# Passkey portabili: uno standard per spostarle tra gestori diversi
Table of Contents
Chi ha iniziato a usare le passkey al posto delle password si è trovato presto davanti a una domanda pratica: se decido di cambiare gestore, le mie credenziali vengono con me? Fino a poco tempo fa la risposta era scomoda. Le passkey tendevano a restare intrappolate nel servizio dove erano nate, e non esisteva un modo sicuro e condiviso per spostarle altrove. La FIDO Alliance, l’organizzazione che cura gli standard alla base delle passkey, ha pubblicato le specifiche che affrontano proprio questo punto.
Perché conta
Il timore di restare legati a un fornitore ha un nome ricorrente: “lock-in”. Se cambiare strumento significa perdere le proprie credenziali, oppure esportarle in modo insicuro, molti preferiscono non muoversi affatto. Oppure tengono la vecchia password come rete di sicurezza. E finché la password resta come riserva, gran parte dei benefici delle passkey resta sulla carta. Rendere il trasferimento delle credenziali un’operazione prevista e sicura non è un dettaglio tecnico: è uno dei nodi che decidono se le passkey diventano un metodo di accesso diffuso o restano una comodità per pochi.
Cos’è una passkey, in breve
Una passkey è un modo per accedere a un sito o a un’app senza digitare una password. Al posto di una parola segreta usa una coppia di chiavi crittografiche: due valori matematici legati tra loro. Uno, la chiave privata, resta sul dispositivo dell’utente e non viene mai condiviso. L’altro, la chiave pubblica, viene consegnato al sito in fase di registrazione. Al momento dell’accesso il dispositivo firma una piccola “sfida” inviata dal sito, ma solo dopo che l’utente si è sbloccato come al solito: impronta, riconoscimento del volto o PIN.
Il vantaggio è doppio. Non c’è più una password da rubare, perché il sito conserva solo la chiave pubblica, che da sola non fa entrare nessuno né si presta a un attacco a forza bruta. E i tentativi di phishing, cioè le pagine finte che imitano un servizio per farsi digitare le credenziali, smettono di funzionare, perché la passkey è legata all’indirizzo reale del sito. Le passkey vengono in genere salvate e sincronizzate da un “gestore di credenziali”: può essere quello del sistema operativo, come Apple Passwords o Google Password Manager, oppure un’applicazione dedicata come 1Password o Bitwarden.
Il problema: nessun modo sicuro di spostarle
Fin qui la parte solida. Il punto debole era la portabilità. Ogni gestore custodiva le passkey dentro il proprio recinto, e passare da uno all’altro era complicato. Con le vecchie password esisteva almeno una via, ma pessima: esportarle in un file di testo, spesso in chiaro, cioè leggibile da chiunque aprisse quel file. Per le passkey non c’era nemmeno quello. Mancava del tutto uno standard, cioè un formato e una procedura condivisi che tutti i gestori potessero adottare.
Il risultato è proprio il lock-in di cui sopra. Senza una via d’uscita sicura, l’utente si sente in trappola, e la fiducia verso una tecnologia nuova ne risente.
Cosa ha pubblicato la FIDO Alliance
Per rispondere a questo problema la FIDO Alliance ha definito due specifiche complementari, riunite sotto il nome di Credential Exchange (scambio di credenziali).
- Credential Exchange Format (CXF): è il formato. Stabilisce come devono essere descritti i dati da trasferire, con una struttura comune basata su JSON (un modo diffuso e leggibile di organizzare dati). Non riguarda solo le passkey: copre anche password, chiavi SSH, credenziali Wi-Fi e altri tipi di segreto. L’idea è che un dato esportato risulti uguale a prescindere dal gestore che lo ha prodotto.
- Credential Exchange Protocol (CXP): è il protocollo, cioè il “come”. Definisce il modo in cui il trasferimento avviene tra due gestori, in forma cifrata e sicura per impostazione predefinita, lo stesso principio della cifratura dei dati in transito richiesto ai sistemi che trattano dati personali. L’obiettivo dichiarato è che le credenziali non viaggino più in chiaro.
In sintesi: CXF dice cosa si trasferisce, CXP dice come lo si trasferisce.
Un punto importante da capire: queste specifiche non spostano le passkey al posto dell’utente. Sono un linguaggio comune. Servono perché due gestori diversi, di aziende diverse, possano parlarsi e passarsi le credenziali senza inventare ogni volta un metodo proprio.
A che punto sono le specifiche
Qui serve onestà sui tempi, perché le due specifiche non sono allo stesso stadio.
Le prime bozze di CXF e CXP sono state pubblicate il 14 ottobre 2024, aperte ai commenti della comunità e non ancora pronte per l’uso reale. Da lì il lavoro è proseguito. Il 14 agosto 2025 il formato CXF è stato pubblicato come Proposed Standard, cioè una prima versione stabile (la 1.0) che i gestori possono iniziare a implementare. È un passaggio diverso da una semplice bozza: segna un punto fermo su cui costruire.
Il protocollo CXP, invece, al momento in cui si scrive è ancora in fase di bozza. In pratica il formato con cui descrivere le credenziali c’è ed è consolidato; la procedura sicura di trasferimento diretto tra gestori è ancora in via di definizione. È una distinzione utile per non leggere l’annuncio come “da domani sposto tutto con un clic”.
Vale la pena notare chi c’è dietro. Le specifiche nascono da un gruppo di lavoro della FIDO Alliance dedicato ai fornitori di credenziali, a cui hanno contribuito nomi molto diffusi: tra gli altri 1Password, Apple, Bitwarden, Dashlane, Enpass, Google, Microsoft, NordPass, Okta, Samsung e SK Telecom. È un dettaglio che conta: uno standard di portabilità ha senso solo se lo adottano proprio i gestori tra cui gli utenti vogliono spostarsi.
Cosa aspettarsi, con realismo
Uno standard pubblicato non è ancora una funzione pronta nel proprio gestore. Perché diventi qualcosa che si usa davvero, ogni fornitore deve implementarlo nei propri prodotti, e i tempi variano da uno all’altro. Detto questo, la direzione è chiara: rendere l’esportazione e l’importazione delle credenziali un’operazione sicura e prevista, invece di un percorso a ostacoli o di un file leggibile in chiaro.
Per l’utente comune il beneficio, quando arriverà a regime, è concreto: poter cambiare gestore di credenziali con la stessa libertà con cui oggi si cambia operatore telefonico mantenendo il numero. È proprio la mancanza di questa libertà che teneva molti fermi.
In sintesi
La FIDO Alliance ha definito uno standard per spostare le credenziali tra gestori diversi in modo sicuro: CXF per il formato dei dati e CXP per il protocollo di trasferimento. Il formato è arrivato a una prima versione stabile nell’agosto 2025; il protocollo è ancora in lavorazione. Non è una funzione già disponibile ovunque, ma è il tassello che mancava per togliere di mezzo il timore del lock-in, uno dei freni principali alla diffusione delle passkey.
