Quando una password viene rubata, può essere riutilizzata ovunque; una passkey, invece, lega l’accesso al dispositivo e al sito corretto. Le passkey Microsoft permettono di entrare in account personali, servizi Microsoft 365 e ambienti aziendali usando volto, impronta, PIN o una chiave fisica. Qui chiarisco come funzionano, come crearle nel 2026, dove salvarle e quali limiti considerare per non confondere Windows Hello, Microsoft Entra ID e autenticazione senza password.
La scelta più sicura dipende da dove salvi la passkey
- Protezione anti-phishing grazie alla crittografia a chiave pubblica e privata.
- Accesso personale configurabile dalle impostazioni di sicurezza dell’account Microsoft.
- Account aziendali gestibili dall’area Informazioni di sicurezza e dalle policy IT.
- Windows Hello consente di usare PIN, volto o impronta senza esporre la chiave privata.
- Recupero indispensabile con una seconda passkey, una chiave FIDO2 o un metodo alternativo.
Come funzionano le passkey Microsoft e perché resistono al phishing
Una passkey è una credenziale basata sugli standard FIDO2 e WebAuthn. Durante la registrazione, il dispositivo crea una coppia di chiavi crittografiche: la chiave pubblica viene conservata dal servizio, mentre quella privata resta nel dispositivo o nel gestore di credenziali scelto.
Al momento dell’accesso, il sito invia una richiesta unica. Il dispositivo la firma con la chiave privata solo dopo aver verificato la presenza dell’utente tramite PIN, impronta digitale o riconoscimento facciale. Il servizio controlla la firma con la chiave pubblica e concede l’accesso senza ricevere né rivelare la chiave privata.
Il vantaggio più concreto riguarda il dominio del sito. La passkey è legata all’origine corretta, quindi non funziona su una pagina falsa costruita per imitare Microsoft. Un aggressore può ancora ingannare una persona, installare malware o sfruttare un account già compromesso, ma non può semplicemente rubare una stringa e riutilizzarla come farebbe con una password.
Che cosa succede durante l’accesso
- Si apre l’accesso a un servizio Microsoft compatibile.
- Si sceglie la voce per usare una passkey.
- Windows, lo smartphone o la chiave fisica chiede una verifica locale.
- Il servizio riceve la risposta crittografica e completa l’autenticazione.
Per me, il punto spesso sottovalutato è questo: la passkey non è semplicemente una password più lunga. È un meccanismo diverso, nel quale il segreto non lascia il dispositivo e il sito deve dimostrare di essere quello per cui la credenziale è stata creata.
Come creare una passkey per un account Microsoft
La procedura cambia leggermente tra account personale e account aziendale o scolastico. In entrambi i casi serve un dispositivo compatibile e una modalità di sblocco locale già configurata, come Windows Hello, Face ID, impronta o PIN.
Account Microsoft personale
Accedi alle impostazioni di sicurezza avanzate del tuo account Microsoft e scegli Aggiungi un nuovo modo per accedere o verificare. Seleziona volto, impronta, PIN o chiave di sicurezza, quindi conferma dove vuoi memorizzare la passkey.
Le opzioni disponibili possono includere Windows Hello, Microsoft Password Manager, un gestore sincronizzato di terze parti, uno smartphone oppure una chiave FIDO2. Dopo la conferma, il dispositivo effettua la verifica locale e registra la nuova credenziale.
Account di lavoro o dell’istituto di istruzione
Apri la pagina Informazioni di sicurezza del tuo account aziendale e seleziona Aggiungi metodo di accesso. Scegli Passkey oppure Passkey in Microsoft Authenticator, se questa opzione è stata attivata dall’amministratore.
L’organizzazione può limitare i tipi di passkey consentiti. Per questo, se la voce non compare o la registrazione viene rifiutata, non è necessariamente un problema del telefono o del computer: potrebbe trattarsi di una policy Microsoft Entra ID che richiede un determinato provider o una chiave certificata.
Come usarla al login
Quando accedi, seleziona la passkey tra i metodi disponibili. Su Windows comparirà una finestra di sicurezza per usare volto, impronta o PIN; con uno smartphone potrebbe essere necessario scansionare un codice QR e, in alcuni casi, attivare il Bluetooth per verificare la vicinanza dei dispositivi.
In Microsoft Edge è anche possibile ricevere la proposta di sostituire una password salvata con una passkey. La creazione automatica può essere disattivata dalle impostazioni di Microsoft Password Manager, se preferisci scegliere manualmente ogni nuova credenziale.
Dove salvarla e quale opzione scegliere
La decisione più importante non è soltanto attivare una passkey, ma scegliere dove conservarla. Una credenziale sincronizzata è comoda quando usi più dispositivi; una credenziale legata al dispositivo offre invece maggiore controllo fisico e una gestione più adatta agli account sensibili.
| Opzione | Sincronizzazione | Quando conviene | Limite principale |
|---|---|---|---|
| Windows Hello | No, se salvata localmente | PC personale usato ogni giorno | Serve registrarla di nuovo su ogni computer |
| Gestore sincronizzato | Sì | Chi usa PC, smartphone e tablet | Minore controllo amministrativo e attestazione limitata |
| Microsoft Authenticator | Legata al dispositivo | Accesso aziendale da mobile | La perdita del telefono richiede un metodo alternativo |
| Chiave FIDO2 | No | Amministratori, ambienti condivisi e dati critici | È un oggetto fisico da custodire |
La mia regola pratica è semplice. Per un account personale usato su più dispositivi sceglierei un gestore sincronizzato affidabile e aggiungerei una seconda passkey; per un amministratore Microsoft 365 o per un account con privilegi elevati preferirei una chiave FIDO2 o una credenziale device-bound, cioè legata a un singolo dispositivo.
Le passkey sincronizzate restano resistenti al phishing, ma hanno un profilo di sicurezza diverso da quelle vincolate a un hardware specifico. Se il tuo obiettivo è la massima protezione contro la compromissione di un gestore, la soluzione fisica è più restrittiva, anche se meno comoda.
Compatibilità da controllare prima della registrazione
Il sito o l’app devono supportare le passkey. La compatibilità documentata per Microsoft Entra include i principali browser su Windows, macOS e iOS; su Android il supporto può dipendere dal browser, dal provider di credenziali e dalla versione dei servizi Google.
| Piattaforma | Indicazione pratica |
|---|---|
| Windows | Chrome, Edge e Firefox sono supportati per l’accesso web a Entra ID. |
| macOS | Chrome, Edge, Firefox e Safari possono funzionare, con requisiti specifici del sistema. |
| iPhone e iPad | Safari, Chrome, Edge e Firefox sono generalmente compatibili con il flusso web. |
| Android | Chrome ed Edge sono le scelte più affidabili per Microsoft Entra; Firefox può non essere supportato. |
Windows Hello, Entra ID e Windows Hello for Business non sono la stessa cosa
Molti utenti vedono il volto, l’impronta o il PIN di Windows e pensano che tutto sia la stessa funzione. L’interfaccia è simile, ma la credenziale e il suo scopo possono essere diversi.
| Soluzione | Scopo | Comportamento |
|---|---|---|
| Passkey Windows | Accesso FIDO2 a servizi compatibili | Salvata nel contenitore locale Windows Hello |
| Windows Hello for Business | Accesso al dispositivo e single sign-on aziendale | Gestita dall’organizzazione e collegata alla fiducia del dispositivo |
| Passkey sincronizzata | Accesso tra più dispositivi | Conservata da un provider di credenziali sincronizzato |
Dalla versione nativa introdotta in Windows 11 22H2 con l’aggiornamento KB5030310, il sistema offre una gestione più diretta delle passkey. Questo non significa però che una passkey locale sostituisca Windows Hello for Business: la prima autentica verso un servizio FIDO2, mentre la seconda può gestire anche l’accesso al PC e il single sign-on alle risorse aziendali.
La passkey Microsoft Entra su Windows può essere registrata nel contenitore Windows Hello anche su un dispositivo non aggiunto o non registrato a Entra ID. È utile, per esempio, su un computer personale o condiviso dal quale si accede a più account aziendali. La credenziale resta però legata a quel computer e non si sincronizza automaticamente sugli altri dispositivi.
Se sullo stesso account esiste già una credenziale Windows Hello for Business nel medesimo contenitore, la registrazione di una nuova passkey può fallire. In azienda conviene quindi chiarire prima quale modello di autenticazione è stato adottato, invece di attivare opzioni diverse senza una logica comune.
La sicurezza è alta, ma il recupero resta fondamentale
Una passkey riduce drasticamente il rischio di furto della password, non elimina ogni rischio informatico. Un dispositivo sbloccato, un malware persistente o una procedura di recupero dell’account troppo debole possono ancora creare problemi. Per questo considero il piano di recupero parte integrante della sicurezza, non un dettaglio da affrontare dopo.
- Registra almeno due passkey su dispositivi o supporti diversi.
- Conserva una chiave FIDO2 di riserva per gli account amministrativi.
- Prima di rimuovere la password o un vecchio metodo, verifica che il nuovo accesso funzioni.
- Elimina la passkey dal dispositivo prima di venderlo, cederlo o restituirlo.
- Controlla periodicamente l’elenco dei metodi di accesso registrati nell’account.
Il caso più comune è perdere il telefono e accorgersi di non avere un’alternativa. La soluzione non è conservare dieci metodi casuali, ma predisporre una credenziale primaria e una di emergenza, poi testarle quando non c’è ancora un’urgenza.
Attenzione anche ai computer condivisi. Una passkey device-bound memorizzata localmente può essere sicura contro l’accesso remoto, ma non dovrebbe rimanere registrata su un PC pubblico o su una macchina che passerà a un’altra persona.
Come impostare l’autenticazione senza password in azienda
Per un’organizzazione italiana che usa Microsoft 365, Teams, SharePoint o Azure, l’attivazione va gestita in Microsoft Entra ID. L’amministratore abilita i profili passkey, definisce se ammettere credenziali sincronizzate o device-bound, applica il profilo a gruppi mirati e può richiedere la passkey per risorse sensibili tramite Conditional Access.
La funzione passkey FIDO2 è disponibile in tutte le edizioni di Microsoft Entra ID, inclusa quella gratuita, senza una licenza aggiuntiva per il metodo di autenticazione. Le policy avanzate di accesso condizionale possono però dipendere dal piano Microsoft utilizzato dall’azienda, quindi il progetto va verificato anche dal punto di vista delle licenze.
Leggi anche: Che cos’è APT e come usarlo su Debian e Ubuntu
Un rollout ragionevole per una PMI
- Partire con un gruppo pilota di 10-20 persone, includendo almeno un amministratore e alcuni utenti non tecnici.
- Registrare due metodi per ogni account pilota e testare la perdita di un dispositivo.
- Misurare per 2-4 settimane registrazioni completate, errori di accesso e richieste all’help desk.
- Estendere il profilo agli altri gruppi solo dopo aver risolto i problemi di browser, dispositivi e recupero.
- Applicare l’autenticazione resistente al phishing prima agli amministratori e agli accessi ad alto impatto.
Non forzerei subito la passkey su tutta l’azienda. Un piccolo progetto pilota fa emergere problemi concreti, come smartphone obsoleti, policy troppo rigide o utenti che condividono dispositivi, e permette di correggerli senza trasformare la sicurezza in un ostacolo operativo.
Per gli amministratori sceglierei credenziali device-bound e restrizioni più severe. Per la maggioranza dei dipendenti, invece, una passkey sincronizzata può offrire il miglior equilibrio tra adozione, comodità e protezione dal phishing, soprattutto quando il lavoro alterna PC, telefono e tablet.
La configurazione più equilibrata per il tuo account Microsoft
Per un uso personale, attiva una passkey sul dispositivo principale e una seconda su smartphone o gestore sincronizzato. Per un account aziendale, verifica prima le regole dell’organizzazione e non confondere la passkey FIDO2 con Windows Hello for Business.
La tecnologia dà il meglio quando è accompagnata da una procedura semplice: due metodi registrati, un recupero testato e nessuna credenziale lasciata su dispositivi condivisi. È questa combinazione, più dell’effetto novità, a rendere l’accesso Microsoft concretamente più sicuro.
