[{"data":1,"prerenderedAt":247},["ShallowReactive",2],{"article-fido-dimentica-le-tue-password":3},{"id":4,"title":5,"body":6,"categories":220,"contentId":222,"description":223,"extension":224,"image":225,"legacy":228,"meta":231,"metaDescription":232,"metaTitle":233,"navigation":234,"path":235,"publishedAt":236,"seo":237,"status":238,"stem":239,"tags":240,"topics":243,"updatedAt":245,"__hash__":246},"articles\u002Farticoli\u002Ffido-dimentica-le-tue-password.md","Passkey e FIDO: accedere senza password in modo più sicuro",{"type":7,"value":8,"toc":210},"minimark",[9,13,21,24,29,32,39,42,59,62,65,69,72,75,78,82,85,92,98,101,105,108,111,114,131,135,138,141,180,183,187,198,201,204],[10,11,12],"p",{},"Quando pubblicai la prima versione di questo articolo, nel 2022, l’accesso senza password era soprattutto una promessa. Apple, Google e Microsoft stavano iniziando a integrare nei propri sistemi una tecnologia basata sugli standard FIDO.",[10,14,15,16,20],{},"Oggi quella tecnologia ha un nome riconoscibile: ",[17,18,19],"strong",{},"passkey",". È già disponibile nei principali sistemi operativi e browser e viene utilizzata da un numero crescente di servizi.",[10,22,23],{},"Una passkey permette di accedere a un sito o a un’applicazione usando lo stesso gesto con cui si sblocca il proprio dispositivo: impronta digitale, riconoscimento del volto, PIN o codice del dispositivo. Non bisogna inventare, ricordare o digitare una nuova password.",[25,26,28],"h2",{"id":27},"che-cosa-sono-fido-e-le-passkey","Che cosa sono FIDO e le passkey",[10,30,31],{},"FIDO definisce standard aperti per autenticare una persona senza trasmettere un segreto condiviso, come avviene con una password.",[10,33,34,35,38],{},"Le passkey sono credenziali costruite sugli standard ",[17,36,37],{},"FIDO2",", che comprendono WebAuthn per i siti web e i protocolli necessari per comunicare con i dispositivi di autenticazione.",[10,40,41],{},"Quando crei una passkey vengono generate due chiavi crittografiche collegate:",[43,44,45,53],"ul",{},[46,47,48,49,52],"li",{},"una ",[17,50,51],{},"chiave pubblica",", conservata dal sito o dall’applicazione;",[46,54,48,55,58],{},[17,56,57],{},"chiave privata",", custodita sul dispositivo, in un gestore di credenziali oppure in una chiave di sicurezza fisica.",[10,60,61],{},"Durante l’accesso il servizio invia una richiesta che può essere soddisfatta soltanto con la chiave privata corretta. Il dispositivo chiede quindi di confermare l’operazione con il metodo di sblocco configurato.",[10,63,64],{},"La chiave privata non viene comunicata al sito. Anche i dati biometrici restano sul dispositivo: il server riceve la conferma che la verifica è riuscita, non l’impronta digitale o l’immagine del volto.",[25,66,68],{"id":67},"perché-una-passkey-protegge-meglio-dal-phishing","Perché una passkey protegge meglio dal phishing",[10,70,71],{},"Una password può essere copiata, riutilizzata su più servizi o inserita per errore in un sito contraffatto. Una passkey, invece, è associata al sito per cui è stata creata.",[10,73,74],{},"Se una pagina di phishing imita perfettamente il servizio originale ma utilizza un altro dominio, il browser non le mette a disposizione la passkey corretta. Non esiste inoltre una password che la persona possa essere convinta a comunicare.",[10,76,77],{},"Anche un’eventuale violazione dell’archivio del servizio espone soltanto le chiavi pubbliche. Queste non permettono di ricostruire le chiavi private necessarie per accedere agli account.",[25,79,81],{"id":80},"passkey-sincronizzate-e-legate-a-un-dispositivo","Passkey sincronizzate e legate a un dispositivo",[10,83,84],{},"Non tutte le passkey vengono conservate nello stesso modo.",[10,86,87,88,91],{},"Le ",[17,89,90],{},"passkey sincronizzate"," possono essere rese disponibili sugli altri dispositivi collegati allo stesso gestore di credenziali. È il caso, per esempio, dei sistemi integrati nei principali ecosistemi e di alcuni gestori di password. La sincronizzazione è cifrata end-to-end.",[10,93,87,94,97],{},[17,95,96],{},"passkey legate a un dispositivo"," restano invece su uno specifico computer, telefono o dispositivo hardware. Le chiavi di sicurezza fisiche sono utili soprattutto quando è richiesto un livello di garanzia elevato o quando non si desidera dipendere dalla sincronizzazione tramite cloud.",[10,99,100],{},"È inoltre possibile accedere su un computer utilizzando la passkey presente sul telefono. In genere viene mostrato un codice QR e la vicinanza tra i dispositivi viene verificata tramite Bluetooth; l’autenticazione vera e propria resta protetta crittograficamente.",[25,102,104],{"id":103},"le-password-sono-davvero-scomparse","Le password sono davvero scomparse?",[10,106,107],{},"Non ancora. Molti servizi affiancano le passkey alle password e mantengono procedure tradizionali per il recupero dell’account.",[10,109,110],{},"Questo passaggio è importante: un accesso è sicuro quanto il suo percorso più debole. Se una passkey protegge l’ingresso principale ma il recupero dell’account dipende da domande prevedibili o da un indirizzo email non protetto, il rischio non è stato eliminato.",[10,112,113],{},"Chi utilizza le passkey dovrebbe quindi:",[43,115,116,119,122,125,128],{},[46,117,118],{},"proteggere bene l’account del proprio gestore di credenziali;",[46,120,121],{},"registrare più di un metodo di accesso quando il servizio lo consente;",[46,123,124],{},"conservare con attenzione eventuali codici di recupero;",[46,126,127],{},"rimuovere le passkey associate a dispositivi venduti, persi o non più utilizzati;",[46,129,130],{},"mantenere aggiornati dispositivi e browser.",[25,132,134],{"id":133},"cosa-valutare-in-un-sito-o-in-unapplicazione","Cosa valutare in un sito o in un’applicazione",[10,136,137],{},"Integrare le passkey non significa soltanto aggiungere un nuovo pulsante alla schermata di accesso.",[10,139,140],{},"Occorre progettare almeno questi aspetti:",[142,143,144,150,156,162,168,174],"ol",{},[46,145,146,149],{},[17,147,148],{},"Registrazione:"," spiegare con parole comprensibili che cosa viene creato e su quale dispositivo.",[46,151,152,155],{},[17,153,154],{},"Accesso:"," permettere al browser di proporre la passkey senza introdurre passaggi inutili.",[46,157,158,161],{},[17,159,160],{},"Dispositivi multipli:"," consentire di registrare e riconoscere più passkey per lo stesso account.",[46,163,164,167],{},[17,165,166],{},"Recupero:"," definire una procedura sicura quando la persona perde tutti i propri dispositivi.",[46,169,170,173],{},[17,171,172],{},"Revoca:"," mostrare le passkey registrate e permettere di eliminare quelle non più affidabili.",[46,175,176,179],{},[17,177,178],{},"Transizione:"," accompagnare chi utilizza ancora password o autenticazione a due fattori.",[10,181,182],{},"Per un’applicazione esistente può essere prudente introdurre prima le passkey come metodo aggiuntivo, osservare come vengono utilizzate e ridurre progressivamente la dipendenza dalle password.",[25,184,186],{"id":185},"una-tecnologia-ormai-concreta","Una tecnologia ormai concreta",[10,188,189,190,197],{},"Secondo la ",[191,192,196],"a",{"href":193,"rel":194},"https:\u002F\u002Ffidoalliance.org\u002Fpasskeys\u002F",[195],"nofollow","FIDO Alliance",", le passkey sono supportate dai principali sistemi operativi, browser e gestori di credenziali. La questione non è più se arriveranno, ma come integrarle senza creare confusione o indebolire le procedure di recupero.",[10,199,200],{},"Per chi sviluppa un applicativo, questo significa considerare insieme sicurezza ed esperienza d’uso. Un accesso più semplice può essere anche più sicuro, purché l’intero percorso sia progettato con attenzione.",[10,202,203],{},"Se stai sviluppando un’applicazione e vuoi valutare l’autenticazione con passkey, possiamo partire dai suoi utenti, dai dati che protegge e dai metodi di accesso già presenti.",[10,205,206],{},[191,207,209],{"href":208},"\u002Fcontatti","Parliamo della tua applicazione",{"title":211,"searchDepth":212,"depth":212,"links":213},"",2,[214,215,216,217,218,219],{"id":27,"depth":212,"text":28},{"id":67,"depth":212,"text":68},{"id":80,"depth":212,"text":81},{"id":103,"depth":212,"text":104},{"id":133,"depth":212,"text":134},{"id":185,"depth":212,"text":186},[221],"Internet","077ee88d-2b10-5995-9e7c-042647ef6cc7","Le passkey hanno trasformato in realtà l'accesso senza password. Vediamo come funzionano, perché resistono al phishing e cosa considerare quando vengono integrate in un sito o in un'applicazione.","md",{"src":226,"alt":227},"\u002Fimages\u002Fblog\u002Ffido-dimentica-le-tue-password.jpg","Accesso sicuro a un sito o a un'applicazione mediante passkey",{"id":229,"url":230},8,"https:\u002F\u002Ffp-websolutions.ch\u002Fblog\u002Ffido-dimentica-le-tue-password",{},"Scopri come funzionano passkey e FIDO, perché proteggono dal phishing e cosa valutare per introdurle in siti e applicazioni web.","Passkey e FIDO: come funziona l'accesso senza password",true,"\u002Farticoli\u002Ffido-dimentica-le-tue-password","2022-07-19T00:00:00+02:00",{"title":5,"description":223},"published","articoli\u002Ffido-dimentica-le-tue-password",[241,242],"Sicurezza","Passkey",[221,241,244],"Applicazioni web","2026-10-16T00:00:00+02:00","80GlHBGmwzutl1EvNA23GKF0FNUhTwp9MpiWp9kNi4E",1792185257277]