Password obsolete? Le passkey cambiano la sicurezza digitale

Le password sono davvero destinate a scomparire? La risposta, almeno nel settembre 2026, è più complessa di quanto suggeriscano titoli e post che annunciano periodicamente la "morte" delle tradizionali parole chiave. Le password continuano a essere utilizzate ogni giorno da miliardi di persone e rimangono compatibili praticamente con qualsiasi dispositivo e servizio digitale. Allo stesso tempo, però, la transizione verso sistemi differenti non è più una semplice promessa tecnologica: le passkey hanno raggiunto una diffusione globale e stanno progressivamente cambiando il modo in cui utenti e aziende accedono agli account.
Il punto corretto non è quindi affermare che le password siano già obsolete, ma comprendere perché il loro ruolo stia diminuendo. Le passkey utilizzano crittografia a chiave pubblica e permettono di autenticarsi attraverso il proprio dispositivo, spesso utilizzando impronta digitale, riconoscimento del volto o PIN locale. Non richiedono di ricordare una sequenza di caratteri e, soprattutto, sono progettate per essere resistenti al phishing. Nel 2026 si stima che nel mondo siano ormai in uso circa 5 miliardi di passkey.

Perché le password sono sopravvissute così a lungo

Per comprendere la trasformazione è necessario partire dal principale vantaggio della password tradizionale: la semplicità universale. Una parola chiave può essere digitata su praticamente qualsiasi computer, smartphone o sistema dotato di tastiera. Non richiede hardware specifico e può essere implementata facilmente da servizi nati in epoche tecnologiche molto differenti.
Questa compatibilità spiega perché eliminare le password sia molto più difficile di quanto sembri. Internet contiene servizi modernissimi e sistemi sviluppati decenni fa, grandi piattaforme e piccoli siti, infrastrutture aziendali e dispositivi che non vengono aggiornati frequentemente. Un metodo di autenticazione realmente universale deve funzionare in un ecosistema estremamente frammentato.

Il problema è che una password è un segreto condiviso

Il limite strutturale della password consiste nel fatto che si basa su un segreto che l'utente conosce e che il servizio deve essere in grado di verificare. I sistemi moderni non dovrebbero conservare le password in chiaro, ma il principio generale resta quello di una credenziale che può essere digitata, copiata, sottratta o consegnata volontariamente a un criminale convinto di trovarsi davanti a un sito autentico.
Una password può inoltre essere riutilizzata su più servizi. Quando uno di questi subisce una violazione, le credenziali rubate possono essere provate automaticamente su altre piattaforme attraverso attacchi di credential stuffing. È per questo che utilizzare la stessa password per email, social network, negozi online e altri account aumenta fortemente il rischio.

Le password deboli restano un problema enorme

Nonostante anni di campagne sulla sicurezza informatica, combinazioni estremamente semplici continuano a essere utilizzate. Sequenze numeriche, parole comuni, nomi e varianti facilmente prevedibili trasformano una protezione teorica in una barriera molto fragile. L'aumento della potenza di calcolo e l'automazione rendono inoltre più efficaci gli attacchi contro credenziali deboli.
Il problema non si risolve obbligando gli utenti a inserire continuamente simboli, numeri e maiuscole in schemi difficili da ricordare. Le moderne indicazioni sulla gestione delle password attribuiscono grande importanza soprattutto alla lunghezza, all'unicità e all'impiego di strumenti come password manager e autenticazione multifattore.

Che cos'è realmente una passkey

Una passkey non è semplicemente una password salvata nel telefono. Utilizza una tecnologia completamente differente basata sulla crittografia a chiave pubblica. Quando viene creata, il sistema genera una coppia di chiavi matematicamente collegate: una pubblica e una privata.
La chiave pubblica può essere conservata dal servizio online e non deve rimanere segreta. La chiave privata, invece, è quella necessaria per completare l'autenticazione e rimane sotto il controllo dell'utente attraverso il dispositivo o il gestore di credenziali. Dal materiale presente sul server non è possibile ricostruire direttamente la chiave privata necessaria per entrare nell'account.

Cosa avviene durante l'accesso

Quando l'utente tenta di entrare in un account protetto da passkey, il servizio invia una richiesta crittografica. Il dispositivo utilizza la chiave privata per produrre una risposta verificabile attraverso la corrispondente chiave pubblica. L'utente autorizza l'operazione attraverso il meccanismo previsto sul dispositivo, per esempio impronta digitale, riconoscimento facciale o PIN.
La password non deve quindi essere trasmessa perché non esiste una parola segreta comune da comunicare al sito. Questa differenza riduce una delle principali superfici di attacco associate ai sistemi tradizionali.

Biometria e passkey non sono la stessa cosa

Un equivoco frequente consiste nel pensare che utilizzando una passkey si invii al sito la propria impronta digitale o una scansione del viso. Non è così. Nei sistemi correttamente implementati, il dato biometrico viene utilizzato localmente per autorizzare l'impiego della credenziale crittografica e non viene consegnato al servizio al quale ci si sta autenticando.
Il sito riceve la prova necessaria a verificare la credenziale, non l'immagine del volto o dell'impronta dell'utente. Questo è un elemento fondamentale per comprendere il funzionamento del sistema e distinguere la passkey da un ipotetico database centrale di informazioni biometriche.

Perché le passkey resistono meglio al phishing

Il maggiore vantaggio delle passkey riguarda il phishing. Con una password tradizionale, un criminale può creare una pagina quasi identica a quella di una banca, di un social network o di un servizio email e convincere la vittima a inserire le proprie credenziali. Dal punto di vista della vittima, l'interfaccia può apparire autentica.
La passkey viene invece associata crittograficamente al dominio o al servizio per il quale è stata creata. Browser e sistema operativo verificano questa relazione. Di conseguenza, una pagina fraudolenta con un dominio differente non può semplicemente chiedere all'utente di digitare la propria passkey come farebbe con una password.

Il phishing non scompare completamente

Affermare che le passkey risolvano ogni forma di frode digitale sarebbe comunque sbagliato. Un criminale può tentare di convincere l'utente a modificare impostazioni, installare malware, concedere accesso remoto, comunicare codici di recupero o approvare altre operazioni. L'autenticazione rappresenta soltanto uno dei livelli della sicurezza.
Le passkey sono particolarmente efficaci contro il furto delle credenziali tramite phishing, ma non rendono invulnerabile un computer compromesso e non impediscono tutte le forme di ingegneria sociale. La sicurezza dell'account dipende ancora dal dispositivo, dalle procedure di recupero e dal comportamento del servizio.

I numeri del 2026 mostrano un cambiamento ormai concreto

La diffusione delle passkey nel 2026 ha raggiunto dimensioni che rendono difficile considerarle una tecnologia sperimentale. Le stime disponibili parlano di circa 5 miliardi di passkey attive a livello globale. In una grande rilevazione internazionale, il 90% dei consumatori intervistati dichiarava di conoscere questa tecnologia e il 75% di averne attivata almeno una.
Il dato relativo all'utilizzo abituale è inferiore ma comunque significativo: circa il 49% degli intervistati dichiarava di usare le passkey regolarmente quando disponibili. Questo divario fra attivazione e uso mostra uno dei problemi della transizione: creare una passkey è ormai semplice, ma molti servizi continuano a proporre parallelamente password e altre modalità.

Anche le aziende stanno accelerando

Il cambiamento non riguarda soltanto gli account personali. Circa il 68% delle organizzazioni coinvolte nella ricerca internazionale del 2026 dichiarava di avere già implementato, di stare sperimentando o di essere nella fase di introduzione delle passkey per l'accesso dei dipendenti.
Ancora più indicativo è l'obiettivo dichiarato: l'82% considera l'autenticazione completamente passwordless un traguardo finale per la propria forza lavoro, mentre il 28% afferma di averlo già raggiunto. Sono valori che mostrano un settore in movimento, pur senza autorizzare l'affermazione che le password siano ormai scomparse.

Microsoft spinge ulteriormente la transizione

Nel settembre 2026 la trasformazione sta assumendo una dimensione ancora più concreta anche negli ambienti aziendali Microsoft. Gli utenti abilitati a determinate forme di autenticazione vengono progressivamente incoraggiati a registrare passkey, all'interno di una strategia che considera i sistemi resistenti al phishing come modalità preferibili rispetto a SMS e voce.
La direzione è importante perché Microsoft Entra ID viene utilizzato da un enorme numero di organizzazioni. Quando uno dei principali fornitori di infrastrutture di identità modifica la propria modalità predefinita, la conseguenza non rimane limitata agli utenti tecnologicamente più esperti ma raggiunge aziende, amministrazioni e ambienti di lavoro.

Apple, Google e Microsoft hanno reso possibile la compatibilità

La crescita delle passkey è stata possibile grazie alla convergenza dei principali ecosistemi tecnologici intorno agli standard FIDO2 e WebAuthn. Apple, Google, Microsoft e altri operatori hanno implementato sistemi che permettono di utilizzare credenziali basate sulla stessa architettura generale anche su piattaforme differenti.
Questa interoperabilità è indispensabile. Un sistema di autenticazione difficilmente potrebbe sostituire le password se funzionasse soltanto su un singolo marchio di smartphone o su un browser specifico. Il vero salto delle passkey è avvenuto quando sono diventate una tecnologia supportata dai principali sistemi operativi e browser.

WebAuthn è la base tecnica del sistema

Dietro l'esperienza apparentemente semplice del login esiste lo standard Web Authentication, o WebAuthn. La tecnologia permette alle applicazioni web di creare e utilizzare credenziali crittografiche a chiave pubblica associate a uno specifico servizio.
Nel 2026 anche lo standard WebAuthn Level 3 ha raggiunto una fase avanzata del proprio percorso di standardizzazione. È un dettaglio tecnico ma importante perché dimostra che l'ecosistema continua a evolversi mentre l'utilizzo di passkey aumenta rapidamente.

Il punto debole può diventare la procedura di recupero

Un account è sicuro quanto il suo percorso più debole. Se un servizio implementa una passkey resistente al phishing ma permette poi di recuperare l'account attraverso una procedura molto meno sicura, un criminale potrebbe semplicemente ignorare la passkey e attaccare il sistema alternativo.
Per questo motivo la transizione non consiste soltanto nell'aggiungere un nuovo pulsante di accesso passwordless. Aziende e piattaforme devono ripensare registrazione, recupero dell'account, cambio dei dispositivi e gestione dei casi in cui l'utente perda l'accesso alle proprie credenziali.

Perdere il telefono non significa necessariamente perdere l'account

Una delle paure più comuni riguarda il caso in cui il dispositivo contenente la passkey venga perso, rubato o danneggiato. Le implementazioni moderne possono sincronizzare le credenziali attraverso sistemi protetti collegati all'account dell'utente oppure permettere di utilizzare più dispositivi o chiavi hardware.
La gestione concreta dipende dall'ecosistema utilizzato e dalle politiche del singolo servizio. Proprio per questo è importante configurare correttamente i sistemi di recupero e non presumere che il semplice possesso di una passkey elimini ogni necessità di pianificazione.

Le passkey sincronizzate e quelle legate a un dispositivo

Non tutte le passkey vengono gestite nello stesso modo. Alcune possono essere sincronizzate tra diversi dispositivi attraverso un gestore di credenziali; altre possono rimanere strettamente vincolate a un hardware specifico, come avviene con determinate chiavi di sicurezza.
Le credenziali device-bound possono offrire livelli di garanzia particolarmente elevati in contesti professionali o ad alto rischio, mentre quelle sincronizzate privilegiano comodità e continuità per l'utente comune. Non esiste necessariamente una soluzione unica adatta a ogni scenario.

Che cosa fare con le password che continuiamo a utilizzare

Poiché la transizione richiederà ancora tempo, miliardi di persone dovranno continuare a utilizzare password. La scelta corretta non è quindi ignorarne la sicurezza aspettando che scompaiano. Le indicazioni moderne privilegiano credenziali lunghe, uniche per ogni account e gestite attraverso strumenti affidabili.
Quando una password è necessaria, una lunghezza di almeno 15 caratteri rappresenta un riferimento utile. Una passphrase può rendere più semplice raggiungere una lunghezza elevata senza creare una sequenza impossibile da ricordare. Ancora più importante è evitare il riutilizzo della stessa credenziale su servizi differenti.

Il password manager rimane uno strumento fondamentale

Un password manager permette di generare e conservare credenziali diverse e complesse senza costringere l'utente a memorizzarle tutte. Fino a quando le passkey non saranno disponibili universalmente, questi strumenti continueranno a svolgere un ruolo fondamentale nella sicurezza personale.
Molti gestori moderni stanno inoltre diventando essi stessi passkey manager, riunendo in un'unica interfaccia vecchie e nuove modalità di autenticazione. È un segnale della fase ibrida nella quale ci troviamo: password e passkey non appartengono ancora a due epoche completamente separate, ma convivono negli stessi sistemi.

L'autenticazione multifattore continua a essere importante

Per gli account ancora basati su password, attivare l'autenticazione multifattore riduce significativamente il rischio che una credenziale rubata sia sufficiente per entrare. Non tutti i secondi fattori offrono però lo stesso livello di protezione. Codici via SMS, applicazioni di autenticazione, notifiche push e chiavi di sicurezza possiedono caratteristiche differenti.
Le tecnologie resistenti al phishing rappresentano generalmente il livello più forte contro gli attacchi che cercano di sottrarre credenziali. SMS e codici temporanei possono migliorare la sicurezza rispetto alla sola password, ma possono a loro volta essere oggetto di alcune tecniche fraudolente.

Perché non bisogna dichiarare prematuramente morta la password

L'idea della "fine delle password" viene annunciata da molti anni, ma la realtà tecnologica è più lenta degli slogan. Le password funzionano praticamente ovunque, mentre le passkey richiedono sistemi relativamente moderni, implementazioni corrette e procedure di recupero adeguate.
Esistono inoltre applicazioni, infrastrutture aziendali, dispositivi industriali e servizi legacy per i quali la migrazione potrebbe richiedere molti anni. Anche nel mondo consumer alcuni utenti utilizzano hardware vecchio oppure ambienti condivisi dove il passaggio non è immediato.

Questa volta, però, il cambiamento è realmente iniziato

Se dichiarare estinte le password sarebbe scorretto, sarebbe altrettanto sbagliato considerare le passkey l'ennesima promessa destinata a non uscire dai laboratori. Miliardi di credenziali attive e l'adozione crescente nelle grandi aziende indicano che la trasformazione ha raggiunto una massa critica molto diversa rispetto ai precedenti tentativi di eliminare le password.
La combinazione fra sicurezza e semplicità costituisce probabilmente il principale vantaggio. Tradizionalmente le misure più sicure richiedevano all'utente procedure più complicate. Le passkey tentano invece di rendere più sicuro proprio il gesto più semplice: sbloccare il dispositivo come si fa decine di volte ogni giorno.

Il vero cambiamento è togliere all'utente il compito impossibile

Per decenni la sicurezza digitale ha chiesto alle persone di comportarsi quasi come sistemi crittografici: inventare decine di password uniche, ricordarle, modificarle quando necessario, riconoscere ogni sito fraudolento e non commettere mai errori. Era un modello inevitabilmente fragile perché scaricava sull'essere umano un compito difficilmente sostenibile.
Le passkey spostano una parte di questa responsabilità verso browser, sistema operativo e crittografia. Invece di chiedere all'utente di riconoscere perfettamente il dominio autentico prima di digitare una password, il sistema può impedire tecnicamente che la credenziale venga utilizzata su un dominio differente.

Le password non sono morte, ma hanno perso il monopolio

La fotografia del 2026 è quindi chiara: le password non sono obsolete nel senso di inutilizzabili e non stanno per scomparire da un giorno all'altro. Sono però sempre meno l'unico strumento disponibile e, dove esistono alternative moderne, il loro limite strutturale diventa più evidente.
La transizione verso un web maggiormente passwordless sarà probabilmente graduale e imperfetta. Per qualche anno utilizzeremo contemporaneamente passkey, password manager, autenticazione multifattore, chiavi hardware e vecchi sistemi. L'obiettivo non dovrebbe essere inseguire uno slogan, ma ridurre concretamente la possibilità che una singola credenziale rubata consegni un account a un criminale.

Una rivoluzione silenziosa davanti alla schermata di login

La vera notizia non è dunque che domani mattina le password scompariranno. È che per la prima volta esiste un'alternativa standardizzata, supportata dai principali ecosistemi e già utilizzata su scala globale. Quella che per anni era una prospettiva teorica è diventata una trasformazione concreta dell'infrastruttura digitale.
Per gli utenti il passaggio potrà sembrare quasi banale: meno codici da ricordare e più accessi autorizzati attraverso il proprio dispositivo. Dietro quella semplicità si trova però uno dei cambiamenti più profondi avvenuti negli ultimi anni nella sicurezza degli account online. Voi avete già iniziato a utilizzare le passkey oppure continuate a preferire le password tradizionali? Raccontate nei commenti la vostra esperienza e quali dubbi avete ancora su questa tecnologia.