Passkey, password e MFA proteggono l'accesso in modi diversi. Scopri cosa cambia contro il phishing e come scegliere senza trascurare i metodi di recupero. Se vuoi prima orientarti sul funzionamento, parti dalla guida pratica alle passkey. Qui affrontiamo la domanda che conta quando configuri un account: quale rischio riduce davvero il metodo che stai abilitando? Password: il segreto che può essere riutilizzato Una password viene inserita per dimostrare che conosci un segreto. Se la riusi su più servizi, la compromissione di uno può mettere in pericolo gli altri. Un gestore ti aiuta a mantenere credenziali distinte e a ridurre le operazioni manuali: la guida al password manager per il team affronta l'organizzazione iniziale. MFA: più fattori, con caratteristiche diverse MFA significa autenticazione a più fattori. Un codice ricevuto via SMS, un codice generato da un'app e una chiave FIDO2 non offrono la stessa resistenza agli attacchi. Un codice temporaneo può essere richiesto da una pagina fraudolenta e inoltrato al servizio autentico durante il tentativo di accesso. Avere un secondo passaggio non basta quindi a qualificare il metodo come resistente al phishing. La FIDO Alliance confronta passkey e autenticazione tradizionale e chiarisce perché i codici monouso rimangono esposti al phishing. Per un primo orientamento operativo, consulta anche il confronto tra app, SMS e chiavi fisiche. Passkey: conta l'intero percorso di accesso L'utilizzo di una passkey può combinare il possesso della credenziale con la verifica locale dell'utente. Non è però il numero di schermate a decidere la sicurezza: bisogna valutare il metodo richiesto dal servizio e le sue regole. Un accesso apparentemente semplice può applicare più controlli; un processo lungo può ancora accettare un recupero debole. Le indicazioni di OWASP sulla sicurezza delle passkey invitano a considerare anche registrazione, verifica dell'utente e recupero. La scelta va fatta sull'insieme, non su una singola impostazione. Un esempio per scegliere senza improvvisare Immagina tre servizi: una newsletter, la posta di lavoro e il pannello amministrativo del backup. Non partire dall'idea di rendere identiche tutte le configurazioni. Per ciascuno scrivi cosa accadrebbe se un estraneo entrasse, chi può autorizzare un cambio di credenziale e quanto tempo puoi tollerare senza accesso. Per la newsletter può bastare una configurazione semplice e ben verificata. Per la posta serve attenzione anche all'indirizzo di recupero. Per il backup bisogna coinvolgere chi ne gestisce la continuità, documentando un accesso di emergenza che non dipenda da una sola persona. La guida alle priorità della MFA aiuta a ordinare il lavoro. Tre controlli prima di cambiare metodo • Verifica che il servizio consenta il metodo scelto sull'account effettivo, soprattutto se aziendale. • Prova un accesso nuovo, senza affidarti soltanto a una sessione già aperta. • Controlla cosa succede quando la credenziale principale non è disponibile. Non indebolire deliberatamente il recupero per rendere più breve l'attivazione. Se il cambiamento blocca le persone, documenta il problema e correggi il processo. Puoi proseguire con la procedura di attivazione di una passkey oppure preparare prima il piano di recupero dopo la perdita del telefono.