Passkey in azienda: cosa funziona davvero nel 2026
Le passkey promettono la fine delle password. Come funzionano, dove sono mature, dove creano problemi di gestione e un percorso di adozione in tre fasi per una PMI.
Le password hanno un difetto strutturale: sono un segreto condiviso. Il server ne conserva una copia (o un hash), l’utente la digita in una pagina che potrebbe essere finta, e chiunque intercetti quel testo può riusarlo. Ogni misura aggiuntiva degli ultimi vent’anni, dai requisiti di complessità ai codici via SMS, è stata un cerotto su quella ferita.
Le passkey cambiano il modello. L’autenticazione avviene con una coppia di chiavi crittografiche: la privata resta sul dispositivo dell’utente, la pubblica sta sul server. Al login il server invia una sfida, il dispositivo la firma dopo aver verificato l’utente con impronta, volto o PIN, e il server controlla la firma. Non c’è nulla da digitare e nulla da rubare: la firma vale solo per quel sito, quindi una pagina di phishing riceve una risposta inutile. È lo standard WebAuthn/FIDO2 che, dal 2022, i grandi sistemi operativi hanno reso utilizzabile senza chiavette esterne.
Nel 2026 la domanda per un’azienda non è più «funzionano?», ma «dove funzionano bene e cosa cambia nella gestione».
Le due famiglie
Sotto la stessa parola vivono due cose diverse, e la scelta fra le due è la prima decisione da prendere.
Passkey sincronizzate. La chiave privata è salvata nel portachiavi del sistema (iCloud, Google Password Manager, Microsoft Password Manager tramite Edge, per ora solo con profilo personale) o in un gestore di password, e viene sincronizzata sugli altri dispositivi dell’utente. Comodità massima: il telefono nuovo ha già tutto. Sono quelle che i consumatori usano da anni con Google, Apple, Amazon, PayPal.
Passkey vincolate al dispositivo. La chiave nasce e muore su un hardware: una chiave di sicurezza FIDO2 (YubiKey e simili) o il chip del computer, senza sincronizzazione. Meno comode, ma dimostrabili: l’azienda sa esattamente su quale oggetto vive la chiave, può inventariarlo, revocarlo, e può richiedere un livello di garanzia più alto per gli accessi amministrativi.
Per la maggior parte dei dipendenti le passkey sincronizzate sono un progresso enorme rispetto alla password più SMS. Per amministratori di sistema, finanza e chi tocca i dati dei clienti, la versione su hardware è quella che regge una verifica.
Dove sono mature
- Identity provider aziendali. Microsoft Entra ID, Google Workspace, Okta e gli altri supportano le passkey come metodo primario, con criteri per imporle a gruppi di utenti e per distinguere quelle sincronizzate da quelle su hardware.
- Browser e sistemi operativi. Chrome, Edge, Safari e Firefox sulle versioni correnti; Windows 11, macOS, iOS e Android le gestiscono nativamente. Il cross-device (accedere dal PC usando la passkey del telefono, tramite QR e Bluetooth) funziona in modo affidabile.
- Gestori di password. 1Password, Bitwarden, Dashlane e altri conservano passkey e le rendono disponibili su ogni piattaforma: è la strada più pratica per un’azienda mista Windows/Mac/Android/iOS.
- Applicazioni web proprie. Le librerie WebAuthn per i linguaggi principali sono stabili; aggiungere le passkey a un’applicazione con login classico è un lavoro di giorni, non di mesi.
Dove creano problemi
Il recupero. Se l’utente perde tutti i dispositivi, con le passkey sincronizzate il recupero passa dall’account Apple, Google o Microsoft, cioè da un processo che l’azienda non controlla. Con quelle su hardware serve una chiave di riserva registrata in anticipo. Il flusso di recupero va progettato prima, altrimenti diventa la password che si voleva eliminare, riproposta sotto forma di «codici di backup» spediti via mail.
Il ciclo di vita. Onboarding di un dipendente senza un dispositivo aziendale già configurato, offboarding di chi ha la passkey sul telefono personale, condivisione di account di servizio che non dovrebbero esistere ma esistono: ogni caso richiede una risposta scritta.
Le applicazioni legacy. Il gestionale interno, il client VPN datato, la stampante multifunzione: dove non passa un identity provider moderno, le passkey non arrivano. Serve un inventario e una regola su cosa mettere dietro il single sign-on.
La conformità. Alcuni framework chiedono esplicitamente che la chiave non lasci il dispositivo o che il livello di garanzia sia dimostrabile. In questi casi la sincronizzazione va disattivata per i ruoli interessati.
Il percorso in tre fasi
Fase 1, un mese: gli amministratori. Chiavi di sicurezza hardware, due per persona, registrate su identity provider, console cloud, registrar e pannelli di hosting. Password disattivate per questi account dove il servizio lo permette, altrimenti password lunghe generate e mai digitate. Questa fase da sola chiude la via più costosa di compromissione.
Fase 2, un trimestre: la posta e il single sign-on. Passkey come metodo predefinito per tutti i dipendenti sull’identity provider, con l’opzione sincronizzata per chi usa dispositivi aziendali gestiti, e chiavi hardware per chi accede a dati sensibili. Le vecchie MFA restano attive come ripiego solo per il tempo della migrazione, poi vengono spente: finché un metodo debole resta disponibile, l’attaccante lo sceglierà.
Fase 3, in continuo: le applicazioni. Ogni applicazione interna o SaaS viene classificata: dietro il single sign-on, con passkey nativa, o da sostituire. Le nuove applicazioni si acquistano solo se supportano SSO e WebAuthn.
Cosa chiedere a un fornitore
Quando un SaaS o un identity provider dichiara «supportiamo le passkey», le domande che distinguono un supporto vero da una casella spuntata sono quattro. Si può imporre la passkey a un gruppo di utenti, o è solo un’opzione che l’utente può ignorare? Si può distinguere una passkey sincronizzata da una su hardware, e richiedere la seconda per certi ruoli? Si possono elencare e revocare le passkey registrate da un pannello di amministrazione, senza chiedere all’utente? E il flusso di recupero è configurabile dall’azienda, o passa da un’email di reset che riapre la porta che si voleva chiudere? Un fornitore che risponde no a due di queste domande offre passkey «per i consumatori», non per un’organizzazione.
Cosa dire agli utenti
La resistenza non è tecnica, è di abitudine. Tre messaggi funzionano: la passkey è più veloce della password più codice; non c’è nulla da ricordare né da cambiare ogni novanta giorni; e l’impronta o il volto non lasciano il telefono, servono solo a sbloccare la chiave. La formazione dura venti minuti, il supporto nelle prime due settimane è il vero costo del progetto.
In sintesi
| Aspetto | Password + codice | Passkey sincronizzata | Passkey su hardware |
|---|---|---|---|
| resistenza al phishing | no | sì | sì |
| furto della credenziale a distanza | possibile | no | no |
| comodità per l’utente | bassa | alta | media |
| controllo aziendale del dispositivo | nessuno | parziale | completo |
| recupero | password reset | account del fornitore | seconda chiave |
| costo per utente | zero | zero | 35-70 € |
Le passkey non eliminano la gestione delle identità: la spostano dalle password, che nessuno controlla, ai dispositivi, che si possono controllare. Nel 2026 un’azienda che le usa per gli amministratori e per la posta ha già tolto di mezzo la causa della grande maggioranza delle intrusioni che vediamo. Il resto è un percorso, e conviene iniziarlo dalla fase uno.