Per decenni la password è stata la porta d'ingresso quasi obbligata a qualsiasi servizio digitale, dalla casella email al conto in banca. Nel 2026 quella porta si sta lentamente smontando. Le grandi piattaforme tecnologiche, gli istituti bancari e persino gli enti pubblici stanno spingendo con decisione verso metodi di accesso senza password, e i numeri raccontano un cambiamento che non è più solo una promessa da conferenza tech, ma una realtà misurabile su miliardi di account in tutto il mondo.
In questa guida analizziamo cosa sono davvero le passkey, perché stanno sostituendo le password tradizionali, quali sono i numeri aggiornati sull'adozione nel 2026 e quali alternative esistono per chi non può o non vuole ancora abbandonare del tutto il vecchio sistema. Vedremo anche quali rischi comporta il passaggio al passwordless e come orientarsi tra le diverse opzioni disponibili oggi.
Indice dei Contenuti
- Perché le Password Stanno Scomparendo Davvero
- Cosa Sono le Passkey e Come Funzionano
- Passkey contro Password, i Numeri del Cambiamento nel 2026
- Chi Ha Già Adottato le Passkey, Apple, Google, Microsoft e Non Solo
- Vivere Senza Password, Esperienze, Domande e Pareri degli Esperti
- Le Nuove Linee Guida NIST e Cosa Cambia per le Aziende
- Oltre le Passkey, Autenticazione a Due Fattori, Password Manager e Biometria
- Rischi e Limiti delle Passkey, Cosa Sapere Prima di Passare al Passwordless
- Cosa Conviene Usare nel 2026, Guida Pratica per Scegliere
- Domande Frequenti
- Conclusione
Perché le Password Stanno Scomparendo Davvero
Il problema delle password non è mai stato tecnico quanto umano. Le persone le riutilizzano, le scelgono deboli, le dimenticano e, soprattutto, continuano a essere il bersaglio preferito di chi vuole entrare in un account senza permesso. Secondo il Data Breach Investigations Report 2026 di Verizon, basato sull'analisi di oltre 22.000 violazioni confermate in 145 paesi, l'abuso di credenziali resta presente nel 39% di tutte le violazioni quando si considera l'intero percorso di un attacco, non solo il punto di accesso iniziale.
Lo stesso rapporto evidenzia un dettaglio interessante: la quota di utenti che utilizza password già comparse in precedenti violazioni di dati è pari al 4%, il che significa che chi usa una password compromessa corre un rischio più di quattro volte superiore rispetto a chi usa semplicemente una password debole ma mai esposta. Un altro 6% degli utenti, in media, riutilizza la stessa password su più account, un'abitudine che trasforma una singola fuga di dati in un effetto domino su decine di servizi diversi.
A questo si aggiunge un fenomeno più recente e più insidioso: il phishing potenziato dall'intelligenza artificiale, capace di scrivere messaggi credibili in italiano perfetto e persino di clonare voci reali per convincere una vittima a rivelare le proprie credenziali. Chi vuole approfondire questo aspetto può leggere l'analisi dedicata alle truffe telefoniche, ai deepfake vocali e al phishing potenziato dall'IA, che spiega come questi attacchi stiano diventando sempre più difficili da riconoscere proprio a causa delle stesse tecnologie di intelligenza artificiale generativa.
È proprio in risposta a questo scenario che l'industria tecnologica ha spinto sull'acceleratore delle passkey, una tecnologia pensata per eliminare alla radice il problema stesso delle credenziali che possono essere rubate, indovinate o riutilizzate.
Cosa Sono le Passkey e Come Funzionano
Una passkey è una credenziale digitale basata su crittografia a chiave pubblica, sviluppata secondo gli standard aperti dell'alleanza FIDO, che sostituisce completamente la combinazione di nome utente e password. A differenza di una password, una passkey non è una stringa di testo che l'utente deve ricordare, digitare o custodire: è una coppia di chiavi crittografiche generate automaticamente dal dispositivo.
Il funzionamento si basa su un principio semplice ma efficace. Quando viene creata una passkey, il dispositivo genera due chiavi collegate matematicamente tra loro: una chiave pubblica, che viene inviata e conservata dal servizio a cui ci si sta registrando, e una chiave privata, che non lascia mai il dispositivo dell'utente. Al momento dell'accesso, il servizio invia una richiesta di verifica che solo la chiave privata può soddisfare correttamente, senza che questa venga mai trasmessa in rete. Per attivare la chiave privata basta uno sblocco biometrico, come l'impronta digitale o il riconoscimento del volto, oppure il PIN del dispositivo.
Questo meccanismo ha una conseguenza pratica molto importante: poiché non esiste alcun segreto condiviso da digitare su un sito web, le passkey sono strutturalmente resistenti al phishing. Anche se un utente venisse indirizzato su un sito clone perfettamente identico all'originale, non avrebbe nulla da digitare o rivelare, perché la chiave privata non funziona su un dominio diverso da quello per cui è stata creata.
Molte passkey moderne, inoltre, sono sincronizzate tramite il portachiavi cloud del produttore del dispositivo, come iCloud Keychain per Apple, Google Password Manager per Android o Microsoft Account per Windows, permettendo di usarle su più dispositivi dello stesso ecosistema senza doverle ricreare ogni volta.
Passkey contro Password, i Numeri del Cambiamento nel 2026
Il passaggio dalle password alle passkey non è più un fenomeno di nicchia. Secondo il report State of Passkeys 2026 della FIDO Alliance, basato su un'indagine condotta da Sapio Research su 11.000 consumatori e 1.400 responsabili aziendali in dieci paesi, si stima che siano oggi in uso circa 5 miliardi di passkey nel mondo.
I dati principali del rapporto, pubblicato in occasione del World Passkey Day 2026, mostrano una crescita rapida su tutti i fronti:
- Il 90% delle persone conosce oggi le passkey, un aumento significativo rispetto agli anni precedenti.
- Il 75% degli utenti ha attivato almeno una passkey su un proprio account.
- Il 49% delle persone le utilizza regolarmente, ogni volta che è possibile o quasi.
- Il 68% delle organizzazioni ha già implementato o sta implementando le passkey per l'accesso dei propri dipendenti.
- L'82% delle aziende considera l'autenticazione completamente senza password un obiettivo prioritario, e il 28% lo ha già raggiunto.
Oltre alla sicurezza, le passkey mostrano anche un vantaggio concreto sull'esperienza d'uso: secondo le analisi basate sugli stessi dati FIDO, il tasso di successo al primo tentativo di accesso con una passkey si attesta intorno al 93%, contro il 63% dei metodi tradizionali basati su password, un divario che si traduce in meno accessi falliti, meno richieste di reset e meno abbandoni durante il login.
Chi Ha Già Adottato le Passkey, Apple, Google, Microsoft e Non Solo
La spinta verso il passwordless non arriva da un singolo attore, ma da un consenso ormai diffuso tra i principali produttori di sistemi operativi e servizi digitali. Apple, Google e Microsoft hanno integrato il supporto alle passkey direttamente nei propri sistemi operativi e negli account principali, rendendo la funzione disponibile senza bisogno di app o strumenti aggiuntivi per centinaia di milioni di utenti.
A livello aziendale il fenomeno segue una traiettoria simile. Più di 200 organizzazioni hanno sottoscritto il Passkey Pledge promosso dalla FIDO Alliance, un impegno pubblico a favorire l'adozione dell'autenticazione senza password all'interno dei propri servizi. Anche a livello geografico si osservano differenze interessanti: nell'area Asia Pacifico, ad esempio, il 72% delle organizzazioni ha già implementato o sta implementando le passkey, e il 37% ha raggiunto un ambiente di lavoro completamente passwordless, percentuali superiori alla media globale.
Non mancano però resistenze legate a fattori pratici più che tecnologici. Tra le aziende che non hanno ancora completato la transizione, una quota significativa dichiara di attendere che tecnologie e standard maturino ulteriormente, mentre un'altra parte ritiene che la combinazione di password e autenticazione a più fattori sia già sufficiente per il proprio livello di rischio.
Vivere Senza Password, Esperienze, Domande e Pareri degli Esperti
Al di là dei numeri aggregati, la transizione verso le passkey si vive in modo molto diverso a seconda del contesto personale e professionale di chi la affronta.
Un libero professionista che gestisce diversi account cloud per il proprio lavoro ha raccontato di aver attivato le passkey su email e servizi bancari principalmente per ridurre il tempo perso nei reset di password dimenticate, scoprendo solo in un secondo momento il reale vantaggio in termini di sicurezza contro i tentativi di phishing ricevuti via email.
Un responsabile IT di una piccola azienda ha descritto la fase di transizione come più lenta del previsto, non per resistenza tecnica ma perché alcuni fornitori software utilizzati internamente non supportano ancora pienamente lo standard FIDO2, costringendo a mantenere in parallelo un sistema misto di password e autenticazione a più fattori.
Una persona meno esperta di tecnologia ha riferito di aver trovato la procedura di attivazione più semplice del previsto, grazie al riconoscimento del volto già usato quotidianamente per sbloccare lo smartphone, ma di provare ancora una certa diffidenza nel non avere una password "da poter scrivere da qualche parte" come misura di backup psicologica.
Un amministratore di sistema in ambito sanitario ha sottolineato come il vantaggio più concreto osservato internamente non sia stato solo la riduzione degli attacchi di phishing, ma anche il calo delle richieste di assistenza per il recupero degli accessi, con un impatto diretto sul carico di lavoro del proprio team.
Domande e Risposte Rapide
Le passkey funzionano anche offline o senza connessione internet? La generazione e l'utilizzo della chiave privata avvengono localmente sul dispositivo, ma la verifica con il servizio online richiede comunque una connessione attiva per completare l'accesso.
Se cambio smartphone, perdo le mie passkey? Dipende dal sistema utilizzato: le passkey sincronizzate tramite il portachiavi cloud del produttore vengono generalmente recuperate accedendo con lo stesso account su un nuovo dispositivo, mentre le passkey legate a un singolo dispositivo fisico, come una chiave di sicurezza hardware, restano vincolate a quell'oggetto.
Le passkey sostituiscono anche l'autenticazione a due fattori? In molti casi sì, perché la passkey combina già in sé un elemento di possesso, il dispositivo, e un elemento di verifica dell'identità, come l'impronta digitale, offrendo un livello di sicurezza paragonabile o superiore a password più secondo fattore separato.
Il Parere degli Enti di Riferimento
La FIDO Alliance, l'organizzazione che ha sviluppato gli standard tecnici alla base delle passkey, descrive la crescita registrata nel 2026 come il punto di svolta dopo oltre un decennio di lavoro sugli standard aperti di autenticazione, sottolineando che l'obiettivo non è più dimostrare che la tecnologia funziona, ma estenderne l'adozione su scala ancora più ampia. Il NIST, l'ente statunitense che definisce gli standard di riferimento globale in materia di identità digitale, ha formalmente riconosciuto le passkey sincronizzate come metodo di autenticazione di livello AAL2 e le passkey vincolate al dispositivo come metodo di livello AAL3, il grado di garanzia più elevato previsto dalle proprie linee guida, equiparandole di fatto ai migliori strumenti di autenticazione forte oggi disponibili.
Le Nuove Linee Guida NIST e Cosa Cambia per le Aziende
Il National Institute of Standards and Technology statunitense rappresenta da anni il punto di riferimento globale per le politiche di autenticazione digitale, anche al di fuori dei confini americani. Con la revisione 4 della pubblicazione speciale SP 800 63B, finalizzata a metà del 2025, il NIST ha ribaltato molte delle vecchie regole che per anni hanno guidato la creazione delle password.
Le principali novità includono:
- La lunghezza consigliata per le password create dagli utenti sale a 15 caratteri, privilegiando frasi lunghe e memorizzabili rispetto a stringhe brevi ma complesse.
- Vengono abbandonati i requisiti obbligatori di complessità, come l'uso forzato di maiuscole, numeri e simboli, che in passato spingevano spesso verso password prevedibili.
- Il cambio periodico forzato della password non è più raccomandato, a meno che non vi sia un sospetto concreto di compromissione, perché tende a produrre varianti deboli della stessa password originale.
- Diventa obbligatorio il controllo delle nuove password rispetto a elenchi di credenziali già compromesse, per impedire agli utenti di scegliere password già note ai criminali informatici.
- Vengono sconsigliati suggerimenti password e domande di sicurezza statiche, facilmente aggirabili tramite tecniche di ingegneria sociale o informazioni reperibili online.
Per le aziende italiane, che spesso allineano le proprie politiche interne agli standard internazionali più diffusi, questo cambiamento significa rivedere policy ormai datate, come i reset trimestrali obbligatori, in favore di un approccio basato sul rischio reale, che privilegia l'autenticazione a più fattori e, quando possibile, l'adozione diretta delle passkey.
Oltre le Passkey, Autenticazione a Due Fattori, Password Manager e Biometria
Non tutti i servizi supportano ancora le passkey, e non tutti gli utenti sono pronti ad abbandonare del tutto le password. Per questo motivo, nel 2026 la strategia più realistica resta quella di combinare strumenti diversi a seconda del contesto, piuttosto che affidarsi a un'unica soluzione.
L'autenticazione a due fattori, o 2FA, resta uno strumento fondamentale ovunque le passkey non siano ancora disponibili. Tra le varianti disponibili, le app di autenticazione basate su codici temporanei offrono una sicurezza superiore rispetto agli SMS, che restano vulnerabili a tecniche come lo scambio fraudolento di SIM. Le chiavi di sicurezza hardware, basate sullo stesso standard FIDO2 delle passkey, rappresentano invece il livello di protezione più elevato oggi disponibile per account particolarmente sensibili.
I password manager continuano a svolgere un ruolo importante anche in un mondo che si sta progressivamente allontanando dalle password, sia perché molti servizi minori impiegheranno ancora anni prima di supportare le passkey, sia perché permettono di generare e conservare in sicurezza password lunghe e uniche per ogni account, riducendo drasticamente il rischio legato al riutilizzo delle credenziali. Molti password manager includono oggi anche funzioni per verificare se le proprie credenziali sono comparse in violazioni di dati note, uno strumento utile per capire quanto della propria identità digitale sia già esposta online. Su questo tema, chi desidera ridurre in modo più ampio la propria esposizione può approfondire la guida su come cancellare le proprie tracce dal web e far valere il diritto all'oblio digitale, utile per capire quali dati personali sono già pubblici e come richiederne la rimozione.
La biometria, come impronta digitale e riconoscimento del volto, funziona quasi sempre come elemento di sblocco locale del dispositivo, non come dato trasmesso al servizio online. Questo è un aspetto spesso frainteso: né Apple, né Google, né Microsoft trasmettono l'impronta digitale o la mappa del volto dell'utente ai siti web a cui si accede tramite passkey; il dato biometrico resta all'interno di un'area protetta del dispositivo e serve unicamente a sbloccare la chiave privata memorizzata localmente.
Rischi e Limiti delle Passkey, Cosa Sapere Prima di Passare al Passwordless
Le passkey riducono drasticamente alcune categorie di rischio, ma non le eliminano del tutto, ed è importante avere aspettative realistiche prima di affidarsi completamente a questa tecnologia.
Il primo limite riguarda la dipendenza dall'ecosistema del produttore. Chi sincronizza le proprie passkey tramite un account Apple, Google o Microsoft affida di fatto la propria continuità di accesso alla sicurezza di quell'account principale, che deve quindi essere protetto con la massima attenzione, idealmente con un secondo fattore di autenticazione forte.
Il secondo limite riguarda la compatibilità ancora parziale. Molti servizi, in particolare software gestionali aziendali meno recenti o piattaforme di nicchia, non supportano ancora lo standard FIDO2, rendendo necessaria per anni ancora una convivenza tra passkey e password tradizionali.
Un terzo aspetto, meno discusso ma rilevante per chi guarda al lungo periodo, riguarda la solidità futura della crittografia su cui si basano le passkey stesse. Le chiavi crittografiche utilizzate oggi sono considerate sicure contro gli attacchi dei computer tradizionali, ma la ricerca sui computer quantistici sta ponendo interrogativi concreti sulla tenuta nel tempo di molti degli algoritmi crittografici attualmente in uso, incluse le firme digitali su cui si fondano gli standard FIDO2. Chi vuole approfondire questo tema può leggere l'analisi dedicata a come i computer quantistici stiano ridisegnando cybersecurity e crittografia, che spiega perché l'industria della sicurezza informatica stia già lavorando su algoritmi resistenti al calcolo quantistico, i cosiddetti standard post-quantistici, destinati a essere integrati anche negli standard di autenticazione dei prossimi anni.
Infine, le passkey non proteggono da tutte le forme di ingegneria sociale. Se un criminale riesce a convincere una vittima ad approvare manualmente una richiesta di accesso non autorizzata, tramite tecniche di pressione psicologica simili a quelle usate nelle truffe telefoniche più sofisticate, il vantaggio tecnico offerto dalla passkey può essere in parte vanificato dal fattore umano.
Cosa Conviene Usare nel 2026, Guida Pratica per Scegliere
Non esiste un'unica risposta valida per tutti, perché la scelta dipende dal tipo di account, dal livello di rischio e dalla disponibilità del servizio utilizzato. Ecco un quadro sintetico per orientarsi.
| Situazione | Soluzione consigliata | Perché |
|---|---|---|
| Account principali, email, servizi Apple, Google o Microsoft | Passkey | Massima resistenza al phishing e nessuna credenziale da ricordare o digitare |
| Servizi bancari e finanziari | Passkey quando disponibile, altrimenti password lunga più 2FA con app di autenticazione | Livello di sicurezza AAL3 raggiungibile, evitando gli SMS come secondo fattore |
| Servizi minori senza supporto passkey | Password lunga e unica generata da un password manager | Riduce il rischio di riutilizzo delle credenziali tra più account |
| Account aziendali con dati sensibili | Chiave di sicurezza hardware FIDO2 più policy aziendale allineata al NIST SP 800 63B | Livello di garanzia più elevato per ambienti ad alto rischio |
| Recupero e backup degli accessi | Codici di recupero conservati offline, in un luogo fisico sicuro | Evita di restare bloccati fuori dal proprio account in caso di perdita del dispositivo |
La strategia più solida per il 2026 non consiste nel passare tutto e subito alle passkey, ma nell'adottarle ovunque siano disponibili, mantenendo un password manager per tutto il resto e riservando le chiavi di sicurezza hardware agli account più critici.
Domande Frequenti
Le passkey sono davvero più sicure delle password?
Sì. Le passkey eliminano il segreto condiviso che rende le password vulnerabili a phishing, furto di database e riutilizzo delle credenziali, perché la chiave privata non lascia mai il dispositivo dell'utente e non può essere digitata per errore su un sito falso.
Posso ancora usare le password insieme alle passkey?
Sì. Nella maggior parte dei casi passkey e password possono coesistere sullo stesso account come metodi di accesso alternativi, ed è comune, soprattutto in questa fase di transizione, mantenere entrambe le opzioni attive.
Cosa succede se perdo il dispositivo su cui ho creato le mie passkey?
Se le passkey sono sincronizzate tramite un portachiavi cloud, è sufficiente accedere con lo stesso account su un nuovo dispositivo per recuperarle. Se invece erano legate a un dispositivo fisico non sincronizzato, sarà necessario utilizzare un metodo di recupero alternativo previsto dal servizio, come un codice di backup o un secondo dispositivo già autorizzato.
Le passkey funzionano su tutti i siti web?
No, non ancora. Il supporto è cresciuto molto nel 2026, ma resta diffuso soprattutto tra i grandi servizi digitali; molti siti minori e software aziendali meno recenti continuano a richiedere una password tradizionale.
Posso controllare se le mie password attuali sono già state compromesse?
Sì, tramite servizi dedicati come la sezione Pwned Passwords di Have I Been Pwned, che permette di verificare se una password specifica è già comparsa in violazioni di dati note, senza mai trasmettere la password completa al servizio durante il controllo.
Conclusione
Le password non scompariranno da un giorno all'altro, ma la direzione presa dall'industria tecnologica nel 2026 è ormai chiara. Con 5 miliardi di passkey già in uso, tre quarti degli utenti che ne hanno attivata almeno una e oltre due terzi delle aziende in fase di implementazione, il passwordless è passato da idea sperimentale a standard concreto, sostenuto anche dalle nuove linee guida del NIST che ridefiniscono cosa significhi davvero una buona pratica di autenticazione.
Per chi si chiede cosa convenga fare oggi, la risposta più equilibrata è attivare le passkey ovunque siano disponibili, affidarsi a un password manager per tutto il resto e riservare le chiavi di sicurezza hardware agli account che meritano il massimo livello di protezione, senza dimenticare che nessuna tecnologia, per quanto avanzata, sostituisce del tutto l'attenzione e la prudenza di chi la utilizza ogni giorno.
Fonti e Riferimenti
- FIDO Alliance, State of Passkeys 2026 Report, fidoalliance.org
- Verizon, 2026 Data Breach Investigations Report, verizon.com
- National Institute of Standards and Technology, Digital Identity Guidelines, SP 800 63B Revision 4, nist.gov
- CLUSIT, Associazione Italiana per la Sicurezza Informatica, Rapporto Clusit 2026 sulla Sicurezza ICT in Italia, clusit.it
- Have I Been Pwned, Pwned Passwords, haveibeenpwned.com