Passkey per piccole imprese: come proteggere gli accessi
Cosa sono, come funzionano e da dove iniziare in uno studio o in azienda
Una password rubata può aprire la porta alla posta aziendale, ai documenti dei clienti e ai servizi usati ogni giorno. Le passkey offrono un modo diverso di accedere: si conferma l'identità con lo sblocco del dispositivo, per esempio impronta, riconoscimento del volto o PIN, senza digitare una password sul sito. Per un piccolo studio o un'impresa, il vantaggio è concreto: meno credenziali da ricordare e una difesa più robusta contro i siti di phishing.
Che cos'è una passkey e come funziona
Quando un servizio supporta le passkey, il dispositivo crea una coppia di chiavi crittografiche. La chiave pubblica viene registrata dal servizio; quella privata rimane custodita nel dispositivo o nel gestore di credenziali scelto. Al login il servizio invia una richiesta che il dispositivo firma dopo la conferma dell'utente. La biometria o il PIN servono a sbloccare la chiave: non vengono inviati al sito come password.
La passkey è legata al dominio per cui è stata creata. Una pagina che imita il servizio originale non può semplicemente chiedere di inserirla in un modulo falso. Questo rende le passkey resistenti al phishing, pur senza eliminare ogni rischio: truffe telefoniche, sessioni già aperte e procedure di recupero dell'account richiedono comunque attenzione.
Passkey sincronizzata o chiave di sicurezza fisica?
Una passkey sincronizzata può essere disponibile su più dispositivi tramite il gestore credenziali dell'ecosistema scelto. È pratica per chi lavora tra telefono e computer, ma la sicurezza dipende anche dalla protezione dell'account che gestisce la sincronizzazione e dalle sue procedure di recupero. Una chiave di sicurezza hardware conserva invece la credenziale su un dispositivo dedicato: può essere adatta agli account amministrativi o a chi richiede maggior controllo sui dispositivi autorizzati.
Non tutti i servizi offrono le stesse possibilità. Alcuni permettono di usare una passkey come accesso principale, altri la affiancano alla password. Prima di attivarla, controllate la compatibilità del servizio e il metodo previsto se si perde il telefono o si cambia computer.
Da dove cominciare in un piccolo ufficio
- Elencate gli account critici. Partite da posta elettronica, servizi cloud, strumenti di lavoro e account con privilegi amministrativi. Per ciascuno annotate chi è il titolare e chi può recuperarlo.
- Attivate la passkey su un account pilota. Seguite la procedura nelle impostazioni di sicurezza del servizio e provate un accesso da un secondo dispositivo prima di estenderla al team.
- Preparate il recupero. Aggiungete un secondo metodo consentito dal servizio, conservate eventuali codici di recupero in modo protetto e verificate che i recapiti siano aggiornati.
- Separate gli accessi personali. Ogni collaboratore dovrebbe usare il proprio account. Condividere un'unica passkey o il PIN del dispositivo rende difficile attribuire le operazioni e revocare l'accesso quando cambia il personale.
- Controllate le vecchie vie di accesso. Se resta attiva una password, proteggetela con un gestore credenziali e con l'autenticazione più robusta disponibile. La sicurezza complessiva dipende anche dal metodo più debole che consente di entrare.
Un esempio pratico: la posta dello studio
Immaginate tre persone che accedono alla posta aziendale da PC e smartphone. L'amministratore verifica il supporto del provider, crea la propria passkey, prova il login su entrambi i dispositivi e conserva un metodo di recupero. Poi ogni collega configura la propria credenziale, senza condividere l'account amministrativo. Infine si registra una procedura semplice per smarrimento del dispositivo e uscita di un collaboratore. La tecnologia funziona meglio quando queste responsabilità sono chiare.
Le domande più frequenti
Serve un lettore di impronte?
No. A seconda del dispositivo, si può usare il riconoscimento del volto, l'impronta o il PIN di sblocco. L'importante è che il servizio e il dispositivo supportino la procedura.
Se perdo il telefono perdo l'account?
Dipende da dove è custodita la passkey e dalle opzioni del servizio. La sincronizzazione può rendere disponibile la credenziale su altri dispositivi; in altri casi serve una passkey di riserva o una procedura di recupero. Verificatela prima che si presenti un'emergenza.
Posso eliminare subito tutte le password?
Solo dove il servizio consente davvero un accesso senza password e dopo aver collaudato recupero e dispositivi. Una transizione graduale riduce i blocchi operativi.
Le passkey sono un buon primo passo per proteggere gli accessi, soprattutto dove una falsa pagina di login potrebbe sottrarre credenziali. Per uno studio o una piccola impresa la scelta migliore è iniziare dagli account più importanti, documentare il recupero e rivedere periodicamente chi ha accesso.
Riferimenti: FIDO Alliance, Passkeys; NIST, Syncable Authenticators.
