L'obiezione più comune alle passkey non ha mai riguardato la crittografia. Riguardava l'uscita. Registri le passkey in un password manager e, fino a poco tempo fa, passare a un altro significava andare account per account e ricreare a mano ogni passkey. La gente se n'è accorta, ed è rimasta sulle password.
Quell'obiezione ora sta venendo smontata. Il meccanismo è il Credential Exchange Protocol (CXP) della FIDO Alliance, con un formato dati che lo accompagna chiamato Credential Exchange Format (CXF). Se le passkey sono nuove per te, parti da che cos'è una passkey.
Perché le passkey erano bloccate
Una password è una stringa. Qualunque cosa tu pensi delle esportazioni CSV, funzionano, perché una password si può scrivere.
Una passkey è una chiave privata progettata per non lasciare mai il suo archivio sicuro in forma leggibile. È esattamente questa proprietà a rendere le passkey resistenti al phishing e alle fughe di database, ed è anche ciò che le rendeva impossibili da spostare. Non c'era un modo sicuro di consegnarne una a un gestore diverso, quindi non c'era via d'uscita se non registrarle di nuovo.
Il lock-in non era quindi una decisione commerciale di un singolo fornitore. Era una conseguenza diretta del modello di sicurezza. Per risolverlo serviva uno standard, non una funzione.
Che cosa sono davvero CXP e CXF
I due pezzi fanno lavori diversi:
- CXF, il formato. Una struttura standardizzata che descrive come sono rappresentate le credenziali, in modo che ciò che un gestore scrive un altro possa leggerlo.
- CXP, il protocollo. Il trasferimento sicuro vero e proprio, che sposta le credenziali direttamente tra due fornitori.
L'obiettivo dichiarato dalla FIDO Alliance è che i trasferimenti non avvengano in chiaro e siano sicuri per impostazione predefinita. In pratica significa che la migrazione non è un file che resta nella cartella Download.
Secondo Bitwarden, il lavoro è iniziato come proof of concept all'inizio del 2023 con 1Password, Dashlane, Bitwarden e NordPass, ed è cresciuto fino a diventare una collaborazione di nove organizzazioni: Apple, Bitwarden, Dashlane, Google, Microsoft, NordPass, 1Password, Samsung e SK Telecom. Quell'elenco conta. Uno standard di portabilità non vale nulla se i più grandi archivi di credenziali ne restano fuori.
Cosa è stato rilasciato davvero
È qui che il racconto e la realtà tendono a divergere, quindi ecco la situazione effettiva invece degli annunci.
| Piattaforma o gestore | Stato |
|---|---|
| Android 14+ con Google Play services 26.21+ | Importazione ed esportazione di password e passkey salvate verso app compatibili |
| Apple Passwords (iOS, iPadOS, macOS, visionOS) | Trasferimenti verso app compatibili supportati |
| Bitwarden | Rilasciato, mobile e desktop |
| Dashlane | Rilasciato su mobile |
| NordPass, Samsung | Hanno partecipato allo standard, implementazioni non ancora arrivate agli utenti finali |
| Windows Hello | I meccanismi nativi di importazione ed esportazione non hanno tenuto il passo con il mobile |
Il pezzo Android è quello che cambia il quadro, perché è lì che vive la maggior parte delle credenziali del mondo. Le note di rilascio di Google Play services collocano il supporto nella versione 26.21, il cui rilascio è iniziato il 1° giugno 2026. Gli sviluppatori lo collegano tramite le API ProviderEventsManager, importCredentials e registerExport, nella libreria androidx.credentials.
Nota la forma del requisito: è una versione di Play services, non un aggiornamento della versione di Android. Il tuo telefono non deve essere nuovo. Servono Play services aggiornati, ed è per questo che la novità è arrivata in sordina su molti dispositivi senza un aggiornamento del sistema operativo.
Le avvertenze oneste
Prima il mobile, il desktop dopo. Fuori dall'ecosistema Apple, il desktop è indietro. Se vivi su Windows, per ora il trasferimento è un lavoro da telefono.
Il supporto è per fornitore, non universale. Essere una delle nove organizzazioni che hanno costruito lo standard non equivale ad averlo rilasciato. NordPass e Samsung sono nel primo gruppo e non ancora nel secondo. Controlla le note di rilascio del tuo gestore.
"App compatibili" in quella frase sta facendo un lavoro serio. Entrambe le estremità devono implementarlo. Un gestore capace di esportare non ti serve a nulla se quello verso cui vuoi spostarti non sa ancora importare.
È ancora in movimento. Considera qualsiasi tabella di supporto dei fornitori, compresa quella qui sopra, come una fotografia del momento e non come uno stato permanente.
Cosa cambia per te
Non molto oggi, e parecchio nel prossimo anno.
Se hai rimandato le passkey perché non volevi restare intrappolato, quel motivo preciso si sta indebolendo. La risposta giusta non è precipitarsi in una migrazione. È smettere di dare tanto peso al lock-in quando scegli, e scegliere un gestore in base a ciò che conta davvero: come cifra il tuo vault, se è stato sottoposto ad audit, se funziona ovunque tu lavori, e cosa succede se perdi il dispositivo.
Se stai configurando le passkey su più ecosistemi per la prima volta, la nostra guida alla configurazione delle passkey per Google, Apple e Microsoft illustra le basi. Per un fornitore che pubblicizza già le importazioni Credential Exchange, vedi la nostra nota sull'aggiornamento di ExpressKeys.
Come spostare le passkey, in pratica
I menu esatti cambiano da app ad app, e continueranno a cambiare, quindi prendi questo come la forma del processo e non come una ricetta fissa.
- Aggiorna entrambe le app e Play services. Su Android, verifica di essere su Play services 26.21 o successivo. È il passaggio che la gente salta.
- Verifica che la destinazione sappia importare. Il supporto all'esportazione da solo non ti porta da nessuna parte.
- Trasferisci, non esportare in un file. Se l'unica opzione offerta è un CSV, non stai usando CXP, e adesso hai un file in chiaro con i tuoi segreti da distruggere.
- Verifica prima di cancellare qualsiasi cosa. Accedi prima a due o tre account con il nuovo gestore.
- Solo dopo rimuovi le vecchie copie. E controlla cosa ha conservato il vecchio gestore.
Il punto quattro è quello che fa perdere account alle persone. Una passkey cancellata prima di averla testata è una passkey da registrare di nuovo a mano, che è esattamente il problema per cui questo standard è stato scritto.
Fonti
- Specifiche FIDO Alliance Credential Exchange Protocol (CXP) e Credential Exchange Format (CXF)
- Bitwarden, "Security vendors join forces to make passkeys more portable for everyone" (organizzazioni partecipanti, origine del proof of concept)
- Note di rilascio di Google Play services, versione 26.21 (importazione ed esportazione di password e passkey su Android)
- Documentazione per sviluppatori Android,
androidx.credentialsProviderEventsManager(importCredentials,registerExport)
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Un gestore con 2FA e passkey integrate → NordPassSalva TOTP e passkey · XChaCha20 · piano gratuito→Domande frequenti
Si possono già spostare le passkey da un password manager all'altro?
Su mobile, in larga parte sì. Il meccanismo è il **Credential Exchange Protocol (CXP)** della FIDO Alliance e il suo formato dati **CXF**. Su Android, le note di rilascio di Google Play services indicano che i dispositivi con **Android 14 o superiore e Google Play services 26.21 o superiore** possono importare ed esportare password e passkey salvate verso app compatibili. Apple Passwords supporta i trasferimenti su iOS, iPadOS, macOS e visionOS. Il supporto desktop fuori dall'ecosistema Apple è ancora indietro.
Perché le passkey avevano bisogno di uno standard di trasferimento?
Perché la solita via d'uscita non esisteva. Le password si possono esportare in un file CSV, male, ma la chiave privata di una passkey non deve mai lasciare il suo archivio sicuro in forma leggibile. Senza uno standard, registrare le passkey in un gestore significava **registrare di nuovo a mano ogni account** per cambiare. Quel lock-in era l'obiezione più comune alle passkey.
È più sicuro che esportare un file CSV?
È proprio questo il punto. Un'esportazione CSV scrive ogni segreto in un file di testo in chiaro sul disco. La FIDO Alliance descrive CXP come un trasferimento di credenziali fatto in modo **non in chiaro e sicuro per impostazione predefinita**, spostandole direttamente tra i fornitori invece che attraverso un file che devi ricordarti di cancellare.
Quali password manager lo supportano?
**Bitwarden** e **Dashlane** hanno rilasciato il supporto, e **Apple Passwords** supporta i trasferimenti sulle piattaforme Apple. **NordPass** e **Samsung** hanno partecipato allo sviluppo dello standard, ma al momento in cui scriviamo le loro implementazioni non erano ancora arrivate agli utenti finali. Controlla le note di rilascio del tuo gestore invece di darlo per scontato, perché la situazione evolve in fretta.
Windows supporta già l'importazione e l'esportazione delle passkey?
Non allo stesso livello del mobile. I meccanismi nativi di importazione ed esportazione di Windows Hello non hanno tenuto il passo con i rilasci su mobile. Se usi Windows, per ora aspettati di fare il trasferimento dal telefono.
Devo cambiare gestore solo perché adesso posso?
No. La portabilità elimina un motivo per **non** cambiare, non è un motivo per cambiare. L'uso sensato è smettere di lasciare che sia il lock-in a decidere per te: scegli il gestore che vuoi davvero, per sicurezza e usabilità. Se stai ancora valutando se usare le passkey, leggi [le passkey sono sicure](/it/blog/le-passkey-sono-sicure).
