Una passkey sostituisce la password con una credenziale crittografica. Per accedere, il servizio verifica una chiave pubblica e il dispositivo usa la chiave privata dopo lo sblocco con PIN, impronta o riconoscimento del volto. Il segreto non viene digitato in una pagina che potrebbe imitarne una falsa, ed è per questo che la tecnica aiuta contro il phishing.
Perché è importante
- Le passkey riducono il rischio di phishing perché sono legate al servizio e richiedono lo sblocco del dispositivo.
- La disponibilità su più dispositivi dipende dal provider e dal metodo di sincronizzazione scelto.
- I metodi di recupero restano distinti dalla passkey e vanno testati prima che il dispositivo principale sia perso.
La passkey è legata a un dispositivo o a un ecosistema
La passkey può essere sincronizzata tra dispositivi tramite il gestore credenziali scelto oppure restare associata a un singolo dispositivo o a una chiave fisica. La differenza pratica emerge quando il telefono si rompe, viene rubato o non è più disponibile. Non dare per scontato che ogni sito supporti lo stesso trasferimento.
Google spiega che aggiungere una passkey al proprio account non rimuove gli altri metodi di autenticazione o recupero. Raccomanda inoltre di creare passkey soltanto su dispositivi personali che si controllano: chiunque possa sbloccare quel dispositivo potrebbe accedere all’account.
Prepara una seconda via prima che serva
Apri la sezione sicurezza dell’account e controlla quali passkey risultano registrate, su quali dispositivi e quale procedura è prevista in caso di perdita. Se usi un gestore sincronizzato, assicurati di poter accedere al gestore da un secondo dispositivo affidabile e di conoscere il suo percorso di recupero.
Per gli account più importanti, valuta una seconda passkey su un altro dispositivo oppure una chiave di sicurezza hardware compatibile. La chiave fisica va conservata separata dal telefono: tenerla nella stessa borsa non crea una vera ridondanza contro furto o smarrimento. Verifica prima che il servizio consenta quel metodo.
Aggiungi o aggiorna email e numero di recupero. Non usare un recapito a cui accedi soltanto dal telefono che stai proteggendo. Google avverte che modifiche ai recapiti possono richiedere tempo prima di diventare effettive; controlla le istruzioni specifiche del provider e non aspettare un’emergenza.
Cosa puoi farci concretamente
- Controlla le opzioni di accesso e recupero di ogni account importante mentre sei ancora autenticato.
- Aggiungi una passkey su un secondo dispositivo personale o una chiave di sicurezza compatibile, se il servizio lo consente.
- Aggiorna telefono ed email di recupero e custodisci eventuali codici di backup in un luogo separato e protetto.
Prova la procedura senza disconnetterti dall’unico accesso
Con il dispositivo principale ancora autenticato, apri una sessione privata su un secondo dispositivo e verifica che la procedura alternativa funzioni. Non rimuovere la passkey corrente per simulare il recupero e non condividere codici con chi ti contatta: la prova deve confermare che sai raggiungere le opzioni ufficiali, non esporre credenziali.
Se il servizio genera codici di backup, salvali nel gestore password o in un archivio cifrato accessibile anche quando il telefono manca. Evita una foto nella galleria sincronizzata con lo stesso account. Se l’organizzazione gestisce l’account, chiedi all’amministratore quale procedura è consentita e chi può ripristinare l’accesso.
Aggiorna la prova quando cambi telefono, gestore credenziali o numero. Una passkey sincronizzata può rendere il passaggio al nuovo telefono più semplice, ma non è una garanzia universale: la migrazione dipende dalla piattaforma, dall’account e dalle politiche del servizio.
Sicurezza e recupero vanno progettati insieme
Un secondo metodo migliora la disponibilità ma può diventare un punto debole se usa un’email poco protetta o un numero non più controllato. Proteggi prima la casella di recupero, attiva l’autenticazione a più fattori disponibile e rimuovi recapiti obsoleti. Ogni alternativa deve essere recuperabile dal proprietario e difficile da sottrarre a un estraneo.
Per un account che controlla pagamenti, dati aziendali o altri accessi, separa i dispositivi e documenta chi può intervenire. Non inviare chiavi o codici in chat e non conservarli in un documento condiviso senza controllo degli accessi.
Il risultato da cercare non è accumulare metodi, ma avere almeno un percorso indipendente che hai verificato. Così la passkey mantiene il vantaggio contro il phishing senza trasformare lo smarrimento di un telefono in una perdita definitiva dell’account.
Fonti
Documenti, comunicati e pubblicazioni consultati per ricostruire dati e contesto.
