soltanto sui dispositivi personali.
I LIMITI DELLE PASSKEY
L’esperienza è diventata più semplice, ma non è sempre uniforme. Il passaggio tra dispositivi, sistemi operativi e gestori di credenziali differenti può creare confusione, soprattutto quando l’utente non ricorda dove sia stata memorizzata la passkey.
Anche il recupero dell’account resta un punto delicato. Rendere il login resistente al phishing serve a poco se un aggressore può aggirarlo sfruttando una procedura di recupero debole. FIDO Alliance descrive infatti il passaggio a un ambiente realmente resistente al phishing come un percorso che deve proteggere non soltanto l’accesso, ma anche registrazione, recupero e modifica delle credenziali.
Esiste infine un problema di comprensione. Molte persone associano la passkey esclusivamente all’impronta digitale e temono che il dato biometrico venga inviato al servizio online. In realtà volto, impronta o PIN servono a sbloccare la chiave privata sul dispositivo; al sito arriva soltanto una risposta crittografica.
GOOGLE ABBANDONERÀ DAVVERO LE PASSWORD?
La direzione è chiara: Google considera le passkey un’alternativa più semplice e resistente al phishing e le propone come prima scelta agli utenti che dispongono di dispositivi compatibili. Nel 2026, però, parlare di completa scomparsa delle password sarebbe ancora prematuro.
Per qualche tempo i due sistemi continueranno a convivere. Le passkey diventeranno più comuni, mentre le password resteranno disponibili nei servizi meno aggiornati, sui dispositivi incompatibili e nelle procedure di recupero.
Il cambiamento più importante è già avvenuto: per dimostrare chi siamo non dobbiamo necessariamente ricordare e digitare un segreto. Possiamo utilizzare una credenziale crittografica conservata sul nostro dispositivo, più difficile da sottrarre e molto meno vulnerabile al phishing.
DOMANDE FREQUENTI
Una passkey è uguale a un’impronta digitale?
No. L’impronta, il volto o il PIN servono soltanto a sbloccare la passkey presente sul dispositivo. I dati biometrici non vengono inviati a Google.
Posso continuare a usare la password di Google?
Sì. Anche dopo aver creato una passkey, la password rimane disponibile come metodo alternativo. È inoltre possibile disattivare l’opzione “Salta la password quando è possibile”.
Le passkey sostituiscono la verifica in due passaggi?
Per l’Account Google, una passkey può sostituire sia la password sia il secondo passaggio, perché dimostra il possesso del dispositivo e richiede il suo sblocco. La configurazione può essere diversa negli account Workspace.
Cosa devo fare se perdo il dispositivo con la passkey?
Accedi all’Account Google da un altro dispositivo autorizzato, rimuovi la passkey associata al dispositivo perso e verifica che email e numero di recupero siano aggiornati.
Le passkey funzionano su iPhone e Windows?
Sì. Google supporta le passkey sui principali sistemi operativi e browser moderni, compresi Android, iOS, Windows, macOS e ChromeOS.
