Passkey vs Password: 5 Miliardi di Chiavi FIDO [2026]

Il 7 maggio 2026, in occasione del World Passkey Day, la FIDO Alliance ha annunciato di aver superato i 5 miliardi di passkey attive a livello globale. È un numero enorme, eppure in Italia la maggior parte degli utenti continua a digitare una password e poi un codice ricevuto via SMS o generato da un’app. La domanda che si pongono in molti, dagli utenti privati ai reparti IT delle PMI, è semplice: conviene passare alle passkey adesso, oppure password più autenticazione a due fattori restano la scelta più pratica?

Non è una domanda accademica. Ogni settimana leggiamo di violazioni nate da una password riusata o rubata con un sito clone, mentre le normative europee spingono sempre più aziende verso l’autenticazione forte. In questo confronto mettiamo a fianco i due approcci con dati di adozione, prezzi reali, casi d’uso concreti ed esempi di violazioni che una passkey avrebbe potuto evitare. Chiudiamo con una guida passo passo per chi vuole iniziare la migrazione senza stravolgere tutto in un giorno.

Vale la pena chiarire subito un equivoco comune: passkey e “autenticazione a due fattori” non sono la stessa cosa, anche se risolvono un problema simile. Il 2FA aggiunge un secondo controllo sopra una password che resta comunque il primo fattore, debole per definizione. Una passkey elimina del tutto quel primo fattore debole, sostituendolo con una prova crittografica legata al dispositivo fisico dell’utente. È una differenza che nel confronto seguente farà la differenza tra un sito ancora vulnerabile al phishing e uno che non lo è più.

Cos’è una passkey e come funziona davvero

Una passkey è una credenziale basata sullo standard FIDO2/WebAuthn. Al posto di una stringa di caratteri che l’utente deve ricordare, il dispositivo genera una coppia di chiavi crittografiche: quella privata resta sul telefono, sul PC o su una chiave hardware, quella pubblica viene registrata sul server del sito. Al momento del login il browser chiede una firma digitale, il dispositivo la produce dopo aver verificato l’utente con impronta, volto o PIN, e il sito la controlla. Nessun segreto condiviso viaggia in rete, quindi non esiste nulla che un sito di phishing possa rubare e riutilizzare altrove.

La differenza pratica salta all’occhio al primo utilizzo. Invece del classico modulo con campo username e campo password, il browser mostra un prompt nativo del sistema operativo che chiede di confermare l’identità con lo sblocco che l’utente già usa decine di volte al giorno: Face ID su iPhone, l’impronta su Android, Windows Hello sul PC. Non c’è nulla da digitare, nulla da copiare da un’app separata, nulla da dimenticare. Per chi gestisce dozzine di account, questo significa anche la fine della corsa a inventare password sempre diverse e sempre più complesse solo per soddisfare i requisiti minimi dei form di registrazione.

Passkey sincronizzate contro passkey vincolate al dispositivo

Esistono due varianti. Le passkey sincronizzate vivono in un portachiavi cloud, come iCloud Keychain di Apple o Google Password Manager, e si copiano automaticamente su tutti i dispositivi collegati allo stesso account. Le passkey vincolate al dispositivo, tipiche delle chiavi hardware YubiKey, restano fisicamente su un solo oggetto e non si sincronizzano mai. Le prime sono più comode per l’utente medio, le seconde offrono una superficie di attacco ancora più ridotta e sono la scelta consigliata per account con privilegi elevati.

Password più 2FA tradizionale: il modello che conosciamo

Il modello classico chiede all’utente di ricordare (o salvare in un password manager) una stringa segreta, poi di confermare l’identità con un secondo fattore: un codice SMS, un codice generato da un’app come Google Authenticator o Microsoft Authenticator, oppure una notifica push. Funziona su qualsiasi dispositivo con una tastiera e non richiede hardware biometrico. Il problema è che la password resta un segreto condiviso: se un utente la riusa su più siti, o se cade in una pagina di phishing che imita l’originale, sia la password sia l’eventuale codice OTP finiscono nelle mani dell’attaccante. Il nostro approfondimento su Google Authenticator, Microsoft Authenticator e Authy entra nel dettaglio delle differenze tra le app OTP più diffuse.

Le app authenticator basate su TOTP restano comunque un netto passo avanti rispetto all’SMS: generano il codice localmente sul dispositivo, senza passare dalla rete telefonica, e quindi non sono esposte al SIM swap. Il limite resta la fase di inserimento: l’utente digita comunque il codice su un modulo web, e un sito di phishing sufficientemente convincente può catturarlo in tempo reale e usarlo prima che scada, di solito entro 30 secondi. È il motivo per cui il settore distingue oggi tra autenticatori “phishing-resistant”, come le passkey, e autenticatori semplicemente “più forti della password da sola”, come TOTP e push notification.

Il National Institute of Standards and Technology ha aggiornato le proprie linee guida sull’identità digitale con l’SP 800-63-4, pubblicato a luglio 2025, indicando gli autenticatori resistenti al phishing, cioè quelli basati su FIDO2/WebAuthn, come riferimento per l’autenticazione ad alta garanzia. Le password con SMS restano ammesse, ma non più come standard raccomandato per gli scenari a rischio elevato.

Passkey vs password: la tabella comparativa

Ecco un confronto diretto tra i due approcci su dodici parametri chiave, utile per capire dove ciascuno vince e dove perde terreno.

Parametro	Passkey (FIDO2/WebAuthn)	Password + 2FA tradizionale
Segreto condiviso in rete	Nessuno, solo firme crittografiche	Sì, password e spesso anche codice OTP
Resistenza al phishing	Alta, la chiave è vincolata al dominio	Bassa, i proxy di phishing in tempo reale intercettano password e OTP
Rischio credential stuffing	Praticamente nullo	Alto se la password è riusata su più siti
Vulnerabilità SIM swap	Non applicabile	Alta per il 2FA via SMS
Cosa deve ricordare l’utente	Nulla, solo sbloccare il dispositivo	La password (o affidarsi a un password manager)
Recupero in caso di perdita del dispositivo	Richiede un dispositivo di backup o passkey su più device	Reset password via email, più familiare ma anch’esso attaccabile
Compatibilità con siti esistenti	Solo su siti che hanno integrato WebAuthn	Universale, funziona quasi ovunque
Costo diretto per l’utente	Zero se si usa il portachiavi del sistema operativo	Zero, ma costi indiretti per SMS a carico dell’azienda
Velocità di accesso	Un tocco biometrico, pochi secondi	Digitazione password più attesa del codice OTP
Sincronizzazione multi-dispositivo	Automatica con iCloud Keychain, Google Password Manager o gestori come Bitwarden	Manuale, ogni app OTP va configurata a parte su ogni dispositivo
Standard di riferimento	FIDO2, WebAuthn, CTAP2	RFC 6238 (TOTP), SMS via rete telefonica
Raccomandazione NIST/FIDO 2026	Preferita per autenticazione ad alta garanzia	Accettata come base minima, non più raccomandata da sola

Sicurezza a confronto: phishing, data breach e furto di credenziali

La differenza di sicurezza tra i due modelli non è teorica. Una password, per quanto lunga, resta un dato che l’utente digita e che un sito clone può catturare insieme al codice OTP, in tempo reale, tramite un proxy di phishing (un attacco noto come adversary-in-the-middle). Con una passkey questo scenario non esiste: la firma crittografica generata dal dispositivo è valida solo per il dominio esatto che l’ha richiesta, quindi un sito clone su un dominio diverso non riceve nulla di utilizzabile.

Il nostro archivio interno racconta bene la scala del problema lato password: l’articolo sui 16 miliardi di credenziali esposte nel leak più grande della storia mostra quanto sia diffuso il riuso di password tra servizi diversi, la causa numero uno del credential stuffing. Le passkey, per costruzione, eliminano questo vettore: non esiste una passkey da riusare, perché ogni coppia di chiavi è generata per un singolo sito.

Resta un punto a favore del modello classico: la sua superficie di attacco è ben conosciuta da vent’anni, i team di sicurezza sanno come rilevare tentativi di credential stuffing e impostare rate limiting. Le passkey spostano il rischio altrove, verso la sicurezza dell’account cloud che sincronizza le chiavi (Apple ID, Account Google, Microsoft Entra ID). Se quell’account viene compromesso, l’attaccante eredita l’accesso a tutte le passkey sincronizzate, un motivo in più per proteggere l’account principale con un fattore forte come una chiave hardware.

C’è poi un attacco che le passkey neutralizzano quasi per definizione: la MFA fatigue, nota anche come push bombing. L’attaccante che possiede già una password rubata prova ad accedere ripetutamente, inondando il telefono della vittima di notifiche push di conferma, nella speranza che l’utente ne approvi una per stanchezza o distrazione. Senza una password valida da inserire come primo passo, questo tipo di attacco perde semplicemente il suo punto di partenza. Lo stesso vale per gli attacchi di SIM swap contro il 2FA via SMS: un vettore che continua a colpire soprattutto chi usa l’SMS come unico secondo fattore su conti bancari e crypto exchange.

Casi reali: quando la password ha fallito

I numeri astratti convincono meno delle storie concrete. Nel 2026 diversi incidenti pubblicati sulle nostre pagine mostrano bene cosa succede quando un’organizzazione si affida solo a password e OTP. La violazione di Rockstar Games, con 78,6 milioni di record esposti, e quella di Coinbase, che ha coinvolto 69.461 clienti con un costo stimato fino a 400 milioni di dollari, condividono un tratto comune: l’accesso iniziale degli attaccanti passa quasi sempre da credenziali rubate, comprate sul mercato nero o riusate da un altro sito violato.

Il report Unit 42 2026 di Palo Alto Networks conferma la tendenza a livello di settore: l’89% delle violazioni analizzate nel campione coinvolge in qualche modo l’identità digitale, non un malware sofisticato o un exploit zero-day. Con una passkey, buona parte di questi scenari non si presenta nemmeno: senza un segreto condiviso da rubare o rivendere, il mercato nero delle credenziali perde gran parte del suo valore. È lo stesso motivo per cui, nel nostro pezzo sui 16 miliardi di credenziali esposte, la raccomandazione principale resta smettere di riusare le password, in attesa che sempre più servizi offrano un’alternativa senza password del tutto.

In Europa il passaggio a metodi di autenticazione più solidi non è solo una questione di buon senso tecnico, è sempre più anche una questione normativa. Il nostro approfondimento sulle sanzioni GDPR 2026 mostra un totale di 7,1 miliardi di euro di multe comminate in Europa, con 443 violazioni segnalate ogni giorno in media: un contesto in cui dimostrare di aver adottato controlli di accesso adeguati allo stato dell’arte pesa parecchio in caso di ispezione.

La direttiva NIS2, che in Italia riguarda già circa 12.000 aziende con sanzioni fino a 10 milioni di euro, richiede esplicitamente misure di gestione del rischio che includono l’autenticazione a più fattori per i settori critici. Le passkey, essendo native FIDO2/WebAuthn e quindi resistenti al phishing per costruzione, si allineano meglio ai requisiti “state of the art” richiesti dal regolatore rispetto a un semplice SMS OTP, che resta accettato ma sempre più segnalato come insufficiente da solo negli audit di conformità.

Benchmark e dati di adozione: i numeri del 2026

Tre fonti indipendenti aiutano a capire quanto le passkey si siano diffuse davvero. Il primo è il report State of Passkeys 2026 della FIDO Alliance, che segnala il 90% dei consumatori a livello globale a conoscenza delle passkey, il 75% che ne ha attivata almeno una e il 68% delle organizzazioni che le sta implementando o pilotando per l’accesso dei dipendenti.

Il secondo è il Passkey Index 2025, che misura dati reali raccolti presso grandi piattaforme come Amazon, Google, Microsoft, PayPal e TikTok: in media il 93% degli account risulta idoneo alle passkey, ma solo il 36% le ha effettivamente attivate e appena il 26% degli accessi le utilizza davvero. Il divario tra disponibilità e uso quotidiano resta ampio.

Il terzo dato viene dal tracker indipendente state-of-passkeys.io, che nel trimestre gennaio-marzo 2026 rileva come il 100% dei browser Windows principali sia compatibile con WebAuthn, l’88-89% risulti “passkey-ready” e il 74-76% supporti passkey sincronizzate. Sul lato dei siti, la stessa fonte stima che solo l’11,3% dei siti scansionati complessivamente offra il login con passkey, anche se tra i primi 1.000 siti più visitati la quota sale al 20-25%. L’adozione utente sui grandi servizi passa da un 12-15% nel 2025 a un 15-20% nel 2026: cresce, ma non esplode.

Il dato forse più interessante per chi lavora in un reparto IT riguarda i benefici lato supporto tecnico. Le organizzazioni che hanno completato un rollout di passkey riportano meno ticket legati al reset password e tassi di successo del login più alti, secondo i dati raccolti dalla FIDO Alliance tra le aziende che hanno già distribuito lo standard ai propri dipendenti. Non è un dettaglio da poco: ogni reset password gestito da un help desk costa tempo e denaro, mentre un login con passkey che fallisce raramente riduce il carico di lavoro senza bisogno di nuovo personale.

Prezzi e costi: consumer, aziende e hardware

Per la maggior parte degli utenti privati le passkey non costano nulla: sono incluse nel sistema operativo del telefono o del computer. Il discorso cambia per le aziende che vogliono gestire passkey e password manager in modo centralizzato, o per chi vuole una chiave hardware fisica. Ecco i prezzi ufficiali attualmente in vigore.

Soluzione	Categoria	Prezzo	Fonte
Passkey native (Apple, Google, Microsoft)	Consumer, incluso nel sistema operativo	0 €	Google Identity
Bitwarden Premium	Password manager con sync passkey	19,80 $/anno (1,65 $/mese)	Bitwarden
Bitwarden Enterprise	Gestione aziendale password/passkey	6 $/utente/mese	Bitwarden
1Password Individual	Password manager con passkey	3,99 $/mese (dopo l’aumento di marzo 2026)	1Password
1Password Business	Gestione aziendale	8,99 $/utente/mese	1Password
YubiKey 5 NFC	Chiave hardware FIDO2	70,18 € (IVA inclusa)	Yubico
YubiKey 5Ci	Chiave hardware Lightning + USB-C	102,85 € (IVA inclusa)	Yubico
Microsoft Entra ID P1	IAM aziendale con supporto FIDO2/passkey	7 $/utente/mese, fatturazione annuale	Microsoft Learn
Microsoft Entra ID P2	IAM avanzato	10 $/utente/mese, fatturazione annuale	Microsoft Learn
SMS OTP tradizionale	2FA via rete telefonica	Nessun costo diretto per l’utente, costo per SMS a carico dell’azienda	–

Il modello di costo racconta una storia chiara: le passkey spostano la spesa dall’operativo (SMS da inviare ogni giorno) all’infrastruttura (licenze IAM o chiavi hardware una tantum). Per un’azienda con migliaia di dipendenti, eliminare i costi ricorrenti degli SMS OTP può bilanciare rapidamente l’investimento in licenze Entra ID o Bitwarden Enterprise. Chi confronta i gestori di password può leggere anche il nostro test tra Proton Pass e 1Password, entrambi ormai compatibili con le passkey.

Chi supporta già le passkey: esempi reali

Il supporto alle passkey non è più un esperimento di nicchia. Ecco sei esempi concreti di piattaforme che i lettori italiani usano ogni giorno.

Apple ID: le passkey sono integrate in iCloud Keychain dal 2022 e gestite tramite l’app Password su iPhone, iPad e Mac, con sblocco tramite Face ID o Touch ID che sostituisce la password su ogni servizio Apple, dall’App Store a iCloud Drive.
Account Google: supporto completo dal 2023 per Gmail, Drive, YouTube e Google Cloud, con sincronizzazione tramite Google Password Manager e possibilità di usare la passkey anche per accedere a servizi di terze parti che si affidano al login Google.
Microsoft: gli account personali supportano le passkey dal 2023, mentre le aziende possono distribuirle tramite Windows Hello ed Entra ID, con criteri di accesso condizionale che possono richiedere la passkey solo per determinati ruoli o applicazioni sensibili.
GitHub: consente sia passkey sincronizzate sia vincolate al dispositivo, raccomandandole esplicitamente agli sviluppatori al posto delle app OTP, un dettaglio importante per chi gestisce repository con codice di produzione o segreti aziendali.
PayPal: tra i primi grandi player finanziari ad attivare il login con passkey, disponibile dal 2023, un segnale precoce di quanto il settore dei pagamenti consideri prioritaria la resistenza al phishing.
Amazon: le passkey sono disponibili come alternativa alla password su tutti gli account consumer, insieme a eBay e altri grandi retailer, riducendo il rischio di frodi legate ad account compromessi durante i picchi di acquisto stagionali.

Sul fronte social e produttività, X, Facebook, Instagram, TikTok, Reddit, Slack, Zoom, Salesforce, Atlassian e Notion hanno tutti lanciato un supporto passkey utilizzabile in produzione entro la metà del 2026. LinkedIn è in fase di rollout più limitato. Nel settore bancario, la maggior parte dei grandi istituti in Nord America, Regno Unito e Unione Europea affianca ormai le passkey ai flussi di accesso tramite app già esistenti.

Ecosistemi a confronto: Apple, Google, Microsoft e i gestori indipendenti

Chi vive dentro un solo ecosistema ha vita facile. Chi mescola un iPhone con un PC Windows, o un Android con un Mac, deve capire dove “vivono” davvero le sue passkey. Questo è probabilmente il punto di maggiore attrito per l’utente medio nel 2026: la tecnologia sottostante è la stessa ovunque, ma l’esperienza cambia parecchio a seconda di dove viene creata la prima passkey e di quale portachiavi la sincronizza.

I tre grandi portachiavi nativi

iCloud Keychain di Apple sincronizza le passkey tra tutti i dispositivi collegati allo stesso Apple ID, con l’app Password introdotta per renderle visibili e gestibili anche fuori da Safari. Google Password Manager fa lo stesso su Android e Chrome, con sincronizzazione legata all’Account Google. Windows Hello copre il lato Microsoft, mentre Entra ID gestisce la distribuzione delle passkey a livello aziendale. Nel 2025 l’autenticazione cross-device, cioè l’uso di un telefono per sbloccare il login su un PC diverso tramite QR code o Bluetooth, è diventata finalmente affidabile su larga scala, dopo anni di implementazioni incoerenti tra browser.

I gestori di password indipendenti

Bitwarden e 1Password hanno risolto il problema del lock-in: entrambi funzionano come “identity provider” cross-piattaforma, salvando le passkey nello stesso vault dove già custodiscono le password e permettendo di usarle su qualsiasi sistema operativo, senza dover scegliere tra l’ecosistema Apple e quello Google. Per chi gestisce dozzine di account su dispositivi diversi resta probabilmente la soluzione più pratica nel 2026, ed è il motivo per cui li consigliamo spesso nei nostri confronti tra Bitwarden e KeePassXC.

Limiti pratici del cross-device

Nonostante i progressi del 2025, il flusso cross-device non è ancora perfetto. Un utente con un iPhone che deve accedere da un PC Windows in un internet point, o da un computer aziendale su cui non può installare app, deve inquadrare un QR code e completare un handshake Bluetooth tra i due dispositivi. Funziona, ma richiede più passaggi di quanto ci si aspetterebbe, e non tutti i siti implementano correttamente il flusso raccomandato dallo standard. Chi lavora spesso da postazioni condivise trova ancora più prevedibile una password digitata a mano, motivo per cui molte aziende scelgono di offrire le passkey come opzione aggiuntiva piuttosto che come sostituto obbligatorio nella fase attuale di transizione.

Pro e contro delle passkey

Prima di consigliare una migrazione totale, vale la pena guardare entrambi i lati della medaglia.

Pro: eliminano il phishing di credenziali alla radice, perché non esiste un segreto condiviso da rubare e riutilizzare su un sito clone.
Pro: login più veloce nella pratica quotidiana, un tocco biometrico sostituisce la digitazione della password più l’attesa del codice OTP via SMS o app.
Pro: nessun costo diretto per l’utente privato, dato che sono già incluse nei sistemi operativi moderni senza bisogno di scaricare nulla.
Pro: riducono in modo misurabile i ticket di supporto per reset password nelle aziende che completano il rollout, con un impatto diretto sui costi dell’help desk.
Pro: rendono inefficaci gli attacchi di MFA fatigue e push bombing, che oggi colpiscono soprattutto chi usa notifiche push come secondo fattore.
Contro: ancora poco diffuse, con solo l’11,3% dei siti scansionati che le supporta secondo il tracker state-of-passkeys.io.
Contro: il recupero in caso di smarrimento del dispositivo genera ansia negli utenti meno esperti, che temono di restare bloccati fuori dai propri account.
Contro: chi mescola ecosistemi diversi, per esempio Apple più Windows più Android, può trovarsi confuso su dove sia effettivamente salvata una passkey.
Contro: le integrazioni aziendali con sistemi IAM legacy e VPN datate restano complesse da implementare senza un progetto dedicato.

Pro e contro di password più 2FA tradizionale

Pro: compatibilità universale, funziona su qualsiasi sito e qualsiasi dispositivo dotato di una tastiera, anche il più datato.
Pro: il recupero account tramite email è un flusso che tutti conoscono da vent’anni, quindi genera meno attrito percepito rispetto al recupero di una passkey.
Pro: nessun vincolo a un ecosistema hardware o a un sistema operativo specifico, l’utente può cambiare telefono senza pensare a dove sono salvate le proprie credenziali.
Pro: le app authenticator come Google Authenticator o Microsoft Authenticator restano gratuite e ben conosciute dalla maggior parte degli utenti aziendali.
Contro: resta vulnerabile al phishing in tempo reale e ai proxy adversary-in-the-middle, capaci di intercettare password e codice OTP nello stesso istante.
Contro: il riuso delle password alimenta il credential stuffing su larga scala, come dimostrano i leak da miliardi di credenziali emersi nel 2026.
Contro: il 2FA via SMS resta esposto a SIM swap e intercettazione, tanto che il NIST lo classifica ormai come autenticatore “restricted” nelle sue linee guida più recenti.
Contro: genera costi ricorrenti, tra invio SMS e help desk per i reset, che le passkey eliminano quasi del tutto una volta completata la migrazione.

Cinque casi d’uso: quando scegliere cosa

Non esiste una risposta unica valida per tutti. Ecco come orientarsi in base al profilo.

Utente privato con smartphone recente: attivare la passkey nativa (Apple o Google) su email, social e servizi più usati è oggi la scelta più semplice e sicura, a costo zero, e richiede pochi minuti per account.
Sviluppatore o team tecnico su GitHub: passkey vincolata al dispositivo o chiave hardware YubiKey per gli account con accesso a repository critici, passkey sincronizzata per l’uso quotidiano su laptop personali e postazioni di lavoro.
PMI italiana con dipendenti su più dispositivi: Microsoft Entra ID P1 con passkey obbligatorie per gli account con privilegi elevati, mantenendo password più TOTP per i sistemi legacy non ancora migrati, con un piano di rollout scaglionato per reparto.
Utenti di servizi bancari e finanziari: usare la passkey se la banca la offre, altrimenti preferire sempre un’app authenticator TOTP piuttosto che l’SMS, che resta il fattore più debole e il primo bersaglio del SIM swap.
Chi accede spesso da PC condivisi o pubblici, come biblioteche o uffici open space: una chiave hardware YubiKey offre garanzie superiori a una passkey sincronizzata legata a un solo telefono personale, ed elimina il rischio di lasciare una sessione aperta su un dispositivo non proprio.
Chi gestisce ancora molti account legacy senza supporto passkey: un password manager come Bitwarden o 1Password resta indispensabile per generare e salvare password uniche, in attesa che anche quei siti aggiungano WebAuthn, riducendo comunque il rischio di riuso.
Amministratori IT che devono giustificare la spesa alla direzione: calcolare il risparmio sui ticket di reset password e sui costi SMS aiuta a costruire un business case concreto per il passaggio a un piano Entra ID o Bitwarden Enterprise.

Guida alla migrazione: passare alle passkey passo dopo passo

Il passaggio non richiede di abbandonare tutto in un giorno. Un percorso graduale funziona meglio sia per un singolo utente sia per un reparto IT.

Verificare quali servizi già usati supportano le passkey, partendo da email principale, gestore di password e account di lavoro.
Attivare la passkey come metodo aggiuntivo, senza disattivare subito la password: quasi tutti i siti permettono la coesistenza dei due metodi durante la transizione.
Scegliere dove far vivere le passkey: portachiavi nativo del sistema operativo per l’uso personale, gestore cross-piattaforma come Bitwarden o 1Password per chi cambia spesso dispositivo.
Registrare almeno un dispositivo di backup, o una chiave hardware, prima di eliminare la password come opzione di fallback.
Per le aziende, iniziare dai gruppi con privilegi elevati (amministratori IT, finance) prima di estendere la distribuzione a tutto il personale.
Formare gli utenti sul recupero account: cosa fare in caso di smarrimento del telefono è la domanda più frequente e la fonte principale di resistenza al cambiamento.
Monitorare i tassi di adozione interna: il Passkey Index 2025 mostra che anche tra i grandi player solo il 26% degli accessi eleggibili usa davvero la passkey, quindi serve spingere attivamente l’attivazione, non limitarsi a renderla disponibile.
Documentare il piano di rollback: se un’integrazione con un’app aziendale critica presenta problemi dopo l’attivazione delle passkey, il team IT deve poter tornare rapidamente al metodo precedente senza bloccare gli utenti.
Solo a migrazione completata, valutare la disattivazione della password come opzione di login per gli account più sensibili.

Per chi sviluppa e vuole implementare WebAuthn lato server, la registrazione di una nuova passkey segue grosso modo questo schema tramite l’API nativa del browser:

// Richiesta di creazione di una nuova passkey lato client
const credential = await navigator.credentials.create({
  publicKey: {
    challenge: new Uint8Array(32), // generato dal server, casuale
    rp: { name: "Nome Sito", id: "esempio.it" },
    user: {
      id: new Uint8Array(16),
      name: "[email protected]",
      displayName: "Utente Esempio"
    },
    pubKeyCredParams: [{ type: "public-key", alg: -7 }],
    authenticatorSelection: { residentKey: "required", userVerification: "required" }
  }
});
// Il server verifica la firma e salva la chiave pubblica associata all'utente

Chi preferisce mantenere anche l’autenticazione a due fattori classica lato backend può seguire la nostra guida su TOTP 2FA in Node.js, utile soprattutto per i sistemi che non possono ancora migrare del tutto a WebAuthn.

Verdetto finale: chi vince nel 2026

Sui numeri puri di sicurezza, le passkey vincono senza discussione: eliminano il phishing di credenziali e il credential stuffing alla radice, due dei vettori di attacco più sfruttati degli ultimi cinque anni. Il problema non è la tecnologia, è la copertura. Con appena l’11,3% dei siti scansionati che le supporta e un tasso di utilizzo reale ancora fermo al 15-20% anche sulle piattaforme che le offrono, nessuno può abbandonare del tutto password e 2FA tradizionale nel 2026.

Il verdetto pratico è ibrido: attivare le passkey ovunque siano disponibili, partendo dagli account più critici (email, banca, gestore di password), e mantenere un’app authenticator TOTP, mai l’SMS da solo, per tutto ciò che ancora non le supporta. Per le aziende, il 68% di organizzazioni già in fase di pilota o rollout secondo la FIDO Alliance indica che il 2026 è il momento giusto per iniziare, non per aspettare ancora.

Chi lavora nella sicurezza informatica dovrebbe leggere questi numeri come una finestra che si sta aprendo, non come un traguardo già raggiunto. Il gap tra il 93% di account idonei alle passkey sulle grandi piattaforme e il 26% di accessi che le usa davvero racconta più di ogni altro dato lo stato reale del 2026: la tecnologia è pronta, l’infrastruttura anche, manca ancora una spinta decisa verso l’adozione da parte degli utenti finali. Le aziende che investono ora in formazione e in un’attivazione guidata, invece di limitarsi a rendere disponibile l’opzione, sono quelle che raccoglieranno per prime i benefici in termini di riduzione degli incidenti e dei costi di supporto.

Domande frequenti

Le passkey sostituiscono completamente le password?

Non ancora nel 2026. Con solo l’11,3% dei siti scansionati che le supporta, la maggior parte degli utenti continuerà a usare password su una parte dei propri account per diversi anni.

Cosa succede se perdo il telefono con le passkey salvate?

Se le passkey sono sincronizzate tramite iCloud Keychain o Google Password Manager, restano recuperabili accedendo da un nuovo dispositivo con lo stesso account. Per questo è importante registrare sempre almeno un dispositivo di backup o una chiave hardware.

Le passkey funzionano senza connessione internet?

La generazione della firma crittografica avviene localmente sul dispositivo, ma serve comunque una connessione per completare il login sul sito remoto, esattamente come con una password.

Le app come Google Authenticator diventano inutili con le passkey?

No. Restano utili per tutti i servizi che non hanno ancora integrato WebAuthn. Il nostro confronto tra le principali app authenticator resta valido per chi deve ancora gestire il 2FA classico.

Una chiave hardware YubiKey è meglio di una passkey sincronizzata?

Per account con privilegi elevati sì, perché non si sincronizza mai e non dipende dalla sicurezza dell’account cloud. Per l’uso quotidiano, una passkey sincronizzata offre un compromesso migliore tra sicurezza e comodità.

Le banche italiane supportano le passkey?

Il supporto varia da istituto a istituto. A livello internazionale la maggior parte delle grandi banche in Nord America, Regno Unito e Unione Europea ha iniziato ad affiancare le passkey ai flussi di accesso già esistenti, ma non è ancora uno standard uniforme in tutta Europa. Molte banche italiane continuano a preferire app proprietarie con notifica push o codici generati internamente, un approccio che offre garanzie simili alle passkey ma resta legato all’app della singola banca invece che a uno standard aperto e condiviso.

Serve pagare per usare le passkey?

No, per l’uso personale sono gratuite e incluse nel sistema operativo. I costi entrano in gioco solo con soluzioni aziendali come Microsoft Entra ID o gestori di password con piani a pagamento come Bitwarden ed 1Password.

Le passkey funzionano su browser e sistemi operativi datati?

No, servono browser aggiornati con supporto WebAuthn e un sistema operativo relativamente recente. Su Windows, secondo il tracker state-of-passkeys.io, il 100% dei browser principali testati nel 2026 è compatibile, ma i dispositivi molto vecchi o non aggiornati restano esclusi, il che rende necessario mantenere password e 2FA classico come alternativa per quella fascia di utenti.

Le passkey proteggono anche dal riuso delle password nei data breach?

Sì, in modo diretto. Poiché ogni passkey è unica per sito e non esiste un segreto condiviso da rubare, un data breach su un servizio non compromette in alcun modo l’accesso agli altri, a differenza di quanto accade con le password riusate. È esattamente il meccanismo che ha permesso a leak enormi come quello dei 16 miliardi di credenziali di avere un impatto così ampio: bastava che una singola password fosse condivisa tra più account perché l’intera catena cadesse. Con le passkey quella catena semplicemente non esiste, perché ogni chiave privata è generata da zero per un singolo dominio e non può essere trasferita o riutilizzata altrove nemmeno volendo.