- Le chiavi di accesso sostituiscono le password con credenziali univoche memorizzate sul dispositivo e protette da dati biometrici o PIN, rendendole altamente resistenti al phishing.
- Il suo principale punto debole è la dipendenza dal dispositivo: se lo perdi, si rompe o lo usi su un computer condiviso, il tuo account risulta esposto o inaccessibile senza un metodo alternativo.
- Sincronizzare le chiavi tra piattaforme diverse rimane un'operazione complessa, motivo per cui un gestore di password di terze parti rappresenta l'opzione più affidabile e meglio supportata.
- Rivedere ed eliminare le chiavi obsolete, mantenere attivo il blocco schermo e non rimanere senza un secondo metodo di accesso sono elementi chiave per non perdere il controllo dei propri account.
Ormai chiunque passi anche solo un po' di tempo online ha sentito parlare delle chiavi di accesso, quelle credenziali digitali che promettono di relegare le password nel dimenticatoio. L'idea è incredibilmente allettante: invece di memorizzare combinazioni impossibili o di aspettare un SMS che impiega un'eternità ad arrivare, si sblocca il telefono con l'impronta digitale, il riconoscimento facciale o un PIN e si accede immediatamente al proprio account. Sembra quasi fantascienza, ma la tecnologia esiste già da tempo e sempre più servizi la stanno adottando, al punto che molti colossi tecnologici la raccomandano con entusiasmo.
Tuttavia, passare alle chiavi di accesso senza comprenderne appieno il funzionamento può rivelarsi molto costoso. Rimanere bloccati fuori da un account è un vero grattacapo , e se quell'account è la tua email principale, il problema si moltiplica a dismisura, perché metà dei codici di recupero di Internet sono collegati ad essa. Nelle righe seguenti, esamineremo con calma cosa sono, come vengono create, come vengono gestite, quali vantaggi reali offrono e, soprattutto, quali insidie nascondono per impedirti di perdere l'accesso ai tuoi servizi.
Che cos'è una chiave di accesso e perché è diventata così di moda?
Una chiave di accesso è semplicemente una credenziale di login monouso, creata specificamente per un determinato sito web o applicazione. Viene memorizzata in modo sicuro sul dispositivo , che si tratti di un telefono, un computer o una chiavetta USB dedicata come una YubiKey o un token di sicurezza Google Titan. Quando si accede a un servizio, il dispositivo verifica l'identità dell'utente utilizzando dati biometrici o un PIN. Una volta convalidata l'identità, il dispositivo invia al sito una risposta sicura generata da questa chiave univoca , che non può essere utilizzata per nessun altro servizio.
Il risultato è una protezione piuttosto efficace contro il furto di account, perché non c'è nulla da copiare o indovinare , a differenza delle password tradizionali. Né un attacco di phishing né una violazione massiccia dei dati sono di grande utilità per i criminali informatici. Apple, Google e Microsoft supportano questo standard e, in teoria, la sincronizzazione cloud dovrebbe consentire di avere le proprie credenziali disponibili su tutti i dispositivi, cosa che, in pratica, non sempre funziona in modo così fluido come ci si aspetterebbe.
Vantaggi concreti: maggiore sicurezza e minore attrito.
- Protezione avanzata contro il phishingAnche se tentano di spacciare un sito web falso, la chiave non viene data a chiunque.
- Accesso più comodoÈ sufficiente sbloccare il dispositivo per accedere al proprio account Google; questa procedura funziona anche con alcune app e servizi di terze parti.
- Contribuisce ad accelerare le procedure relativo all'integrazione di nuovi fattori di autenticazione o al ripristino della fiducia.
Nel caso specifico di Google, l'aggiunta di una chiave di accesso non rimuove né modifica alcun fattore di autenticazione o recupero già attivo. Se hai attivato la verifica in due passaggi o sei iscritto al Programma di protezione avanzata, la tua chiave di accesso salterà automaticamente il secondo passaggio , poiché il suo utilizzo dimostra che il dispositivo ti appartiene. Tuttavia, i tuoi dati biometrici, come quelli utilizzati per il riconoscimento facciale o lo sblocco tramite impronta digitale, rimangono sempre sul dispositivo e non vengono mai condivisi con Google.
Prima di iniziare a creare le chiavi, è importante avere una chiara comprensione dei requisiti, perché non tutti gli strumenti funzioneranno . Questi sono i requisiti minimi richiesti da Google:
- Un computer con Windows 10, macOS Ventura o ChromeOS 109, o versioni successive di uno qualsiasi di questi.
- Un telefono con Android 9 o iOS 16, o versioni successive.
- Una chiave di sicurezza hardware compatibile con il protocollo FIDO2.
Un dettaglio che molti trascurano è il seguente: è possibile creare una chiave di accesso all'interno di una chiave di sicurezza fisica FIDO2 già associata al proprio account Google prima di maggio 2023, anche se potrebbe essere necessario prima rimuovere tale chiave e aggiungerla nuovamente affinché tutto sia compatibile.
Per quanto riguarda i browser, ecco cosa ti serve: Chrome 109 o versioni successive, Safari 16 o versioni successive, Edge 109 o versioni successive e Firefox 122 o versioni successive. Le versioni precedenti potrebbero presentare problemi , quindi controlla la disponibilità di aggiornamenti prima di perdere la pazienza.
Prima di iniziare, ecco alcuni preparativi che vi risparmieranno molti problemi :
- Mantieni attivo il blocco schermo sul tuo telefono.
- Se intendi utilizzare una chiave salvata sul tuo telefono cellulare per accedere a un altro computer, attiva il Bluetooth.
- Su iPhone, iPad e macOS, attiva il Portachiavi iCloud.
- Verifica che il sistema operativo e il browser siano aggiornati.
- Tieni presente che in alcuni sistemi e browser non è possibile creare o utilizzare chiavi di accesso in modalità di navigazione in incognito.
Tasti di accesso in Google Workspace
Se il tuo account è un account Google Workspace, ovvero quello fornito dalla tua azienda o scuola, potresti non essere in grado di accedere utilizzando solo una chiave di accesso , poiché l'amministratore ha l'ultima parola su tali questioni. Tuttavia, puoi creare chiavi di accesso da utilizzare in tre modi diversi:
- Come secondo fattore nell'ambito della verifica in due passaggi.
- Come opzione di recupero dell'account.
- Come metodo per eseguire determinate azioni sensibili che obbligano Google a verificare nuovamente la tua identità.
Nelle impostazioni del tuo account, alla voce "Salta la password quando possibile", puoi verificare se il tuo amministratore ti consente di accedere utilizzando solo la tua chiave . Se sei l'amministratore di Workspace, dovrai consultare la documentazione pertinente per scoprire come abilitare l'accesso senza password per i tuoi utenti.
Come creare le tue chiavi di accesso passo dopo passo
Ecco il punto cruciale. La creazione di una chiave di accesso attiva una modalità di accesso che dà priorità alle chiavi , rendendo superflua la password. Pertanto, è consigliabile creare chiavi solo sui dispositivi di proprietà e per uso personale. E fate molta attenzione: anche se effettuate il logout dal vostro account Google, chiunque sia in grado di sbloccare quel dispositivo potrà accedere al vostro account , senza dover fornire alcuna spiegazione.
Per configurare una chiave, potrebbe essere necessario accedere al proprio account o verificare la propria identità. Ecco i passaggi da seguire per il telefono o il computer che stai utilizzando:
- Vai su myaccount.google.com/signinoptions/passkeys.
- Tocca l'opzione Crea chiave di accesso. Dovrai sbloccare il dispositivo.
Se desideri avere le chiavi su più dispositivi, ripeti la stessa procedura su ognuno di essi . Se invece vuoi memorizzarle su una chiave di sicurezza fisica, il processo è leggermente diverso:
- Vai su myaccount.google.com/signinoptions/passkeys.
- Tocca Crea chiave di accesso e poi Usa un altro dispositivo.
- Segui le istruzioni visualizzate sullo schermo. Dovrai inserire la chiave di sicurezza e digitare il tuo PIN oppure utilizzare il sensore di impronte digitali.
Ricorda che per questo hai bisogno di una chiave di sicurezza hardware compatibile con FIDO2 . E ci sono diversi punti da tenere a mente:
- Una volta creata la prima chiave, al successivo accesso a un dispositivo compatibile potrebbe esserti richiesto di crearne un'altra per quel dispositivo.
- Per proteggere il tuo account da accessi non autorizzati, non creare chiavi su dispositivi condivisi.
- Potrebbe essere necessario attendere sette giorni prima che una chiave appena creata sia pronta per l'accesso. Se disponi già di un'altra chiave o di una chiave di sicurezza fisica attendibile, puoi velocizzare il processo in modo che Google consideri la tua nuova chiave attendibile più rapidamente.
- Se Google rileva una chiave sospetta, la disattiverà e ti invierà una notifica. Hai 30 giorni dalla data della notifica per confermare di averla aggiunta; se non fai nulla, verrà rimossa dal tuo account.
Accedi con una chiave di accesso.
La procedura quotidiana è semplice, sebbene ogni sistema operativo e browser abbia un proprio modo di visualizzare le istruzioni a schermo. Ecco i passaggi generali:
- Apri la pagina di accesso di Google.
- Inserisci il tuo nome utente. Toccando il campo potrebbe comparire un elenco di tasti di accesso; in tal caso, scegli quello desiderato.
- Se hai già creato una chiave su quel dispositivo, segui le istruzioni per verificare la tua identità e sbloccarlo.
C'è un comportamento curioso in Android che vale la pena conoscere. Se si effettua il logout da un dispositivo Android, è possibile accedere nuovamente con la propria chiave di accesso sullo stesso dispositivo fino a sei ore dopo . Trascorso questo tempo, sarà necessario utilizzare un altro metodo e, al successivo accesso, il dispositivo genererà automaticamente una nuova chiave e quella precedente scadrà . Tuttavia, se si effettua il logout da un dispositivo non Android, è possibile accedere nuovamente con la propria chiave in qualsiasi momento, senza limiti di tempo o restrizioni.
Accedi a un computer utilizzando la chiave del tuo telefono cellulare.
È possibile utilizzare una chiave di accesso per accedere a un computer compatibile, a condizione che la chiave si trovi su un dispositivo Android, un iPhone o un iPad, oppure che si tratti di una chiave di sicurezza hardware. La procedura è la seguente:
- Nella pagina di accesso di Google sul tuo computer, inserisci il tuo nome utente.
- Fai clic su Prova un altro metodo, quindi su Usa la tua chiave di accesso. Sullo schermo apparirà un codice QR. Se utilizzi una chiave di sicurezza fisica, ti verrà data la possibilità di selezionarla.
- Scansiona il codice QR con la fotocamera del tuo telefono o con un'app di scansione. Assicurati che il Bluetooth sia attivo.
- Sul tuo telefono, tocca "Usa codice di accesso" per accedere. Se hai un iPhone o un iPad, l'opzione si chiama "Accedi con codice di accesso".
- Verifica la tua identità sul telefono tramite impronta digitale, riconoscimento facciale o PIN.
La prossima volta che utilizzerai la stessa combinazione di computer e telefono, riceverai automaticamente una notifica sul tuo cellulare per confermare la tua identità senza dover scansionare nulla.
Se preferisci, torna a utilizzare la password.
Di default, la creazione di una chiave attiva una modalità che dà priorità alle chiavi e ignora la password, ma hai comunque la possibilità di utilizzare la password per accedere all'account. Se preferisci che la password venga sempre utilizzata per prima, puoi facilmente modificare questa preferenza:
- Accedi al tuo account Google.
- Tocca Sicurezza ed effettua l'accesso.
- Nella sezione "Come accedere a Google", disattiva l'opzione "Salta la password quando possibile".
Con questa opzione disabilitata, ti verrà richiesta la password al momento dell'accesso . Inoltre, se hai attivato anche la verifica in due passaggi, puoi utilizzare una qualsiasi delle tue chiavi di accesso come secondo passaggio, combinando a piacere i vecchi e i nuovi metodi.
Visualizza ed elimina le tue chiavi di accesso
Se il tuo account ha già delle chiavi di accesso, queste appariranno tra le opzioni di accesso. Per visualizzarle, vai su myaccount.google.com/signinoptions/passkeys e verifica la tua identità, se necessario. Se hai più account aperti, assicurati di verificare quello che ti interessa , perché è facile confondersi e finire per visualizzare l'account sbagliato. Inoltre, tieni presente che se hai effettuato l'accesso a un dispositivo Android con quell'account, potrebbero essere state registrate automaticamente delle chiavi di accesso senza il tuo intervento.
Quando perdi un dispositivo contenente la tua chiave, o quando ne crei accidentalmente una su un computer condiviso, devi rimuoverla. Eliminare una chiave creata manualmente è semplice :
- Vai al tuo account Google.
- Tocca Sicurezza ed effettua l'accesso.
- Nella sezione "Come accedere a Google", vai a Chiavi di accesso e chiavi di sicurezza.
- Seleziona il tasto che desideri rimuovere.
- Fare clic su Rimuovi.
Per le chiavi generate esclusivamente dal tuo dispositivo Android, la procedura è diversa:
- Vai al tuo account Google.
- Tocca Sicurezza ed effettua l'accesso.
- Nella sezione "I tuoi dispositivi", tocca Gestisci tutti i dispositivi.
- Tocca il dispositivo che desideri rimuovere, quindi tocca Esci.
Se visualizzi più sessioni con lo stesso nome di dispositivo, potrebbero appartenere tutte allo stesso dispositivo o a dispositivi diversi. Per sicurezza, chiudi tutte le sessioni associate a quel nome per assicurarti che nessun altro possa accedere al tuo account. Puoi visualizzare tutti i dispositivi che hanno accesso al tuo account su google.com/devices.
C'è una situazione particolarmente sconcertante: hai rimosso la password del tuo account Google, ma il sistema te la richiede ancora al momento dell'accesso . Questo di solito accade perché la password è ancora memorizzata in un gestore di credenziali di terze parti. In tal caso, apri il gestore e cancella la password seguendo le istruzioni nella relativa documentazione di aiuto.
Cosa fare se perdi una chiave o non la trovi
Se il dispositivo contenente la chiave è stato smarrito o rubato, accedi al tuo account da un altro dispositivo a cui hai accesso ed elimina la chiave dal dispositivo in questione. In questo modo, il ladro non avrà più un punto di accesso, almeno in questo modo.
Se una chiave che dovrebbe essere presente non compare al momento dell'accesso, controlla questi punti prima di perdere la pazienza:
- Assicurati che il dispositivo abbia il blocco schermo attivo. Se è disattivato, non potrai utilizzare il tasto finché non lo attiverai.
- Verifica nelle impostazioni di sicurezza del tuo account che l'opzione "Salta la password quando possibile" sia abilitata.
- Abbi pazienza: potrebbe essere necessario attendere sette giorni prima che la chiave appena creata sia disponibile al momento dell'accesso.
Per accedere senza una chiave, tocca "Prova un altro metodo" e torna al tuo solito metodo di accesso . Tuttavia, se usi questa opzione troppo spesso, Google applicherà le tue preferenze e ti offrirà la chiave con minore frequenza. Per rimediare, accedi ripetutamente usando la tua chiave, anche se ti sembra uno scioglilingua.
Sincronizzazione: un dispositivo contro diversi
Se il tuo telefono è l'unico dispositivo che possiedi, se usi solo prodotti Apple o se hai un paio di dispositivi Android o ChromeOS recenti, le chiavi di accesso possono farti risparmiare tempo e semplificarti la vita. Ti basterà andare nella sezione sicurezza di ciascun servizio, trovare l'opzione per creare una chiave di accesso e il gioco è fatto.
Nell'ecosistema Apple, non devi nemmeno fare nulla: la chiave viene creata automaticamente ogni volta che associ un dispositivo con iOS 16 o versioni successive, oppure con macOS Ventura o versioni successive. Non la vedrai nelle impostazioni, ma quando accedi a iCloud da un dispositivo sconosciuto, puoi utilizzare la chiave al posto della password.
E dove vengono memorizzate? Su iOS e macOS, si trovano in Accesso Portachiavi; su Android, in Google Password Manager. Windows è più complesso, perché le chiavi possono utilizzare la memoria interna del computer, accessibile tramite Windows Hello, o altre opzioni di archiviazione alternative.
Le ultime versioni di Safari per iOS e macOS, così come quelle di Chrome per Windows e macOS a partire dalla versione 136, offrono aggiornamenti automatici. Se il browser ha salvato una password per un sito che supporta le chiavi, può crearne e salvarne una automaticamente dopo l'accesso e chiedere all'utente di utilizzarla. Questa funzionalità sarà presto disponibile anche per Android, secondo quanto dichiarato dagli sviluppatori.
Quando si possiedono più dispositivi, le cose si complicano. Se si utilizza solo un Mac con un iPhone, o dispositivi Android con ChromeOS, è sufficiente assicurarsi che la sincronizzazione sia abilitata. Su iOS, è possibile farlo andando su Impostazioni, il proprio nome, iCloud, Salvati in iCloud, Password e Portachiavi e attivando l'opzione Sincronizza questo iPhone. Su Android, tutto ciò che si salva in Google Password Manager viene sincronizzato automaticamente con l'account , senza che sia necessario alcun intervento da parte dell'utente.
Windows e Linux, d'altro canto, al momento non dispongono di uno strumento di sincronizzazione integrato , sebbene Microsoft abbia promesso che ne arriverà uno. E se si utilizzano sia Windows che Android, o macOS e Android, bisogna essere preparati: i tasti di scelta rapida dei telefoni Android possono essere utilizzati su un computer solo tramite Chrome e con un account Google attivo, il che è inaccettabile per chi è preoccupato per la privacy e il tracciamento. Inoltre, su un computer funzionano solo per i siti web, non per le app, che rimangono dominio esclusivo del telefono.
Se possiedi un iPhone e un PC Windows, l'app iCloud per Windows ti consente di accedere alle tue password, ma non supporta ancora le chiavi di accesso . Fortunatamente, dalla fine del 2024 esiste un'alternativa piuttosto pratica: i gestori di password di terze parti hanno integrato la gestione delle chiavi su tutte le principali piattaforme. Un gestore di password risolve anche il problema del backup, perché se perdi il dispositivo, puoi ripristinare le tue chiavi su un nuovo dispositivo dal cloud del gestore . Tuttavia, dovrai installarlo su tutti i tuoi dispositivi e aggiungere la sua estensione a tutti i tuoi browser.
Gestisci le tue chiavi salvate
La gestione è centralizzata. Se non si utilizza un gestore di terze parti, è possibile visualizzare, eliminare o sostituire le chiavi obsolete nel modo seguente:
- iOS: fino alla versione 17, vai su Impostazioni e poi su Password. Da iOS 18 in poi, usa l'app Password.
- macOS Sequoia e versioni successive: apri l'app Password. Nelle versioni precedenti, la trovi in Impostazioni di Sistema.
- Android: i menu variano a seconda del produttore, quindi cerca qualcosa come Password, tasti di accesso e account o Gestore password. Sui dispositivi Samsung, apri Samsung Pass.
- Windows: Vai su Impostazioni e poi su Account e chiavi.
- Se memorizzi le tue chiavi in Google Password Manager, puoi gestirle dal tuo computer tramite google.com.
- Se si utilizza un gestore di terze parti, tutta l'amministrazione viene effettuata all'interno di tale applicazione, senza doverla abbandonare.
Chiavi di accesso in azienda: ostacoli e soluzioni
Molte organizzazioni stanno passando dalle password alle chiavi, ma il percorso non è privo di difficoltà. Ecco le insidie più comuni e come superarle :
- Resistenza al cambiamento: i dipendenti sono abituati ai metodi tradizionali e non sempre ne comprendono i vantaggi, il che ostacola l'adozione delle nuove tecnologie. La soluzione risiede in programmi di formazione completi che illustrino i benefici delle nuove funzionalità e come utilizzarle in sicurezza.
- Problemi di interoperabilità: i sistemi chiave potrebbero non essere compatibili con tutti i dispositivi, le piattaforme o le applicazioni. Si consiglia di collaborare strettamente con produttori e sviluppatori per ampliare il più possibile la compatibilità.
- Problemi di sicurezza: il personale è preoccupato per la sorte dei propri dati biometrici o per l'integrità dell'archiviazione delle chiavi. È qui che entra in gioco la necessità di implementare misure solide come la crittografia, l'autenticazione a più fattori e le migliori pratiche per l'archiviazione sicura.
L'implementazione di qualsiasi nuova tecnologia comporta sempre delle difficoltà, ma la sicurezza, la praticità e la facilità d'uso offerte dalle chiavi di accesso rendono vantaggioso superare questi e altri ostacoli simili.
Altri dettagli utili da avere in camera da letto
Attualmente, Windows 11 è supportato dalla versione 22H2, sebbene anche Windows 10, con gli aggiornamenti, ne consenta un utilizzo parziale. macOS funziona da Ventura, iOS e iPadOS dalla versione 16 e Android dalla versione 9, anche se l'integrazione con gestori esterni e provider di chiavi è arrivata con la versione 14. Linux non ha supporto nativo nella maggior parte delle distribuzioni, ma è possibile utilizzare Chrome, Edge o Firefox insieme a un gestore esterno o a un token USB.
Per quanto riguarda i servizi, Microsoft supporta le chiavi per gli account personali e Xbox e, a partire dalla primavera del 2025, l'opzione principale per la creazione di un nuovo account sarà la chiave anziché la password. iCloud le accetta, ma solo se salvate su un dispositivo Apple. Google le supporta per tutti gli account personali, incluso YouTube, e Meta fa lo stesso per Facebook e WhatsApp. Potrete inoltre dire addio alle password su X, LinkedIn, Amazon, PayPal, TikTok, Yahoo, Discord, Adobe Creative Cloud e GitHub, tra gli altri.
Tra i servizi che non supportano ancora le chiavi di accesso figurano ChatGPT, Claude, DeepSeek, Reddit, Spotify, Instagram, AliExpress, Temu e Shein . Se la tua vita digitale ruota attorno a questi servizi, dovrai attendere ancora un po'.
Gli svantaggi di cui nessuno ti parla
Prima di impegnarsi completamente, è opportuno valutare attentamente una serie di svantaggi. I primi due difficilmente scompariranno , mentre gli altri potrebbero attenuarsi nel tempo:
- Chiunque sia in grado di sbloccare il tuo dispositivo, sia perché conosce il tuo PIN, sia perché ti somiglia abbastanza da eludere il riconoscimento facciale, Potrai accedere a tutti i tuoi accountCiò è particolarmente importante quando si utilizzano computer condivisi in casa.
- Se le tue chiavi sono memorizzate su un unico dispositivo e tale dispositivo si guasta o viene rubato, Potresti perdere l'accesso ai tuoi accountSenza metodi alternativi, è necessario avviare la procedura di recupero, che in alcuni casi può richiedere giorni o addirittura settimane. E se l'email principale è protetta solo da password e i codici di recupero per gli altri servizi vengono inviati proprio a quell'indirizzo, si rischia di perdere tutto per sempre.
- Chiunque abbia più dispositivi con sistemi operativi o browser diversi incontreranno difficoltà di sincronizzazione Le sue chiavi, con incompatibilità e menu particolari inclusi.
- Se devi accedere a un account dal computer di qualcun altro, ad esempio quello di una biblioteca o di un hotel, Il software obsoleto su quella macchina potrebbe impedirti di utilizzare il tastoEcco perché è fondamentale avere sempre un piano B pronto.
- Uno svantaggio meno ovvio: la maggior parte dei servizi che offrono chiavi Non disabilitano altri metodi di accessoQuindi, se prima di passare alle chiavi proteggevate il vostro account con una password debole o riutilizzata, un malintenzionato potrebbe comunque accedervi facilmente.
In definitiva, le chiavi di accesso sono uno strumento eccellente e un passo avanti in termini di sicurezza, ma non sono una bacchetta magica. È consigliabile crearle solo sui propri dispositivi, verificare periodicamente quali chiavi sono attive e rimuoverle quando necessario , e mantenere sempre un metodo di accesso alternativo. Se si utilizzano più sistemi operativi, è opportuno utilizzare un gestore di password che sincronizzi tutto in modo impeccabile. Solo così si potrà godere della comodità di accedere senza password senza rischiare di essere bloccati fuori dai propri account in modo permanente.