Le passkey cosa sono chiavi crittografiche che sostituiscono la password: si appoggiano a impronta digitale, riconoscimento facciale o PIN del dispositivo e non possono essere indovinate o rubate con il phishing. Si attivano da iPhone (iOS 16 o successivo) in Impostazioni → Password, su Mac (macOS Ventura o successivo) in Impostazioni di Sistema → Password, e sull’account Google da g.co/passkeys. La sincronizzazione avviene tramite iCloud Keychain o Google Password Manager; il limite principale è la dipendenza dall’ecosistema e la necessità di un dispositivo di recupero.
Aggiornato a ottobre 2026
La domanda “passkey cosa sono” ha una risposta netta: sono credenziali crittografiche legate a un dispositivo, nate per eliminare le password e resistere al phishing. Nel 2026 il supporto è maturo: iOS web ha una readiness del 99%, Android del 97% e macOS del 91% secondo il benchmark Corbado[reference:0]. Google ha rilanciato la campagna per le passkey l’8 ottobre 2026[reference:1], mentre Apple integra la gestione in Impostazioni e nell’app Password. Restano ostacoli operativi: su Windows il tasso di successo del login con passkey è ancora tra il 45% e il 60%, e il passaggio da desktop a smartphone via QR code è la fase più fragile[reference:2].
Passkey cosa sono e perché sostituiscono le password
Una passkey è una chiave crittografica composta da una chiave privata, che resta sul dispositivo, e una chiave pubblica, che viene inviata al servizio. L’autenticazione avviene con una verifica locale — impronta, volto o PIN — e non prevede la trasmissione di un segreto condiviso come la password. Questo la rende resistente al phishing: anche se l’utente viene indirizzato su un sito clone, la chiave privata non viene mai inviata e il browser rifiuta la richiesta se il dominio non corrisponde. Per una panoramica completa sulle implicazioni di sicurezza dei sistemi Apple, la nostra guida definitiva alla sicurezza del Mac analizza anche il ruolo del portachiavi iCloud e delle credenziali sincronizzate.
La differenza rispetto a una password è sostanziale: una password è un segreto che l’utente conosce e che può essere carpito con un sito falso, una fuga di dati o un keylogger. Una passkey è un segreto che il dispositivo custodisce e che non esce mai dal suo perimetro sicuro. Per questo FIDO Alliance, Google e Microsoft la presentano come lo standard di autenticazione senza password per i prossimi anni[reference:3].
Secondo il benchmark Corbado 2026, il 93% delle organizzazioni ha avviato un percorso di adozione delle passkey, ma solo il 13% le ha distribuite su larga scala. Il collo di bottiglia non è più la crittografia, ma l’esperienza operativa e il recupero dell’account[reference:4].
Come funzionano le passkey e dove vengono salvate
Il funzionamento si basa su WebAuthn, lo standard del W3C che i browser e i sistemi operativi implementano. Quando un servizio chiede di creare una passkey, il dispositivo genera una coppia di chiavi e invia solo la chiave pubblica al server. Nelle sessioni successive il server invia una sfida casuale, il dispositivo la firma con la chiave privata e il server verifica la firma con la chiave pubblica. La verifica locale (Face ID, Touch ID, PIN, Windows Hello) autorizza l’operazione. Le passkey possono essere sincronizzate tra dispositivi dello stesso ecosistema — iCloud Keychain per Apple, Google Password Manager per Android e Chrome — oppure rimanere legate a un singolo dispositivo. Chi preferisce gestire le credenziali con uno strumento dedicato può confrontare le opzioni nella nostra selezione dei migliori password manager gratuiti, che sempre più spesso integrano anche il supporto alle passkey.
La sincronizzazione è comoda perché evita di ricreare la passkey su ogni dispositivo, ma introduce una dipendenza dall’account cloud: se si perde l’accesso all’account Apple o Google, si perde anche la possibilità di usare le passkey sincronizzate. Per questo i servizi seri affiancano sempre metodi di recupero alternativi, come codici di backup o un secondo autenticatore.
Prima di affidarti solo alle passkey, verifica che il servizio offra un metodo di recupero funzionante. Se l’unica opzione è “usa un altro dispositivo”, imposta anche un codice di backup o un autenticatore secondario.
Passkey su iPhone: come attivarle in iOS 16 o successivo
Per le passkey iPhone servono iOS 16 o iPadOS 16.0 o versioni successive, Apple Passwords abilitato per il riempimento automatico e il Bluetooth attivo se si usa un altro dispositivo per la scansione del QR code[reference:5]. La procedura si divide in due percorsi: creazione da un sito o app che supporta le passkey, oppure gestione dall’app Password.
Il primo percorso è il più comune. Si apre il sito o l’app, si sceglie “Crea una passkey” e si segue la richiesta di sblocco con Face ID o Touch ID. Il sistema propone di salvare la passkey in iCloud Keychain; accettando, la passkey diventa disponibile su tutti i dispositivi Apple collegati allo stesso account. Il secondo percorso serve per verificare o eliminare le passkey esistenti: si apre l’app Password, si seleziona la voce Passkey e si controlla l’elenco. Per risolvere eventuali blocchi di sistema durante l’attivazione, la nostra guida ai problemi e soluzioni iPhone copre anche gli errori di autenticazione e di sincronizzazione iCloud.
- Apri Impostazioni → Generali → Riempimento automatico e password e attiva “Riempimento automatico password e passkey”.
- Su un sito o app supportata, scegli “Crea passkey” e autorizza con Face ID o Touch ID.
- Controlla in Password → Passkey che la voce sia presente e sincronizzata con iCloud Keychain.
Passkey su Mac: attivazione con Touch ID o iPhone
Le passkey Mac richiedono macOS Ventura o successivo e iCloud Keychain attivo[reference:6]. Su un Mac con Touch ID la creazione è immediata: si seleziona “Crea passkey”, si appoggia il dito sul sensore e la chiave viene salvata nel portachiavi iCloud. Su un Mac senza Touch ID si può usare l’iPhone o l’iPad come autenticatore: il browser mostra un QR code, si scansiona con la fotocamera e si conferma con Face ID o Touch ID. Lo stesso meccanismo vale per il login successivo: se il Mac non ha una passkey locale, il sistema propone “Usa la passkey di un dispositivo nelle vicinanze” e avvia il ponte via Bluetooth[reference:7].
La gestione delle passkey su Mac si trova in Impostazioni di Sistema → Password, dove compare la sezione dedicata. Da qui è possibile visualizzare, rinominare o eliminare le passkey. Se il Mac è condiviso o si sospetta un accesso non autorizzato, è buona norma controllare l’elenco e revocare le voci sconosciute. Per approfondire i segnali di compromissione dei dispositivi Apple, la nostra guida su come capire se l’iPhone è spiato offre una checklist utile anche per il Mac.
Su Windows il login con passkey tramite QR code da smartphone ha tassi di successo inferiori: tra il 45% e il 60% nei test identifier-first. Se usi un PC Windows per lavoro, tieni un metodo di accesso alternativo finché non hai verificato la stabilità del flusso[reference:8].
Passkey Google: come crearle dall’account
Le passkey Google si creano dal sito g.co/passkeys oppure da myaccount.google.com/signinoptions/passkeys. Dopo aver effettuato l’accesso, si sceglie “Crea una passkey” e si segue la richiesta di verifica del dispositivo: impronta, volto o PIN. Google salva la passkey nel dispositivo o nel Google Password Manager, a seconda dell’opzione scelta. La passkey creata sostituisce la password solo per l’accesso, ma non elimina automaticamente i metodi di verifica in due passaggi già attivi: Google mantiene i codici di backup e le opzioni di recupero[reference:9].
Il vantaggio principale è la portabilità tra dispositivi Android, ChromeOS e, tramite sincronizzazione, anche su iPhone e iPad con l’app Google. Lo svantaggio è che la passkey Google non è utilizzabile per altri servizi: ogni sito o app richiede una passkey separata. Per questo la gestione centralizzata in un unico portachiavi resta il metodo più pratico per la maggior parte degli utenti.
Limiti e problemi pratici delle passkey nel 2026
Il primo limite è la dipendenza dall’ecosistema: una passkey creata su iPhone e sincronizzata con iCloud non funziona su un dispositivo Android, a meno che il servizio non offra un’opzione cross-platform. Il secondo è il recupero dell’account: se si perde l’unico dispositivo con la passkey e non esistono codici di backup, l’accesso può diventare complicato. Il terzo è l’esperienza desktop: il ponte via QR code tra PC e smartphone introduce attriti e dipende dal Bluetooth. Il quarto è la copertura dei servizi: non tutti i siti e le app supportano ancora le passkey, e alcuni le offrono solo come metodo aggiuntivo, non sostitutivo.
| Piattaforma | Requisito minimo | Dove si gestisce | Sincronizzazione |
|---|---|---|---|
| iPhone / iPad | iOS 16 / iPadOS 16 | Impostazioni → Password → Passkey | iCloud Keychain |
| Mac | macOS Ventura | Impostazioni di Sistema → Password | iCloud Keychain |
| Account Google attivo | g.co/passkeys | Google Password Manager | |
| Windows | Windows 10/11 con browser aggiornato | Impostazioni account o browser | Windows Hello / QR bridge |
- Google ha rilanciato la campagna per l’adozione delle passkey in occasione del Cybersecurity Awareness Month, con la possibilità di creare una passkey direttamente da g.co/passkeys[reference:10].
- Il benchmark Corbado 2026 conferma che la readiness tecnica è quasi satura su iOS, Android e macOS, ma gli ostacoli operativi — soprattutto su Windows — restano significativi[reference:11].
FAQ
Quanto tempo serve per attivare una passkey?
L’attivazione di una passkey richiede in genere meno di un minuto. La procedura consiste nel selezionare “Crea passkey” sul sito o nell’app, autorizzare con Face ID, Touch ID o PIN e confermare il salvataggio nel portachiavi. Il tempo effettivo dipende dalla familiarità con l’interfaccia e dalla necessità di verificare l’account.
Le passkey funzionano su tutti i siti e le app?
Le passkey non sono supportate da tutti i servizi. Google, Apple, Microsoft e molti grandi provider le hanno adottate, ma siti più piccoli o applicazioni legacy possono non offrirle. In questi casi la password resta necessaria, eventualmente affiancata da un secondo fattore di autenticazione.
Cosa succede se perdo il dispositivo con la passkey?
Se la passkey è sincronizzata con iCloud Keychain o Google Password Manager, è possibile recuperarla su un altro dispositivo collegato allo stesso account. Se invece è legata solo al dispositivo perduto e non esistono codici di backup, l’accesso può richiedere la procedura di recupero del servizio. Per questo è importante configurare metodi di recupero alternativi.
Le passkey sono più sicure delle password?
Le passkey sono più sicure delle password perché non possono essere indovinate, rubate con il phishing o riutilizzate su altri siti. La chiave privata non lascia mai il dispositivo e la verifica locale impedisce l’accesso da parte di terzi. Restano però dipendenti dalla sicurezza del dispositivo e dalla solidità del metodo di recupero dell’account.
Posso usare le passkey di iPhone su un PC Windows?
Le passkey salvate su iPhone possono essere usate su un PC Windows tramite il ponte QR code e Bluetooth, ma il flusso non è sempre fluido: il tasso di successo del login identifier-first su Windows è ancora tra il 45% e il 60%[reference:12]. In alternativa, alcuni servizi permettono di creare una passkey separata per Windows Hello, se il PC dispone di un modulo TPM e di un PIN configurato.
Conclusione
Le passkey nel 2026 sono una tecnologia matura sul piano crittografico e sempre più diffusa, ma non ancora priva di attriti. Su iPhone e Mac l’attivazione è lineare e la sincronizzazione via iCloud Keychain elimina la necessità di ricreare le chiavi su ogni dispositivo. Su Google la procedura è altrettanto semplice, ma resta legata all’ecosistema dell’account. Il punto debole è l’esperienza desktop su Windows e la gestione del recupero: chi adotta le passkey dovrebbe farlo con un metodo di backup già configurato, non in sostituzione affrettata della password.
Se vuoi approfondire, leggi la nostra guida sul miglior cloud storage gratuito italiano per capire dove archiviare in sicurezza i codici di recupero e i backup delle credenziali.