Password e passkey: una chiave per ciascun account

Venerdì 23 ottobre 2026. Una chat chiede la password del registro «così la teniamo tutti». Un amico vuole quella di un gioco «tanto ci fidiamo». A casa, la password del Wi-Fi è sul frigorifero, e quella dell’email di un ragazzo è la stessa di un social. Non sono lo stesso gesto. Una è una chiave di casa che avete deciso di condividere. L’altra è la chiave di un profilo che resta di una persona.

Questo pezzo è per chi ha degli account, per chi vive con un ragazzo e per chi a scuola gestisce una casella. Serve a scegliere che cosa si memorizza, che cosa si fa generare al telefono, e che cosa non si detta a voce. Due pagine pubbliche non dicono la stessa cosa sulla lunghezza e sul cambio periodico. Nessuna misura quanti account italiani vengono presi in un anno.

Che cosa protegge una password

La Polizia postale, nella pagina «Scegli una password sicura ed efficace», definisce la password come una chiave d’accesso personale fatta di caratteri, per computer, piattaforme e servizi digitali. Scrive che una password poco complessa può essere scoperta da chi vuole entrare in un conto, fare acquisti, sostituirsi a una persona sui social, inviare email a suo nome e arrivare ai dati personali. La pagina nasce dal lavoro su furti di profili, email e social. Elenca comportamenti. Non pubblica una statistica nazionale.

I punti, sulla stessa pagina, sono questi.

• Una password complessa: minimo 8 caratteri, con almeno un numero, una lettera maiuscola e un simbolo.
• Niente informazioni riconducibili alla persona, ai familiari o agli interessi: date di nascita, nomi.
• Meglio parole di fantasia, o comunque non presenti sul dizionario.
• Non condividerla con altre persone.
• Su un dispositivo altrui, disconnettersi alla fine e non memorizzarla nel browser.
• Cambiarla ogni 90 giorni.
• Non usare la stessa password per tutti gli account.
• Attivare l’autenticazione a due fattori sulle applicazioni.

Sono consigli a chi usa i servizi, non il manuale di chi progetta la schermata di login.

Che cosa il NIST chiede a chi costruisce il login

Il NIST, l’istituto americano di standard, nella SP 800-63B-4 di luglio 2025 scrive requisiti per chi autentica le persone che usano sistemi informativi governativi in rete. La pubblicazione sostituisce la SP 800-63B precedente. Dichiara anche di non voler vincolare lo sviluppo o l’uso di standard fuori da quello scopo. Non è una legge italiana. Non è un obbligo per l’account di un gioco. È il testo pubblico più chiaro su che cosa un verificatore dovrebbe esigere, e che cosa non dovrebbe esigere.

Sulla pagina degli autenticatori, per le password verificate dal servizio, le regole di lunghezza sono due. Se la password è l’unico fattore, il minimo è 15 caratteri. Se entra in un’autenticazione a più fattori, il minimo può scendere, ma non sotto gli 8. Il servizio dovrebbe accettare password lunghe almeno fino a 64 caratteri. Non deve imporre altre regole di composizione, per esempio il misto obbligatorio di tipi di carattere. Non deve chiedere un cambio periodico. Deve forzare il cambio se c’è evidenza che la credenziale è stata compromessa.

L’appendice sulla forza delle password è marcata come informativa, e spiega il perché. Le regole di composizione — almeno una cifra, una maiuscola, un simbolo — hanno un beneficio minore di quanto si pensasse all’inizio, e pesano su usabilità e memoria. Le persone rispondono in modi prevedibili. Chi avrebbe scelto «password» è relativamente portato a scegliere «Password1» se gli si chiede una maiuscola e un numero, e «Password1!» se si aggiunge un simbolo. La lunghezza è il fattore principale. Una passphrase, più parole di seguito, è spesso un modo efficace per allungare.

Phishing, keylogger e ingegneria sociale, scrive l’appendice, colpiscono allo stesso modo una password lunga e una corta, e stanno fuori dal suo perimetro. Una passphrase non rende innocuo un messaggio che chiede di dettare un codice.

Dove le due pagine non coincidono

La Postale chiede complessità e un cambio ogni 90 giorni. Il NIST dice ai servizi di non imporre il misto di caratteri e di non imporre il cambio a calendario. Non è un invito a ignorare la Polizia. È una differenza di destinatario. Una pagina parla a chi sceglie la propria chiave. L’altra parla a chi scrive la schermata in cui quella chiave si inserisce, nel perimetro dei sistemi governativi descritto dalla SP 800-63B-4.

Il tratto comune si usa subito. Non nomi e date. Non la stessa chiave ovunque: lo dice la Postale. Non dettarla. Un secondo fattore, dove il servizio lo offre. Se un sito pretende un simbolo, è una regola del sito. Se la scuola impone un cambio a trimestre, vale per quell’account. Non estendere i 90 giorni a venti servizi che non li chiedono, a mano: è il percorso che l’appendice del NIST descrive con «Password1!».

Una passphrase di qualche parola, senza il tuo nome e senza un anno, copre i pochi accessi che digiti a memoria. Per gli altri account, una password generata dal dispositivo resta nel gestore: non va tenuta a mente.

Il posto dove stanno le chiavi

Sui dispositivi Apple, da iOS 18, iPadOS 18, macOS Sequoia e visionOS 2, l’app Password raccoglie password, passkey e codici di verifica. La pagina di supporto, pubblicata il 9 giugno 2026, dice che la password più sicura è spesso quella che non crei tu: su siti e app supportati il dispositivo ne propone una univoca. L’app avvisa se è facile da indovinare, se l’hai riusata, o se è comparsa in fughe di dati note. L’inserimento automatico evita di memorizzarle. Il portachiavi iCloud le aggiorna sui dispositivi Apple approvati.

La stessa pagina descrive un gruppo condiviso: password, passkey e accessi con le credenziali Apple, con la famiglia e con contatti attendibili. Il Wi-Fi di casa si può passare da un dispositivo all’altro senza dirlo a voce. Questo non cancella la frase della Postale, «non condividete la password con altre persone». Il gruppo è uno strumento per chiavi che avete deciso di tenere in comune: la rete di casa, un abbonamento che pagate voi. La password del profilo personale di un ragazzo non diventa comune perché il gruppo esiste.

Gli accordi di casa — orari, camera, che cosa si fa insieme — stanno negli accordi di schermo. La chiave di un profilo non è una voce di quell’accordo. Si può dire ad alta voce chi conosce il Wi-Fi. Non si consegna la password di un social «perché siamo una famiglia», e non la si manda in una chat «così non la perdiamo».

Due passaggi, e una passkey

Google, nella guida per attivare la verifica in due passaggi, la descrive come un livello in più se la password viene rubata. Dopo l’attivazione si entra con la password e un secondo passaggio, oppure con una passkey. Se entri con una passkey, il secondo passaggio non serve: viene verificato che hai il dispositivo. Le passkey, scrive Google, esistono solo sui tuoi dispositivi. Non si annotano e non si comunicano per sbaglio come una password.

La guida chiede di non condividere i codici di verifica e dice che Google non chiama per verificarne uno. I codici via SMS o chiamata restano più esposti agli attacchi sul numero di telefono: le richieste sull’app sono il secondo passaggio che Google consiglia. Un numero nuovo può impiegare fino a 7 giorni prima di essere accettato come attendibile. I codici di backup, da 8 cifre, non si mettono in chat.

Se l’account è della scuola, del lavoro o di un gruppo, gli stessi passaggi possono non funzionare. In quel caso la guida dice di rivolgersi all’amministratore. È un limite frequente in classe: lo studente non «rifiuta» la verifica in due passaggi. L’account non gliela lascia accendere. La policy sul telefono in istituto è un’altra decisione, ne parliamo in smartphone a scuola. Qui il punto è la casella: chi la amministra decide quali fattori esistono.

Apple, nella pagina pubblicata il 26 settembre 2024, descrive le passkey come sostituto delle password, sullo standard WebAuthn. Il dispositivo crea due chiavi per quell’account. Quella pubblica sta sul server e non è un segreto. Quella privata non arriva al server. Face ID o Touch ID, sui modelli che li hanno, autorizzano l’uso. Non transita un segreto condiviso: Apple le descrive come resistenti al phishing. La FIDO Alliance, sulla propria pagina, usa «passkey» come nome comune, non come marca. L’accesso si approva con lo stesso gesto con cui si sblocca il dispositivo: biometria, PIN o sequenza.

Su iPhone servono il portachiavi iCloud e l’autenticazione a due fattori dell’Apple Account. Le chiavi si sincronizzano lì: Apple scrive di non conoscerle. Se perdi tutti i dispositivi, il recupero chiede account, password, un SMS al numero registrato e il codice. Ci sono 10 tentativi. Dopo diversi errori il record si blocca; al decimo fallito viene distrutto. Un contatto di recupero, impostato prima, evita di dipendere solo da quel percorso.

Sul telefono di un altro

La Postale chiede di disconnettersi a fine uso e di non salvare la password nel browser di un dispositivo altrui: biblioteca, casa di un amico, aula con profilo condiviso. Una passkey sul tuo telefono, usata per entrare da un altro schermo mentre il telefono è con te, non resta su quel computer. Il gesto da evitare è «ricorda password» su un PC che userà qualcun altro.

Una prova da questa settimana

Scegli l’account da cui recuperi gli altri. Controlla se c’è la verifica in due passaggi o una passkey. Se la password è un nome e un anno, sostituiscila con una generata, o con una passphrase che non usi altrove. Non copiarla in una nota in chiaro e non mandarla in chat «così me la salvo». Se l’account è della scuola e il secondo fattore non si accende, la domanda va all’amministratore, non a un compagno.

Domande corte

Devo cambiare la password ogni 90 giorni?

Sull’account in cui un servizio o la scuola te lo impongono, sì. La Polizia postale chiede un cambio ogni 90 giorni e una password diversa per ogni account. Il NIST, nella SP 800-63B-4 di luglio 2025, dice ai verificatori di non richiedere cambi periodici, e di forzarli solo se c’è evidenza di compromissione. Non è una legge per i social: è la differenza tra un consiglio alle persone e un requisito per il login di sistemi governativi. Senza un gestore, il cambio a mano ogni trimestre è il modo in cui nascono le varianti di «Password1!».

Una passkey sostituisce la verifica in due passaggi?

Quando entri con una passkey, Google scrive che il secondo passaggio non serve, perché si verifica il possesso del dispositivo. Le passkey stanno sui tuoi dispositivi: non si annotano come una password. Su iPhone, per crearle, servono il portachiavi iCloud e l’autenticazione a due fattori dell’Apple Account. Se il sito non offre le passkey, restano la password e un secondo fattore. I codici di quel fattore non si dettano: la guida Google dice che non riceverai una chiamata da Google per verificarne uno.

Posso mettere nel gruppo famiglia la password di mio figlio?

Il gruppo condiviso dell’app Password, da iOS 18, serve a chiavi che avete scelto di tenere insieme: il Wi-Fi, un accesso che pagate voi. La Polizia postale chiede di non condividere la password con altre persone. La password del profilo personale resta della persona. Un gruppo famiglia non è il posto dove tenere d’occhio un social. Dire ad alta voce chi conosce la rete di casa è un accordo. Consegnare la chiave di un profilo è un altro gesto.

L’account della scuola non mi fa attivare la verifica in due passaggi. Ho sbagliato qualcosa?

No. La guida Google dice che, per un account di scuola, di lavoro o di un gruppo, i passaggi per attivare la verifica in due passaggi possono non funzionare, e in quel caso ci si rivolge all’amministratore. Non è una svista dello studente. È un limite dell’account. Intanto valgono le altre regole che dipendono da te: una password che non è un nome e una data, diversa dagli altri account, e niente «ricorda password» sul computer di un’aula.