Una passkey sostituisce la password (e il codice 2FA) con una coppia di chiavi crittografiche: quella privata vive nello smartphone, nel laptop o in una chiave di sicurezza e si sblocca con impronta, volto o PIN. Poiché è legata al dominio legittimo, non può essere digitata in un sito contraffatto: il phishing di credenziali smette di funzionare per design. Dokuflex permette già di accedere con le passkey e di fissare la policy per tutta l’organizzazione.
Cos’è una passkey (e perché non è «un’altra password»)
Una passkey è una credenziale dello standard WebAuthn/FIDO2 basata sulla crittografia a chiave pubblica. Al momento della registrazione, il tuo dispositivo genera una coppia di chiavi: quella privata resta custodita nello smartphone, nel laptop o in una chiave di sicurezza, protetta da impronta, volto o PIN; il server conserva solo quella pubblica. All’accesso, il server invia una sfida univoca e il dispositivo la firma dopo lo sblocco biometrico. Non si digita nulla. Nessun segreto viaggia.
Da quel design derivano le tre proprietà che la distinguono da qualsiasi password:
- Non c’è nulla da ricordare né da digitare: il «fattore umano» — password deboli, riutilizzate o annotate — scompare dal login.
- Non c’è alcun segreto riutilizzabile da rubare: se qualcuno viola il database del server, ottiene solo chiavi pubbliche, inutili per impersonare chiunque.
- È legata crittograficamente al dominio: il browser firma solo per il dominio in cui la passkey è stata registrata. In un sito clonato, semplicemente non c’è nulla da consegnare.
Esistono due varianti: le passkey sincronizzate (viaggiano con il tuo account Apple, Google o Microsoft tra i tuoi dispositivi) e quelle vincolate all’hardware (vivono in una chiave fisica tipo YubiKey e non la lasciano mai — l’opzione preferita per i profili ad alto privilegio).
Perché il phishing continua a funzionare (anche se hai il 2FA)
Il phishing non «hackera» nulla: chiede la password e l’utente gliela consegna. Per questo è da anni tra i vettori di attacco più frequenti — il Data Breach Investigations Report di Verizon colloca anno dopo anno le credenziali rubate e il phishing in cima alle violazioni analizzate. E contro questo la formazione aiuta, ma non chiude la falla: basta un clic fatto di fretta.
Il 2FA classico alza l’asticella, ma non elimina il problema. Anche un codice TOTP o via SMS si può digitare nel posto sbagliato: i kit di phishing con proxy inverso (attacchi adversary-in-the-middle) raccolgono password e codice in tempo reale e li inoltrano al sito legittimo prima che scadano. E le notifiche push hanno il proprio tallone d’Achille: la fatica da MFA, cioè bombardare l’utente finché non accetta.
La passkey rompe l’intero modello: poiché il browser firma solo per il dominio registrato, su dokuflex-sicuro.com non appare nulla da firmare. L’utente non può regalare un segreto che non conosce e non possiede. In più, spariscono il riutilizzo delle password tra servizi, i post-it sotto la tastiera e buona parte dei ticket «ho dimenticato la password».
Password, password + 2FA e passkey: il confronto
| Password | Password + TOTP | Passkey | |
|---|---|---|---|
| Resiste al phishing | No | Parzialmente — anche il codice si può digitare in un sito contraffatto | Sì, per design — legata al dominio legittimo |
| Cosa trapela se violano il server | Hash di password attaccabili | Hash + semi TOTP | Solo chiavi pubbliche, inservibili |
| Gesti all’accesso | Digitare la password | Digitare la password + aprire l’app + copiare il codice | Uno: impronta, volto o PIN |
| Ticket di reset e dimenticanze | Frequenti | Frequenti (e più attrito) | Non c’è nulla da dimenticare |
| Conta come MFA? | No | Sì | Sì — dispositivo + biometria/PIN in un solo gesto |
Nulla di tutto questo obbliga a buttare via ciò che hai già: se la tua organizzazione entra tramite SSO aziendale (Active Directory, ADFS, OAuth, SAML) con 2FA, le passkey convivono con quello schema e lo sostituiscono al ritmo che decidi tu.
NIS2, GDPR e ISO 27001: cosa chiedono e cosa apporta la passkey
Nessuna norma esige le «passkey» per nome. Ma tutte quelle che toccano l’impresa italiana spingono nella stessa direzione:
- NIS2: l’articolo 21 della Direttiva (UE) 2022/2555 — recepita in Italia sotto la vigilanza dell’Agenzia per la Cybersicurezza Nazionale (ACN) — include tra le misure minime l’uso di «soluzioni di autenticazione a più fattori o di autenticazione continua». Se la tua impresa rientra nel suo ambito, l’autenticazione forte smette di essere facoltativa.
- GDPR: l’articolo 32 impone misure tecniche e organizzative adeguate al rischio, e un accesso ai dati personali protetto dalla sola password è sempre più difficile da difendere davanti al Garante dopo una violazione. Un’autenticazione resistente al phishing è una misura concreta e facile da documentare.
- ISO 27001 e audit dei clienti: il controllo degli accessi è tra i primi punti che qualsiasi auditor esamina. Una policy di passkey applicata a tutta l’organizzazione è evidenza diretta, e tra le più semplici da dimostrare.
Una sfumatura che i regolatori già recepiscono: non tutta la MFA vale allo stesso modo. La guida NIST SP 800-63B distingue l’autenticazione resistente al phishing — quella crittografica, come FIDO2 — da quella che non lo è (SMS, TOTP). Adottare le passkey oggi significa posizionarsi dove la regolamentazione sarà domani.
Come lo risolve Dokuflex: passkey con policy aziendale
Dokuflex integra l’accesso con passkey sullo standard WebAuthn/FIDO2 — e lo fa pensando a come si amministra in un’azienda, non solo al gesto dell’utente:
- Un pulsante nel login: «Accedi con chiave di accesso». Impronta, volto o chiave di sicurezza — senza password e senza codice 2FA, perché la passkey vale per entrambi.
- Più passkey per utente: ogni persona registra le proprie dal profilo — smartphone, laptop, chiave fisica — e se perde un dispositivo, entra con un altro.
- Policy per organizzazione da un menu a tendina: disattivato, facoltativo oppure obbligatorio con periodo di tolleranza. E una modalità rigorosa «solo chiavi hardware» per amministratori e profili con accesso a dati sensibili.
- Controllo del ciclo di vita: l’amministratore revoca all’istante la passkey di un dispositivo smarrito, e la registrazione forzata fa sì che chi non ha ancora una passkey la registri all’ingresso quando l’organizzazione lo richiede.
- Convive con il tuo schema attuale: il SSO aziendale e il 2FA TOTP di Dokuflex restano al loro posto; la passkey li sostituisce utente per utente, senza migrazioni di colpo.
Tutto il flusso — registrazione, accesso senza password e policy — è verificato end-to-end e non richiede alcuna installazione: un browser moderno e lo sblocco che ogni dispositivo già usa (Windows Hello, Face ID, impronta su Android o chiave FIDO2).
Come implementare le passkey senza attriti: piano in 5 passi
- Inizia in «facoltativo» e con l’IT. Attiva la policy in modalità facoltativa e lascia che il team tecnico la usi per una o due settimane: emergeranno i dubbi reali prima di toccare il resto.
- Chiedi due passkey per utente. Smartphone + laptop, oppure dispositivo + chiave fisica. È la differenza tra «ho perso il telefono» come incidente minore o come blocco.
- Passa a «obbligatorio» con periodo di tolleranza. La registrazione forzata fa il lavoro per te: ogni utente registra la propria passkey all’accesso, senza campagne di e-mail né solleciti individuali.
- Chiavi hardware per i profili critici. Amministratori, finanza e chiunque firmi o approvi: modalità «solo chiavi hardware», così la chiave non viaggia sincronizzata.
- Definisci il circuito di smarrimento e misura. Chi revoca, come si registra di nuovo, e un dato prima/dopo: i ticket di reset delle password. È il ROI più facile da mostrare alla direzione.
Domande frequenti
Che cos’è una passkey e in cosa si differenzia da una password? +
Una passkey è una credenziale dello standard WebAuthn/FIDO2 formata da una coppia di chiavi crittografiche: quella privata resta custodita nel tuo dispositivo (smartphone, laptop o chiave di sicurezza) e si sblocca con impronta, volto o PIN; il server conserva solo quella pubblica. All’accesso non si digita né si trasmette alcun segreto riutilizzabile: il dispositivo firma una sfida univoca. Per questo una passkey non si può indovinare, non serve a nulla se il database viene violato e non può essere inserita in un sito contraffatto.
Le passkey sostituiscono il secondo fattore (2FA)? +
Sì. Una passkey combina qualcosa che possiedi (il dispositivo in cui vive la chiave privata) con qualcosa che sei o che conosci (l’impronta, il volto o il PIN che lo sbloccano), quindi è autenticazione a più fattori in un solo gesto. In Dokuflex la passkey sostituisce la password e il codice TOTP nello stesso accesso; il 2FA classico resta disponibile per chi non l’ha ancora registrata.
Cosa succede se un dipendente perde lo smartphone o la chiave di sicurezza? +
Ogni utente può registrare più passkey (smartphone, laptop, chiave fisica), quindi perdere un dispositivo non lo lascia fuori. L’amministratore revoca dal pannello la passkey del dispositivo smarrito, che smette di valere all’istante. Inoltre la chiave privata non lascia mai il dispositivo ed è protetta da biometria o PIN: chi lo trova non può usarla senza quello sblocco.
Le passkey sono obbligatorie per rispettare NIS2, GDPR o ISO 27001? +
Nessuna norma esige le passkey per nome, ma tutte spingono nella loro direzione: la NIS2 richiede soluzioni di autenticazione a più fattori o continua dove opportuno, il GDPR impone misure di sicurezza adeguate al rischio per i dati personali (art. 32) e la ISO 27001 obbliga a controllare gli accessi in modo proporzionale al rischio. La guida NIST SP 800-63B distingue inoltre la MFA resistente al phishing — quella basata sulla crittografia, come FIDO2 — da quella che non lo è, come i codici via SMS o TOTP.
Di cosa ha bisogno la mia azienda per usare le passkey in Dokuflex? +
Niente da installare: un browser aggiornato e dispositivi con Windows Hello, Touch ID/Face ID, impronta su Android o una chiave FIDO2 (YubiKey o simile). L’amministratore sceglie la policy dell’organizzazione da un menu a tendina — disattivato, facoltativo oppure obbligatorio con periodo di tolleranza — e ogni utente registra le proprie passkey dal profilo in un minuto. Esiste anche una modalità rigorosa che ammette solo chiavi di sicurezza hardware.
L’azienda può obbligare tutti gli utenti a usare la passkey? +
Sì. La policy «obbligatorio» attiva la registrazione forzata: l’utente che non ha ancora una passkey deve registrarne una all’accesso prima di continuare, con un periodo di tolleranza configurabile per non frenare l’operatività il primo giorno. Per gli amministratori e i profili con accesso a dati sensibili si può inoltre esigere che la passkey risieda in una chiave di sicurezza hardware, non nello smartphone né nel laptop.
Non lasciare al phishing credenziali da rubare
Prenota una sessione di 30 minuti: vediamo l’accesso con passkey dal vivo, esaminiamo la tua policy di accesso attuale e usciamo con il piano di implementazione — prima facoltativo, poi obbligatorio con tolleranza, chiavi hardware per i profili critici.