# Le passkey diventano davvero multipiattaforma
Table of Contents
Per entrare in un sito serve quasi sempre una password: una stringa da ricordare, che si può dimenticare, riusare per pigrizia o consegnare per sbaglio a una pagina truffa. Le passkey nascono per sostituire quel meccanismo. Esistono da qualche anno, ma finora avevano un limite pratico che ne frenava la diffusione: una passkey creata dentro un ecosistema tendeva a restare lì. A gennaio 2025 Google ha annunciato un passo che riduce quel limite. Le passkey salvate nel suo gestore, Google Password Manager, sono ora disponibili anche su iPhone e iPad, oltre che su Android, Windows, macOS, Linux e ChromeOS. Vale la pena capire cos’è una passkey e perché poterla usare su dispositivi di marche diverse cambia le cose.
Cos’è una passkey
Una passkey è un modo per accedere a un sito o a un’app senza digitare una password. Al posto della parola segreta condivisa con il servizio, usa una coppia di chiavi crittografiche: due valori matematici legati fra loro. Una è la chiave privata e resta sul dispositivo dell’utente, protetta e mai comunicata a nessuno. L’altra è la chiave pubblica e viene consegnata al sito al momento della registrazione.
Quando si accede, il sito invia una piccola sfida da firmare. Il dispositivo firma quella sfida con la chiave privata, ma solo dopo che l’utente si è sbloccato come fa di solito: impronta, riconoscimento del volto, PIN o segno. Il sito verifica la firma con la chiave pubblica che aveva in archivio e lascia entrare. Il gesto per l’utente è lo stesso che usa già per sbloccare il telefono.
Questo disegno ha due conseguenze pratiche. La prima: non c’è più una password da rubare. Sul server del sito resta solo la chiave pubblica, che di per sé non permette di accedere; una fuga di dati non consegna più le credenziali di accesso. La seconda: la passkey è legata all’indirizzo reale del sito. Una pagina che imita la banca non riceverà mai la firma giusta, perché l’indirizzo non corrisponde. In pratica il phishing, cioè l’inganno che spinge a digitare le credenziali su un sito falso, smette di funzionare. Le passkey si basano su standard aperti, WebAuthn e FIDO2, curati dalla FIDO Alliance insieme al consorzio del web.
Perché la sincronizzazione era il vero ostacolo
Sulla carta il meccanismo è più semplice e più sicuro di una password. Il problema, finora, non era la crittografia: era la portabilità. Se la chiave privata resta sul dispositivo, cosa succede quando i dispositivi sono più di uno, magari di marche diverse?
La risposta dei grandi fornitori è stata sincronizzare le passkey in modo cifrato tra i propri apparecchi. Ma ciascuno lo faceva dentro il proprio recinto. Una passkey creata su iPhone finiva in Apple Passwords, l’ex Portachiavi iCloud, e restava utilizzabile sui dispositivi Apple. Una passkey creata su Android o su un computer, tramite Google Password Manager, viveva nel mondo Google e non arrivava su iPhone e iPad. Chi aveva un telefono di una marca e un computer di un’altra, o cambiava marca di telefono, poteva ritrovarsi senza la propria passkey proprio dove serviva.
È un ostacolo concreto. Se l’utente teme di rimanere chiuso fuori, tende a tenersi la vecchia password come rete di sicurezza, e il sito deve continuare a supportarla. Finché la password resta come alternativa, i vantaggi della passkey restano a metà. La sincronizzazione tra piattaforme diverse è quindi il tassello che decide se le passkey diventano un metodo di accesso quotidiano o restano una comodità per chi vive dentro un solo ecosistema.
Cosa ha annunciato Google
Il 16 gennaio 2025, sul blog per sviluppatori di Chrome, Google ha annunciato che le passkey di Google Password Manager sono disponibili su iOS e iPadOS, a partire dalla versione 17. Da quel momento Chrome, con lo stesso profilo connesso, sincronizza le passkey di Google Password Manager su tutte le piattaforme e i dispositivi: Android, iPhone e iPad, Windows, macOS, Linux e ChromeOS.
È il pezzo che mancava. La sincronizzazione tra computer e Android era già arrivata qualche mese prima, a settembre 2024, per Windows, macOS, Linux e ChromeOS. iPhone e iPad erano rimasti fuori: le passkey di Google Password Manager non erano disponibili lì, e quelle create su iOS finivano in Apple Passwords senza raggiungere le altre piattaforme. Con questo aggiornamento un singolo gestore, quello di Google, copre tutti i principali sistemi operativi da tavolo e da telefono.
Un dettaglio importante sul tono: non è una beta né una prova per pochi. È una funzione disponibile in modo stabile. Il requisito è iOS o iPadOS 17 o successivi; su iOS 16 le passkey continuano a essere salvate nel Portachiavi iCloud.
Come si usa, in pratica
Su un iPhone o iPad aggiornato ad almeno iOS 17, la passkey di Google Password Manager si usa impostando Chrome come fornitore di riempimento automatico nelle impostazioni del sistema. Da quel momento le passkey salvate nel gestore di Google diventano disponibili nelle app e nei browser del dispositivo, non solo dentro Chrome.
L’accesso a queste passkey è protetto da un PIN di Google Password Manager. Su un dispositivo nuovo serve quel PIN, oppure il metodo di sblocco di un dispositivo Android già collegato, per ripristinare le passkey. Conviene configurare per tempo questi elementi di recupero, perché sono l’unico modo per riottenere le proprie passkey.
Cosa tenere a mente
Qualche precisazione, per non leggere l’annuncio come più ampio di quello che è.
La sincronizzazione tra piattaforme di cui si parla qui riguarda un fornitore preciso, Google Password Manager, e passa da Chrome. Su iPhone occorre impostare Chrome come fornitore di riempimento automatico; le passkey di Google non si fondono con quelle di Apple Passwords. Chi preferisce restare nell’ecosistema Apple continua a usare Apple Passwords, che a sua volta sincronizza tra i dispositivi Apple. Il cambiamento è che oggi esiste almeno un gestore che attraversa tutti i sistemi principali, iOS compreso.
Le passkey di Google Password Manager sono cifrate end-to-end: sono leggibili solo sul dispositivo dell’utente e nemmeno Google può accedervi. È una garanzia sulla riservatezza, ma ha un rovescio: se si perdono sia il PIN sia i dispositivi collegati, il recupero diventa difficile. Per questo i metodi di ripristino vanno impostati quando tutto funziona, non quando serve.
Vale infine ricordare che una passkey non cancella le altre. Un sito può permettere di registrare più passkey, una per gestore o per dispositivo, e spesso conviene averne più di una come alternativa. E la password, dove è ancora offerta, resta lo strato da abbandonare per ultimo, non da buttare via il primo giorno.
In sintesi, la novità non è la passkey in sé, che c’era già, ma il fatto che ora un gestore la porti in modo uniforme su tutti i sistemi operativi diffusi. È il tipo di dettaglio poco appariscente che decide se una tecnologia di sicurezza resta di nicchia o diventa qualcosa che si usa senza pensarci.
