Passkey vs. Password 2026: La fine dei password manager?

📌 Contesto 2026: NordPass e Bitwarden memorizzano entrambi le passkey cross-device dal 2024. Se non hai ancora scelto una cassaforte, NordPass resta la nostra scelta mainstream #1 (XChaCha20, sincronizzazione passkey fluida, 1,49 €/mese) - Bitwarden mantiene il vantaggio su open source / self-host.

Preoccupato per i rischi? Li valutiamo onestamente in Le passkey sono sicure?.

Le passkey sono una grande svolta nell'autenticazione: nessuna password da memorizzare, anti-phishing by design, sblocco biometrico rapido. Ma a giugno 2026 non sostituiscono ancora le password - la transizione avverrà gradualmente nell'arco di 5-10 anni. Ecco come muoversi in questo periodo di coesistenza.

Passkey nel 2026: eccellenti dove sono supportate, ma la maggior parte dei grandi siti e la grande maggioranza dei siti di nicchia dipendono ancora dalle password. NordPass o Bitwarden resta essenziale.

01 - Cos'è esattamente una passkey?

Una passkey è una coppia di chiavi crittografiche (pubblica + privata) memorizzata sul tuo dispositivo. La chiave privata non lascia mai il dispositivo - protetta da biometria o PIN. Quando accedi, il sito invia una sfida crittografica che il tuo dispositivo firma localmente. Il sito verifica la firma con la chiave pubblica. Nessuna password viene trasmessa. Il risultato: il phishing diventa impossibile by design - la firma funziona solo sull'esatta origine crittografica del sito.

Una passkey è una coppia di chiavi crittografiche memorizzata sul tuo dispositivo:

• Chiave privata: NON lascia MAI il dispositivo. Protetta da biometria (Face ID, Touch ID, Windows Hello) o PIN locale.
• Chiave pubblica: inviata al sito durante la registrazione.

Durante un accesso:

1. Il sito invia una sfida crittografica (casuale) al tuo browser
2. Il tuo dispositivo ti chiede di sbloccare (biometria o PIN)
3. La chiave privata firma la sfida
4. Il sito verifica la firma con la chiave pubblica
5. ✅ Accesso riuscito senza alcuna password trasmessa

Implicazione chiave: phishing impossibile (la firma funziona SOLO sul sito corretto, poiché legata all'origine crittografica).

02 - Adozione a giugno 2026: a che punto siamo

Grandi siti con forte adozione:

• Google (tutte le app + Workspace)
• Apple ID
• Microsoft (account personale + Microsoft 365)
• Amazon
• Github
• eBay, PayPal, Best Buy, Adobe, Yahoo

Adozione parziale:

• LinkedIn, X (Twitter), Shopify, Cloudflare, Coinbase, Robinhood

Non ancora:

• Grandi banche europee (BNP, Société Générale, ecc.)
• Siti e-commerce di nicchia
• Servizi della pubblica amministrazione (impots.gouv.fr, Ameli, ecc.)
• La maggior parte dei SaaS B2B
• Siti di stampa, forum, community

Stima di massima giugno 2026: una minoranza dei grandi siti globali supporta le passkey, e la quota di utenti che le ha abilitate su almeno un sito resta piccola - l'elenco aggiornato dei siti compatibili è su passkeys.directory.

02 bis - Cosa cambia la coesistenza nella pratica

Anche dove le passkey sono disponibili, l'esperienza resta disomogenea da un servizio all'altro nel 2026. Diversi attriti vanno previsti:

• Le password restano spesso un fallback obbligatorio: molti servizi offrono le passkey come opzione ma mantengono la schermata password come predefinita. A volte bisogna cliccare esplicitamente su «Accedi in altro modo → passkey».
• La sincronizzazione dipende dal tuo ecosistema: una passkey creata in Apple Keychain (iCloud Keychain) è condivisa tra dispositivi Apple, ma non è direttamente utilizzabile su Windows o Android senza passare per un manager multipiattaforma (NordPass, Bitwarden, 1Password) o una procedura di trasferimento.
• Alcuni servizi reimpongono una riautenticazione periodica con password anche con una passkey attiva, per azioni sensibili.

Conseguenza pratica: una cassaforte multipiattaforma resta essenziale per memorizzare le password residue e fungere da provider di passkey unificato fuori dall'ecosistema Apple. La promessa anti-phishing delle passkey regge (è una proprietà crittografica di WebAuthn/FIDO2, non un'opinione), ma la copertura non è ancora universale.

03 - Vantaggi passkey vs. password

Le passkey vincono su quasi tutti i criteri di sicurezza. Le password mantengono il vantaggio della portabilità totale e della disponibilità universale.

04 - NordPass + passkey: la combo vincente del 2026

NordPass e Bitwarden supportano le passkey dal 2024. Puoi quindi:

1. Memorizzare le tue passkey in NordPass (o Bitwarden) (invece di Apple Keychain o Google Password Manager)
2. Sincronizzare su tutti i tuoi dispositivi (iOS, Android, Windows, macOS, Linux) tramite la loro crittografia zero-knowledge
3. Conservare le tue password nella stessa cassaforte per i siti che non supportano ancora le passkey
4. Migrare gradualmente: abilita le passkey sui siti compatibili, mantieni password + 2FA sugli altri

Grande vantaggio: eviti il lock-in Apple-only (Keychain non funziona su Android) o Google-only (Password Manager limitato su iOS).

05 - Come abilitare le passkey ora

Su Google: myaccount.google.com → Sicurezza → Passkey e chiavi di sicurezza → Crea una passkey.

Su Apple ID: Impostazioni → [il tuo nome] → Accesso e sicurezza → Passkey.

Su Github: Settings → Password and authentication → Passkeys → Add a passkey.

Su Microsoft: account.microsoft.com → Sicurezza → Opzioni di sicurezza avanzate → Passkey.

Strategia di passaggio:

1. Abilita prima su Google + Apple ID (account cardine)
2. Poi su Github / Microsoft (se sei uno sviluppatore)
3. Poi su PayPal / Amazon (account finanziari/e-commerce)
4. Mantieni password Bitwarden + 2FA TOTP come fallback ovunque

Per gli account ancora protetti da password, un'app TOTP è il secondo fattore più solido - guarda il nostro confronto delle migliori app di autenticazione per sceglierne una.

06 - Rischi e limiti delle passkey

• Perdita del dispositivo: se le tue passkey non sono sincronizzate (Apple Keychain offline) e perdi il tuo iPhone, la procedura di recupero è lunga (spesso: ripiego su password + 2FA email/SMS). Da qui il valore di un manager multipiattaforma come NordPass o Bitwarden.
• Lock-in dell'ecosistema: Apple, Google, Microsoft spingono i propri provider di passkey per tenerti nel loro giardino. Bitwarden rompe questo lock-in.
• Adozione disomogenea: finché la maggior parte dei siti non le supporta, avrai sempre bisogno delle password. Bitwarden gestisce entrambi.
• Recupero dell'account: se perdi tutti i tuoi dispositivi E i tuoi backup Bitwarden, è finita. Da qui l'importanza dei backup cifrati del manager (Tools → Export Vault).

07 - Verdetto 2026

Le passkey sono migliori delle password su quasi tutti i criteri di sicurezza. Ma a giugno 2026 la transizione è ancora parziale: la maggior parte dei grandi siti e la grande maggioranza dei siti di nicchia dipendono ancora dalle password.

Raccomandazione: adotta una strategia ibrida:

• ✅ Passkey abilitate ovunque possibile (anti-phishing, UX rapida)
• ✅ NordPass Premium o Bitwarden per memorizzare passkey E password (multipiattaforma) - vedi il nostro ranking dei migliori password manager 2026 per scegliere quello giusto
• ✅ 2FA TOTP sugli account critici ancora su password
• ✅ Backup regolari del manager (esportazione cifrata)
• ✅ Per gli account ancora su password, verifica la loro robustezza attuale con il nostro verificatore di robustezza delle password

Tra 5-10 anni potremo parlare della fine delle password. Non nel 2026.

08 - Per approfondire

• Recensione NordPass 2026 completa
• Bitwarden vs. 1Password
• Metodologia pubblica
• Glossario password e autenticazione - definizioni di passkey, FIDO2, WebAuthn, TOTP, phishing e altro

Dati di adozione: registri pubblici passkeys.directory e annunci ufficiali dei fornitori (Google, Apple, Microsoft, GitHub, ecc.). Le percentuali di adozione sono stime indicative, non misurazioni esaustive.

Guide correlate

• YubiKey o passkey: non sono la stessa cosa
• Spostare le passkey tra gestori di password
• Vishing sulla registrazione delle passkey: la telefonata che iscrive l'attaccante
• Riempimento automatico al caricamento: perché è un rischio