---
title: "Passwordless authentication: benefici, prerequisiti e rischi"
description: "Valuta la passwordless authentication in azienda: benefici, prerequisiti e criteri per pianificare una migrazione graduale."
image: https://blog.quanture.com/hubfs/Blog%20Post%20e%20Rich%20Media/Passwordless%20authentication/Passwordless%20authentication.jpg
---
[](https://quanture.com)
- [WE ARE](https://www.quanture.com/we-are/)
- [WE CARE](https://www.quanture.com/we-care/)
- [JOIN US](https://www.quanture.com/join-us/)
- [SUCCESS STORIES](https://www.quanture.com/case-studies/)
- [DOT](https://blog.quanture.com/)
- [MY.QUANTURE](https://www.quanture.com/myquanture/)
- IT Design & Engineering
### [IT Design & Engineering](https://www.quanture.com/it-infrastructure/)
Massimizza l’efficienza e la sicurezza del tuo ecosistema IT.
[Scopri di più](https://www.quanture.com/it-infrastructure/)
[Scopri i nostri IT services](https://www.quanture.com/it-services/)
[Hybrid Infrastructure](https://www.quanture.com/it-infrastructure/hybrid-infrastructure/) - [Infrastructure as a Service](https://www.quanture.com/managed-service/infrastructure-as-a-service/)
- [On Premise | Server & Storage, Iperconvergenza, Virtualizzazione](https://www.quanture.com/it-solutions/on-premises-virtualizzazione-iperconvergenza-server-storage/)
- [Azure Public Cloud](https://www.quanture.com/it-solutions/public-cloud-ms-azure/)
- [ArQive | Storage your data](https://www.quanture.com/managed-service/object-storage-s3/)
- [Infrastructure Assesment](https://www.quanture.com/it-consultancy-services/infrastructure-assesment/)
- [Cloud Readiness Assessment](https://www.quanture.com/it-consultancy-services/cloud-readiness-assessment/)
[Networking](https://www.quanture.com/it-infrastructure/networking/) - [Data Center Networking](https://www.quanture.com/it-solutions/data-center-networking/)
- [Wired e Wireless](https://www.quanture.com/it-solutions/reti-lan-wlan/)
- [WAN e SD-WAN](https://www.quanture.com/it-solutions/sd-wan/)
- [Network Security](https://www.quanture.com/it-solutions/network-security/)
- [Network Assessment](https://www.quanture.com/it-consultancy-services/network-assessment/)
- [Wi-fi Site Survey](https://www.quanture.com/it-consultancy-services/wifi-site-survey/)
[Business Continuity](https://www.quanture.com/it-infrastructure/business-continuity/) - [Data Resiliency](https://www.quanture.com/it-solutions/data-resiliency/)
- [Business Continuity](https://www.quanture.com/it-solutions/business-continuity/)
- [Zero Time – RPO & RTO Assessment](https://www.quanture.com/it-consultancy-services/disaster-recovery-assessment/)
[Monitoraggio delle risorse](https://www.quanture.com/managed-service/it-monitoring/) [Business & Technical Consultancy](https://www.quanture.com/it-consultancy-services/) [Support Services](https://www.quanture.com/support-services/) [Presidio as a Service](https://www.quanture.com/managed-service/presidio-informatico/)
[Scopri di più](https://www.quanture.com/it-infrastructure/)
[Scopri i nostri IT services](https://www.quanture.com/it-services/)
- Smart Productivity
### [Smart Productivity](https://www.quanture.com/smart-productivity/)
Sfrutta appieno le tue risorse, ottimizza i flussi di lavoro e incrementa la produttività.
[Scopri di più](https://www.quanture.com/smart-productivity/)
[Scopri i nostri IT services](https://www.quanture.com/it-services/)
[Collaboration and Communication](https://www.quanture.com/smart-productivity/collaboration-and-communication/) - [Productivity Suite](https://www.quanture.com/it-solutions/productivity-suite/)
- [Enterprise Collaboration](https://www.quanture.com/it-solutions/enterprise-collaboration/)
- [Enterprise Voice](https://www.quanture.com/it-solutions/enterprise-voice/)
- [Data Governance& AI:Copilot Suite](https://www.quanture.com/it-solutions/copilot-ai/)
[Workplace](https://www.quanture.com/smart-productivity/postazioni-lavoro/) - [Mobile Device Management](https://www.quanture.com/it-solutions/mobile-device-management/)
- [Virtual Workplace](https://www.quanture.com/it-solutions/virtual-workplace/)
- [Workplace as a Service](https://www.quanture.com/managed-service/workplace-as-a-service/)
- [E-mail Security](https://www.quanture.com/it-solutions/email-security/)
- [End-Point Security](https://www.quanture.com/it-solutions/endpoint-security/)
[Printing Solutions](https://www.quanture.com/smart-productivity/printing-solutions/) - [Printing Managed Services](https://www.quanture.com/managed-service/managed-print-services/)
[Monitoraggio delle risorse](https://www.quanture.com/managed-service/it-monitoring/) [Business & Technical Consultancy](https://www.quanture.com/it-consultancy-services/) [Support Services](https://www.quanture.com/support-services/) [Presidio as a Service](https://www.quanture.com/managed-service/presidio-informatico/)
[Scopri di più](https://www.quanture.com/smart-productivity/)
[Scopri i nostri IT services](https://www.quanture.com/it-services/)
- Cyber Security
### [Cyber Security](https://www.quanture.com/cyber-security/)
Proteggi i tuoi asset digitali e garantisci la sicurezza dei dati e la continuità operativa della tua azienda.
[Scopri di più](https://www.quanture.com/cyber-security/)
[Scopri i nostri IT services](https://www.quanture.com/it-services/)
[Security Platform](https://quanture.com/cyber-security/security-platform/) - [Network Security](https://www.quanture.com/it-solutions/network-security/)
- [End-Point Security](https://www.quanture.com/it-solutions/endpoint-security/)
- [E-mail Security](https://www.quanture.com/it-solutions/email-security/)
- [Data Resiliency](https://www.quanture.com/it-solutions/data-resiliency/)
- [Digital Identity & Access Security](https://www.quanture.com/it-solutions/iam-security/)
- [Cyber Security Awareness](https://www.quanture.com/it-consultancy-services/cyber-security-awareness/)
- [Active Directory Security Assessment](https://www.quanture.com/it-consultancy-services/active-directory-security-assessment/)
- [M365 Security Hardening](https://www.quanture.com/it-consultancy-services/m365-security-hardening/)
- [Zero Time – RPO & RTO Assessment](https://www.quanture.com/it-consultancy-services/disaster-recovery-assessment/)
[Ethical Hacking](https://www.quanture.com/cyber-security/ethical-hacking/) - [Vulnerability Assessment](https://www.quanture.com/it-consultancy-services/vulnerability-assessment/)
- [Penetration Test](https://www.quanture.com/it-consultancy-services/penetration-test/)
- [Web Application Penetration Test](https://www.quanture.com/it-consultancy-services/wapt/)
- [Mobile Application Penetration Test](https://www.quanture.com/it-consultancy-services/mobile-application-penetration-test/)
- [Wireless Penetration Test](https://www.quanture.com/it-consultancy-services/wireless-penetration-test/)
- [Phising Attack Test](https://www.quanture.com/it-consultancy-services/phishing-attack-test/)
[Cyber Security Managed Services](https://quanture.com/cyber-security/managed-services/) - [Vulnerability Monitoring](https://www.quanture.com/managed-service/vulnerability-monitoring/)
- [Vulnerability Management](https://www.quanture.com/managed-service/vulnerability-management/)
- [Intacto – Backup e Disaster Recovery as a Service](https://www.quanture.com/managed-service/disaster-recovery-as-a-service/)
- [EPQ – Endpoint Protection Quanture](https://www.quanture.com/managed-service/endpoint-protection/)
- [E-mail Security Complete](https://www.quanture.com/managed-service/vulnerability-monitoring/)
[Monitoraggio delle risorse](https://www.quanture.com/managed-service/it-monitoring/) [Business & Technical Consultancy](https://www.quanture.com/it-consultancy-services/) [Support Services](https://www.quanture.com/support-services/) [Presidio as a Service](https://www.quanture.com/managed-service/presidio-informatico/)
[Scopri di più](https://www.quanture.com/cyber-security/)
[Scopri i nostri IT services](https://www.quanture.com/it-services/)
- [Microsoft Advisory Services](https://www.quanture.com/microsoft-advisory-services/)
### [Microsoft Advisory Services](https://www.quanture.com/microsoft-advisory-services/)
Tutto il potenziale del Cloud e della suite M365 al servizio del tuo business.
[Scopri di più](https://www.quanture.com/microsoft-advisory-services/)
[Scopri i nostri IT services](https://www.quanture.com/it-services/)
[Active Directory & Domain Services](https://www.quanture.com/microsoft-advisory-services/active-directory-domain-services/) - [Microsoft Active Directory](https://www.quanture.com/it-solutions/microsoft-active-directory/)
- [Microsoft ENTRA](https://www.quanture.com/it-solutions/microsoft-entra/)
- [Active Directory Security Assessment](https://www.quanture.com/it-consultancy-services/active-directory-security-assessment/)
- [Integrazione e separazione di foreste e domini](https://www.quanture.com/it-solutions/active-directory-integration/)
[Remotizzazione delle postazioni o delle applicazioni](https://quanture.com/microsoft-advisory-services/remotizzazione-desktop/) - Azure Virtual Desktop
[Microsoft Cloud: Infrastructure & Productivity](https://www.quanture.com/microsoft-advisory-services/microsoft-cloud-infrastructure-productivity/) - [Azure Public Cloud](https://www.quanture.com/it-solutions/public-cloud-ms-azure/)
- [Collaboration and Communication](https://www.quanture.com/smart-productivity/collaboration-and-communication/)
- [Data Governance & AI: Copilot Suite](https://www.quanture.com/it-solutions/copilot-ai/)
[SQL Server](https://www.quanture.com/microsoft-advisory-services/server-sql/)
[Microsoft Dev Platform](https://www.quanture.com/development/)
[Business & Technical Consultancy](https://www.quanture.com/it-consultancy-services/) [Support Services](https://www.quanture.com/support-services/) [Presidio as a Service](https://www.quanture.com/managed-service/presidio-informatico/)
[Scopri di più](https://www.quanture.com/microsoft-advisory-services/)
[Scopri i nostri IT services](https://www.quanture.com/it-services/)
- [Dev & Apps](https://www.quanture.com/development/)
# Passwordless authentication: benefici, prerequisiti e rischi da valutare prima dell’adozione
19/10/2026
Tag:
[Cyber Security](https://blog.quanture.com/tag/cyber-security) [Digital Identity](https://blog.quanture.com/tag/digital-identity)
## Key Takeaways
- **La [resistenza al phishing](https://blog.quanture.com/passwordless-authentication-benefici-prerequisiti-e-rischi#phishing) va verificata nella scelta del metodo passwordless.** Le passkey legano la credenziale al servizio legittimo, impedendone l’uso su un sito che lo imita.
- **La [scelta delle passkey](https://blog.quanture.com/passwordless-authentication-benefici-prerequisiti-e-rischi#passkey) dipende dalle esigenze di controllo e recupero.** Credenziali sincronizzate, locali o su chiavi FIDO2 devono adattarsi alle applicazioni, ai dispositivi e alle condizioni di lavoro.
- **I [benefici operativi](https://blog.quanture.com/passwordless-authentication-benefici-prerequisiti-e-rischi#benefici) vanno misurati nell’ambiente aziendale.** Accessi più rapidi e meno richieste per password dimenticate devono essere valutati insieme alle difficoltà di registrazione e ai tempi di recupero.
- **Il [recupero degli accessi](https://blog.quanture.com/passwordless-authentication-benefici-prerequisiti-e-rischi#rischi) deve mantenere le protezioni richieste.** Verifica dell’identità, metodi alternativi autorizzati e revoca delle credenziali perse o non più autorizzate sono parte della sicurezza del sistema.
- **La [migrazione](https://blog.quanture.com/passwordless-authentication-benefici-prerequisiti-e-rischi#migrazione) va estesa sulla base dei risultati della sperimentazione.** Contano l’uso effettivo del nuovo metodo, le applicazioni ancora escluse e la capacità di ripristinare l’operatività, oltre alle passkey registrate.
La **passwordless authenticatio**n consente di accedere alle applicazioni **senza digitare la password** dell’account. Con una passkey, l’utente autorizza l’accesso dal proprio dispositivo tramite un PIN o il riconoscimento biometrico. Per le aziende, questo approccio può **semplificare l’esperienza d’uso e ridurre i rischi** legati al furto o al riutilizzo delle password.
I benefici dipendono però dal metodo scelto e da **come viene integrato nell’ambiente aziendale**. Prima dell’adozione occorre verificare quali applicazioni lo supportano e come gestire il **recupero degli accessi** quando un dispositivo viene perso o sostituito. Il passaggio alla passwordless richiede quindi di ripensare anche le procedure di gestione delle credenziali, per rendere l’accesso più semplice senza indebolire i controlli di sicurezza.
## Passwordless authentication e resistenza al phishing
Quando si sceglie una soluzione passwordless, bisogna verificare che sia anche **resistente al phishing**. **L’assenza di una password non basta a garantire questa protezione**: se l’accesso avviene tramite un codice temporaneo, un sito falso può indurre l’utente a inserirlo e usarlo subito sul servizio reale. Il criterio da valutare è quindi se la tecnologia riconosce il servizio a cui si sta accedendo e impedisce di usare la credenziale su un sito che lo imita.
Il [NIST (National Institute of Standards and Technology)](https://pages.nist.gov/800-63-4/sp800-63b/authenticators/), l’ente statunitense che pubblica linee guida anche sull’identità digitale, considera resistente al phishing un metodo che impedisce questo inganno senza affidarsi all’attenzione dell’utente. Nelle sue linee guida cita **WebAuthn** (Web Authentication), lo standard web utilizzato dalle **tecnologie FIDO**2 (Fast Identity Online 2), come esempio: la credenziale è legata al dominio del servizio per cui è stata creata.
Le passkey utilizzano gli **standard della** [**FIDO Alliance**](https://fidoalliance.org/passkeys/), l’associazione di settore che sviluppa standard aperti per ridurre la dipendenza dalle password. Il loro funzionamento si basa su due chiavi crittografiche: il servizio conserva quella pubblica, mentre il dispositivo usa quella privata per dimostrare che l’utente possiede la credenziale, senza inviarla al sito. Il legame con il dominio impedisce a un sito falso, con un indirizzo diverso, di ottenere un’autenticazione valida per quello reale. Il PIN o il riconoscimento biometrico autorizzano l’uso della passkey sul dispositivo; i dati biometrici non vengono trasmessi al servizio.
La resistenza al phishing va verificata anche quando la soluzione offre la **MFA (Multi-Factor Authentication, autenticazione a più fattori)**. Con una passkey, richiedere sia il possesso della credenziale sia la verifica dell’utente tramite PIN o biometria permette di combinare due fattori senza usare la password dell’account. Occorre però verificare che tale controllo sia effettivamente richiesto dalla configurazione: un accesso passwordless basato soltanto sul possesso della credenziale non equivale automaticamente alla MFA. Allo stesso modo, la presenza di più fattori non garantisce da sola la protezione dal phishing: conta come viene verificata l’autenticità del servizio.
## Quali benefici misurare nel contesto aziendale
L’adozione di credenziali basate sugli standard FIDO può migliorare sia la sicurezza degli accessi sia l’operatività quotidiana. Sui servizi che utilizzano questo metodo, eliminare la password **riduce l’esposizione agli attacchi che sfruttano credenziali rubate o riutilizzate su più account**. Il beneficio dipende però dalla copertura effettiva: se alcune applicazioni continuano a richiedere una password, quei percorsi di accesso restano da proteggere.
Per le persone, il vantaggio è **un’autenticazione più semplice**, che riduce la necessità di ricordare password diverse e può rendere più rapido l’accesso alle applicazioni. Questa semplificazione **può alleggerire anche il lavoro dell’assistenza IT**, diminuendo le richieste per password dimenticate e il tempo dedicato al loro ripristino. Il risultato va valutato lungo tutto il percorso di utilizzo: le difficoltà nella registrazione di una passkey o nel recupero dopo la sostituzione di un dispositivo possono generare nuove richieste di supporto.
Per capire se l’adozione produce i benefici attesi, conviene quindi **confrontare i tempi di accesso e le richieste di assistenza prima e dopo l’introduzione del nuovo metodo**, distinguendo i problemi di autenticazione da quelli di registrazione e recupero. In questo modo è possibile verificare se la maggiore sicurezza si accompagna a un’esperienza più fluida e a una riduzione del carico operativo per l’IT.
## Passkey sincronizzate o credenziali legate al dispositivo
La scelta tra passkey sincronizzate e passkey legate al dispositivo, dette *device-bound*, riguarda soprattutto il controllo delle credenziali e la gestione del recupero.
- Le **passkey sincronizzate** possono essere **disponibili su più dispositivi** attraverso un servizio di sincronizzazione, facilitando la continuità degli accessi quando una persona cambia o perde il proprio dispositivo.
- Le **passkey legate al dispositivo** rimangono **vincolate al dispositivo** su cui sono state create e non vengono copiate su altri. Questa caratteristica consente un controllo più stretto sulle credenziali, ma richiede di predisporre una modalità alternativa per recuperare l’accesso in caso di perdita o guasto.
Le passkey legate al dispositivo possono essere conservate su un computer o uno smartphone, oppure su una **chiave di sicurezza FIDO2**, un dispositivo hardware portatile che l’utente collega o avvicina alla postazione per autenticarsi. La tabella seguente distingue queste opzioni perché comportano esigenze diverse di distribuzione, utilizzo e gestione dello smarrimento.
Come spiega la[FIDO Alliance](https://fidoalliance.org/white-paper-high-assurance-enterprise-fido-authentication/), **la scelta deve rispondere alle esigenze di sicurezza dell’azienda e alla criticità degli accessi da proteggere**. Per le passkey sincronizzate, occorre valutare anche la sicurezza del servizio che le gestisce e dell’account attraverso cui vengono rese disponibili, comprese le procedure di recupero. Questo aspetto assume particolare rilievo quando la sincronizzazione dipende da un account personale, sul quale l’azienda può avere un controllo limitato.
Prima dell’adozione bisogna quindi stabilire **dove possono risiedere le credenziali, quali dispositivi sono autorizzati a utilizzarle e chi può ripristinare l’accesso**.
### Confronto tra opzioni di autenticazione
| Opzione | Protezione | Gestione della credenziale | Verifica prima dell’adozione |
| --- | --- | --- | --- |
| Passkey sincronizzate | Resistenti al phishing nel flusso FIDO | Credenziali disponibili sui dispositivi dell’ecosistema autorizzato | Provider ammessi, sicurezza dell’account di sincronizzazione e recupero |
| Passkey device-bound su dispositivo | Resistenti al phishing nel flusso FIDO | Credenziale legata al dispositivo su cui è stata creata | Protezione del dispositivo e registrazione di un’alternativa |
| Chiavi di sicurezza FIDO2 | Resistenti al phishing nel flusso FIDO | Credenziale su un autenticatore hardware portatile | Distribuzione, verifica dell’utente e gestione dello smarrimento |
**La scelta può quindi variare anche all’interno della stessa azienda.** Per chi lavora su postazioni diverse, una chiave di sicurezza FIDO2 permette di portare con sé la credenziale e utilizzarla sui sistemi compatibili; per chi usa abitualmente un computer assegnato, una passkey conservata su quel dispositivo può rendere l’accesso più immediato.
Per gli account con privilegi amministrativi, a queste esigenze operative si aggiunge la necessità di controlli più rigorosi, perché una compromissione può coinvolgere sistemi e dati critici. Occorre quindi valutare con particolare attenzione chi può registrare una credenziale, su quali dispositivi può essere utilizzata e come viene revocata o sostituita in caso di smarrimento.
## I prerequisiti da verificare prima del progetto pilota
Prima di avviare un progetto pilota, occorre **verificare che il metodo scelto possa essere utilizzato nelle condizioni di lavoro delle persone coinvolte**. La [guida Microsoft per una distribuzione resistente al phishing](https://learn.microsoft.com/en-us/entra/identity/authentication/how-to-deploy-phishing-resistant-passwordless-authentication) parte proprio dalle esigenze degli utenti e dalla preparazione dei loro dispositivi. Negli ambienti Microsoft, le opzioni comprendono Windows Hello for Business, che consente di autenticarsi dal computer Windows con PIN o biometria, e le passkey, anche su chiavi di sicurezza FIDO2. Per scegliere quali sperimentare bisogna **controllare la compatibilità con i dispositivi e le applicazioni effettivamente utilizzati**, comprese le configurazioni che combinano sistemi aziendali locali e servizi cloud.
Il progetto pilota deve permettere di **valutare l’accesso quotidiano e la capacità di gestire gli imprevisti**. Prima di coinvolgere gli utenti, è quindi utile verificare le cinque aree della checklist seguente, prevedendo modalità adatte anche a chi lavora su postazioni condivise o non dispone di uno smartphone aziendale.
### Checklist di preparazione aziendale
#### ☐ Identità
- Verificare che ogni partecipante utilizzi un account individuale, associato alla persona corretta e con autorizzazioni aggiornate.
- Definire chi può approvare la registrazione di una nuova credenziale e chi deve revocarla quando non è più autorizzata.
#### ☐ Applicazioni
- Censire le risorse a cui gli utenti devono accedere e le modalità utilizzate, includendo programmi installati sul computer, VPN e desktop remoti.
- Individuare i percorsi che supportano il nuovo metodo e quelli che richiedono adeguamenti o soluzioni temporanee.
#### ☐ Dispositivi
- Controllare che sistemi operativi e browser supportino il metodo scelto e che i dispositivi rispettino i requisiti di protezione aziendali.
- Definire come gestire le credenziali sulle postazioni condivise e sui dispositivi personali usati per lavoro, secondo il modello BYOD (Bring Your Own Device).
#### ☐ Recupero
- Predisporre e provare una procedura per ripristinare l’accesso in caso di perdita, guasto o sostituzione del dispositivo o della chiave di sicurezza.
- L’assistenza deve sapere come verificare l’identità del richiedente e autorizzare una nuova credenziale.
#### ☐ Controlli
- Stabilire quali metodi di autenticazione sono consentiti e per quali utenti o servizi.
- Prevedere la registrazione degli eventi di accesso e criteri espliciti per le eccezioni, con controlli più rigorosi per gli account amministrativi.
La **verifica delle applicazioni** permette di stabilire quali servizi possono essere inclusi nel progetto pilota. Quando un’applicazione affida l’autenticazione a un identity provider, cioè il sistema che verifica l’identità dell’utente per conto dei servizi collegati, può essere sufficiente abilitare il nuovo metodo su quel sistema, senza riscrivere l’applicazione. Questo collegamento, detto federazione, va però verificato: eventuali accessi diretti o protocolli meno recenti possono continuare a richiedere una password. Per i percorsi ancora esclusi occorre definire una protezione alternativa, un responsabile e una data di riesame, così che le eccezioni abbiano un percorso di risoluzione.
**La compatibilità tecnica deve accompagnarsi a una corretta gestione degli account.** Se più persone utilizzano la stessa identità, anche una credenziale robusta rende difficile attribuire le attività a chi le ha svolte; se un utente dispone di autorizzazioni eccessive, l’accesso senza password lascia invariato quel rischio. Per questo il progetto va collegato all’[**Identity and Access Management (IAM)**](https://blog.quanture.com/identity-and-access-management-funzionalit%C3%A0-chiave-e-vantaggi), la gestione delle identità e dei diritti di accesso: l’autenticazione verifica chi entra, mentre le autorizzazioni stabiliscono quali risorse quella persona può utilizzare e quali operazioni può compiere.
## Rischi residui e recupero degli accessi
L’autenticazione senza password riduce i rischi legati alle credenziali tradizionali, ma **la protezione deve proseguire anche dopo l’accesso**. Come evidenzia il [NIST nell’analisi delle minacce](https://pages.nist.gov/800-63-4/sp800-63b/security/), un dispositivo compromesso da malware può consentire operazioni non autorizzate. Un attaccante può inoltre appropriarsi della sessione, cioè del collegamento che mantiene l’utente autenticato, e utilizzarla senza ripetere il login. L’adozione delle passkey deve quindi accompagnarsi alla **protezione dei dispositivi e delle sessioni**, oltre che a **procedure sicure per recuperare l’accesso**.
Il recupero è un passaggio particolarmente delicato perché consente di associare una nuova credenziale a un account esistente. Se l’assistenza IT si affida a una verifica superficiale della richiesta, un attaccante può impersonare il titolare dell’account e ottenere l’accesso attraverso quella procedura. Bisogna perciò definire **come accertare l’identità del richiedente e chi può autorizzare il ripristino**, prevedendo notifiche al titolare e controlli aggiuntivi per gli account privilegiati. Durante la sperimentazione iniziale, la procedura va provata simulando lo smarrimento di una chiave o la sostituzione di un dispositivo, anche per un account amministrativo.
Per evitare che un guasto o uno smarrimento interrompa il lavoro, è utile **predisporre in anticipo un metodo di accesso alternativo autorizzato**. La gestione del ciclo di vita degli autenticatori deve comprendere la registrazione delle credenziali, il recupero e la revoca. L’azienda deve sapere quali credenziali sono associate a ciascun account e verificare che quelle perse o compromesse vengano disabilitate: ripristinare l’operatività senza invalidare la credenziale precedente può lasciare aperto un accesso non più controllato.
Anche il **metodo alternativo**, spesso indicato come fallback, **deve rispettare il livello di sicurezza richiesto dal servizio**. Se un’applicazione richiede un accesso resistente al phishing, mantenere sempre disponibile un’opzione più debole offre all’attaccante un altro percorso da tentare. Durante la migrazione può essere necessario conservare temporaneamente alcuni metodi precedenti; occorre però circoscriverne l’uso agli utenti e ai servizi che ne hanno bisogno, monitorare gli accessi e definire quando dismetterli.
**Le stesse regole devono valere quando termina il rapporto con un dipendente o un fornitore.** Gli accessi vanno disabilitati e le credenziali associate devono essere revocate, anche se la passkey è conservata su un dispositivo personale che resta al suo proprietario. La sicurezza della passwordless authentication dipende quindi anche dal **controllo su chi può registrare, sostituire e revocare le credenziali**: queste operazioni devono seguire responsabilità e procedure definite lungo tutto il rapporto con l’azienda.
## Passwordless authentication, come pianificare una migrazione graduale
La migrazione all’autenticazione senza password dovrebbe **partire da una sperimentazione su un gruppo limitato di utenti**, scelto in modo da rappresentare le diverse condizioni di lavoro presenti in azienda. Il gruppo dovrebbe includere sia chi utilizza un dispositivo assegnato sia chi accede da postazioni condivise, oltre a collaboratori esterni e persone con privilegi amministrativi. Questa varietà permette di verificare come il metodo scelto risponde a esigenze operative e requisiti di sicurezza differenti.
Durante la sperimentazione occorre **osservare l’intero percorso**, dalla registrazione della credenziale all’accesso quotidiano, fino al recupero in caso di perdita o sostituzione del dispositivo. I risultati aiutano a distinguere i problemi di compatibilità dalle difficoltà degli utenti e dalle carenze dell’assistenza, così da intervenire prima di estendere l’adozione. Il percorso seguente organizza queste verifiche in fasi successive, per ampliare gradualmente l’utilizzo e rendere obbligatori i nuovi metodi quando le condizioni operative lo consentono.
Migrazione graduale
Percorso operativo proposto
Una sequenza di lavoro da adattare alla criticità dei servizi e alle modalità di accesso aziendali.
←
Censire e scegliere
- Mappare utenti, applicazioni e accessi critici.
- Definire i metodi ammessi e le eccezioni iniziali.
Mappa degli accessi
Registrare e collaudare
- Attivare un gruppo rappresentativo.
- Provare accessi quotidiani, cambio dispositivo e perdita dell’autenticatore.
Registrazione e collaudo
Valutare il pilota
- Misurare utilizzo effettivo, errori, ticket e tempi di recupero.
- Correggere i problemi prima di ampliare il perimetro.
Valutazione del pilota
Estendere e governare
- Applicare le policy per gruppi progressivi.
- Ridurre le alternative deboli e riesaminare periodicamente le eccezioni.
Estensione delle policy
→
← Scorri per vedere tutte le card →
Prima di estendere l’autenticazione senza password ad altri utenti e servizi, bisogna **verificare come sta funzionando la sperimentazione**. Aver registrato una passkey non significa necessariamente utilizzarla: occorre controllare che le persone accedano alle applicazioni con il nuovo metodo e individuare i casi in cui continuano a usare la password.
Prima della sperimentazione iniziale, l’azienda dovrebbe inoltre **stabilire quali risultati considera necessari per procedere**, definendo la quota di accessi da proteggere con il nuovo metodo, le eccezioni ammesse e i tempi di recupero accettabili. Questi criteri devono riflettere la criticità dei servizi coinvolti e permettere di decidere se ampliare l’utilizzo o correggere prima i problemi emersi.
## Integrare la passwordless authentication nella governance degli accessi
L’adozione dell’autenticazione senza password richiede di collegare la scelta delle credenziali alle regole con cui l’azienda gestisce identità e autorizzazioni. Un accesso sicuro deve permettere di verificare chi entra, da quale dispositivo e con quali permessi, mantenendo sotto controllo anche la registrazione, il recupero e la revoca delle credenziali.
In questo percorso, l’**approccio Quanture** alla governance e alla sicurezza dei dati, basato su assessment e interventi mirati, aiuta a **individuare le priorità a partire dall’ambiente esistente**. L’analisi degli accessi e delle applicazioni consente di capire dove introdurre il nuovo metodo, quali adeguamenti sono necessari e come integrare la passwordless nei controlli già adottati dall’azienda.
L’obiettivo è rendere gli accessi più semplici e sicuri, con procedure che funzionino anche quando un dispositivo viene perso, una persona cambia ruolo o termina una collaborazione. **La migrazione può così diventare un’occasione per migliorare la gestione degli accessi nel suo complesso**, accompagnando la riduzione delle password con un controllo più efficace sulle credenziali e sul loro utilizzo.
**Come si prepara un’azienda al passwordless?**
Scopri il percorso di Florim con Quanture: dalla protezione delle identità e dei dispositivi ai prerequisiti per gli accessi senza password.
[Leggi il case study →](https://quanture.com/case-studies/dallhardening-al-passwordless-il-security-journey-di-florim/)
## FAQ
Il PIN di una passkey è una password aziendale?
No. Il PIN serve ad autorizzare l’uso della passkey sul dispositivo e non viene inviato al servizio a cui si sta accedendo. La password dell’account, invece, viene verificata dal servizio. Anche se l’utente digita un codice, quindi, il funzionamento è diverso: il PIN sblocca una credenziale crittografica, anziché sostituirla.
Il PIN resta comunque un elemento da proteggere e non deve essere condiviso. Se viene dimenticato, la procedura per ripristinare l’accesso dipende dal dispositivo e dal metodo di autenticazione adottato.
È necessario uno smartphone aziendale per utilizzare l’autenticazione senza password?
No, non necessariamente. L’accesso può avvenire attraverso una credenziale disponibile sul computer oppure tramite una chiave di sicurezza FIDO2, senza utilizzare uno smartphone.
La scelta deve tenere conto delle condizioni di lavoro. Per chi utilizza postazioni condivise o cambia frequentemente computer, una chiave portatile può essere un’opzione da valutare. L’uso di uno smartphone personale, invece, deve essere previsto dalle regole aziendali, chiarendo quali credenziali possono esservi conservate e come gestire la perdita o la sostituzione del dispositivo.
Le passkey possono funzionare con applicazioni legacy?
In alcuni casi sì, ma occorre verificare come l’applicazione gestisce l’accesso. Se delega la verifica dell’identità a un sistema centrale, quest’ultimo può consentire l’utilizzo delle passkey anche senza modificare direttamente l’applicazione.
Se invece il programma richiede credenziali proprie o utilizza un protocollo che non supporta il nuovo metodo, possono essere necessari adeguamenti specifici. La verifica deve comprendere anche eventuali accessi diretti: poter entrare senza password dal portale aziendale non significa che tutti gli altri percorsi siano già coperti.
Si possono eliminare subito tutte le password aziendali?
Non sempre. Un’azienda può introdurre l’accesso senza password per alcuni servizi e doverla mantenere per altri, finché non vengono risolti i problemi di compatibilità.
Prima di disabilitare la password su un servizio, bisogna verificare che gli utenti dispongano di credenziali funzionanti e di una modalità sicura per recuperare l’accesso. Le password ancora necessarie devono essere associate a eccezioni precise, con un responsabile e una scadenza di riesame. La loro eliminazione deve seguire la copertura effettiva degli accessi, non il solo numero di passkey registrate.
Come si revoca una passkey conservata su un dispositivo personale?
La revoca si effettua sul sistema che gestisce l’account o sul servizio presso cui la passkey è stata registrata, rimuovendo l’associazione con quella credenziale. La passkey può restare memorizzata sul dispositivo personale, ma non viene più accettata per autenticarsi a quel servizio.
Quando termina una collaborazione, occorre inoltre disabilitare gli accessi aziendali della persona. Se la stessa identità viene utilizzata per più applicazioni, bisogna verificare quali accessi dipendono dal sistema centrale e quali richiedono un intervento separato. La cancellazione della passkey dal dispositivo, da sola, non sostituisce la revoca gestita dall’azienda.
Condividilo su: [](http://www.facebook.com/share.php?u=https%3A%2F%2Fblog.quanture.com%2Fpasswordless-authentication-benefici-prerequisiti-e-rischi%3Futm_medium%3Dsocial%26utm_source%3Dfacebook) [](https://twitter.com/intent/tweet?original_referer=https%3A%2F%2Fblog.quanture.com%2Fpasswordless-authentication-benefici-prerequisiti-e-rischi%3Futm_medium%3Dsocial%26utm_source%3Dtwitter&url=https%3A%2F%2Fblog.quanture.com%2Fpasswordless-authentication-benefici-prerequisiti-e-rischi%3Futm_medium%3Dsocial%26utm_source%3Dtwitter&source=tweetbutton&text=) [](http://www.linkedin.com/shareArticle?mini=true&url=https%3A%2F%2Fblog.quanture.com%2Fpasswordless-authentication-benefici-prerequisiti-e-rischi%3Futm_medium%3Dsocial%26utm_source%3Dlinkedin) [](mailto:?subject=Consulta%20https%3A%2F%2Fblog.quanture.com%2Fpasswordless-authentication-benefici-prerequisiti-e-rischi%3Futm_medium%3Dsocial%26utm_source%3Demail%20&body=Consulta%20https%3A%2F%2Fblog.quanture.com%2Fpasswordless-authentication-benefici-prerequisiti-e-rischi%3Futm_medium%3Dsocial%26utm_source%3Demail)
Topic: [Cyber Security](https://blog.quanture.com/tag/cyber-security), [Digital Identity](https://blog.quanture.com/tag/digital-identity)
## Post Correlati
[Security awareness: trasformare le persone nella prima linea di difesa](https://blog.quanture.com/cybersecurity-awareness)
21 ottobre 2026
[Passwordless authentication: benefici, prerequisiti e rischi da valutare prima dell’adozione](https://blog.quanture.com/passwordless-authentication-benefici-prerequisiti-e-rischi)
19 ottobre 2026
[Direttiva NIS2: obblighi, scadenze e come adeguare la tua azienda](https://blog.quanture.com/cose-la-direttiva-nis2-e-quali-obblighi-di-cybersecurity-richiede)
14 ottobre 2026
## Iscriviti alla Newsletter
## Post più letti
##### [Crisi della RAM: perché i prezzi stanno esplodendo](https://blog.quanture.com/crisi-della-ram)
[News](https://blog.quanture.com/tag/news) - 17/02/2026
##### [Copilot use case: 7 esempi per aumentare la produttività aziendale](https://blog.quanture.com/copilot-use-case-per-aumentare-la-produttivit%C3%A0)
[Microsoft,](https://blog.quanture.com/tag/microsoft) [Intelligenza Artificiale,](https://blog.quanture.com/tag/intelligenza-artificiale) [Quanture.AI](https://blog.quanture.com/tag/quanture-ai) - 09/09/2026
##### [Patch Management, da anello debole a leva per sicurezza e compliance](https://blog.quanture.com/patch-management-da-anello-debole-a-leva-per-sicurezza-e-compliance)
[Cyber Security,](https://blog.quanture.com/tag/cyber-security) [Compliance](https://blog.quanture.com/tag/compliance) - 05/11/2025
## TOPIC
[Cyber Security (65)](https://blog.quanture.com/tag/cyber-security) [Quanture (43)](https://blog.quanture.com/tag/quanture) [Servizi Informatici (36)](https://blog.quanture.com/tag/servizi-informatici) [Cloud (33)](https://blog.quanture.com/tag/cloud) [Microsoft (31)](https://blog.quanture.com/tag/microsoft) [HPE (30)](https://blog.quanture.com/tag/hpe) [Data Storage (29)](https://blog.quanture.com/tag/data-storage) [Business Continuity (28)](https://blog.quanture.com/tag/business-continuity) [Collaboration (24)](https://blog.quanture.com/tag/collaboration) [Microsoft365 (23)](https://blog.quanture.com/tag/microsoft365) [Disaster Recovery (20)](https://blog.quanture.com/tag/disaster-recovery) [Imagine a NEW PLAN (20)](https://blog.quanture.com/tag/imagine-a-new-plan) [Intelligenza Artificiale (17)](https://blog.quanture.com/tag/intelligenza-artificiale) [Virtualizzazione (17)](https://blog.quanture.com/tag/virtualizzazione) [Sustainability (14)](https://blog.quanture.com/tag/sustainability) [Consulting Service (12)](https://blog.quanture.com/tag/consulting-service) [Iperconvergenza (12)](https://blog.quanture.com/tag/iperconvergenza) [Managed Service (10)](https://blog.quanture.com/tag/managed-service) [Compliance (9)](https://blog.quanture.com/tag/compliance) [Quanture.AI (9)](https://blog.quanture.com/tag/quanture-ai) [Ransomware (9)](https://blog.quanture.com/tag/ransomware) [Smart Working aziendale (9)](https://blog.quanture.com/tag/smart-working-aziendale) [Backup aziendale (8)](https://blog.quanture.com/tag/backup-aziendale) [Data Governance (8)](https://blog.quanture.com/tag/data-governance) [Citrix (7)](https://blog.quanture.com/tag/citrix) [Communication (5)](https://blog.quanture.com/tag/communication) [Ethical hacking (5)](https://blog.quanture.com/tag/ethical-hacking) [GDPR (4)](https://blog.quanture.com/tag/gdpr) [HP (4)](https://blog.quanture.com/tag/hp) [Azure Virtual Desktop (3)](https://blog.quanture.com/tag/azure-virtual-desktop) [News (3)](https://blog.quanture.com/tag/news) [Windows 365 (3)](https://blog.quanture.com/tag/windows-365) [Digital Identity (2)](https://blog.quanture.com/tag/digital-identity) [Windows Virtual Desktop (2)](https://blog.quanture.com/tag/windows-virtual-desktop) [CSP (1)](https://blog.quanture.com/tag/csp) [Infrastruttura IT (1)](https://blog.quanture.com/tag/infrastruttura-it) [OpenLicense (1)](https://blog.quanture.com/tag/openlicense) [RPO (1)](https://blog.quanture.com/tag/rpo) [VMware (1)](https://blog.quanture.com/tag/vmware) [Windows11 (1)](https://blog.quanture.com/tag/windows11)
**QUANTURE HQ**
Via delle Radici, 309-315
41043 Formigine (Modena)
Ph. +39 059 557530
**[info@quanture.com](mailto:info@quanture.com)**
Contacts Newsletter
/ AREAS
[IT Design & Engineering](https://www.quanture.com/it-infrastructure/) [Smart Productivity](https://www.quanture.com/smart-productivity/) [Cyber security](https://www.quanture.com/cyber-security/) [Microsoft Advisory Services](https://www.quanture.com/microsoft-advisory-services/) [Dev & Apps](https://www.quanture.com/development/)
/ ABOUT
[We are](https://www.quanture.com/we-are/) [We care](https://www.quanture.com/we-care/) [Join us](https://www.quanture.com/join-us/) [Success stories](https://www.quanture.com/case-studies/) [DOT](https://blog.quanture.com/) [My.Quanture](https://www.quanture.com/myquanture/)
/ TOPIC
[Cyber security](https://blog.quanture.com/tag/cyber-security), [Microsoft](https://blog.quanture.com/tag/microsoft), [Cloud](https://blog.quanture.com/tag/cloud), [Data Storage](https://blog.quanture.com/tag/data-storage), [Business Continuity](https://blog.quanture.com/tag/business-continuity), [HPE](https://blog.quanture.com/tag/hpe), [Servizi Informatici](https://blog.quanture.com/tag/servizi-informatici), [Collaboration](https://blog.quanture.com/tag/collaboration), [Disaster Recovery](https://blog.quanture.com/tag/disaster-recovery), [Virtualizzazione](https://blog.quanture.com/tag/virtualizzazione), [Quanture](https://blog.quanture.com/tag/quanture),
[Iperconvergenza](https://blog.quanture.com/tag/iperconvergenza), [Ransomware](https://blog.quanture.com/tag/ransomware), [Smart Working aziendale](https://blog.quanture.com/tag/smart-working-aziendale), [Citrix](https://blog.quanture.com/tag/citrix), [Backup aziendale](https://blog.quanture.com/tag/backup-aziendale), [Ethical hacking](https://blog.quanture.com/tag/ethical-hacking), [HP](https://blog.quanture.com/tag/hp), [GDPR](https://blog.quanture.com/tag/gdpr), [Microsoft365](https://blog.quanture.com/tag/microsoft365), [Windows 365](https://blog.quanture.com/tag/windows-365), [Azure Virtual Desktop,](https://blog.quanture.com/tag/azure-virtual-desktop) [Sustainability](https://blog.quanture.com/tag/sustainability), [Windows Virtual Desktop](https://blog.quanture.com/tag/windows-virtual-desktop), [CSP](https://blog.quanture.com/tag/csp), [OpenLicense](https://blog.quanture.com/tag/openlicense), [VMware](https://blog.quanture.com/tag/vmware), [Windows11](https://blog.quanture.com/tag/windows11)
Quanture è azienda certificata UNI EN ISO 9001:2015 n° 50 100 13264 Rev.005
© QUANTURE P. IVA 03317290363 | [PRIVACY POLICY](https://quanture.com/privacy-policy-quanture/) – [COOKIE POLICY](https://www.iubenda.com/privacy-policy/84662247/cookie-policy) - [WHISTLEBLOWING](https://quanture.com/whistleblowing-quanture/)
```json
{
"@context" : "https://schema.org",
"@type" : "BlogPosting",
"author" : {
"@type" : "Person",
"name" : "quanture_social",
"url" : "https://blog.quanture.com/author/quanture"
},
"dateModified" : "2026-10-19T10:34:47.611Z",
"datePublished" : "2026-10-19T10:30:00.000Z",
"headline" : "Passwordless authentication: benefici, prerequisiti e rischi",
"image" : [ "https://blog.quanture.com/hubfs/Blog%20Post%20e%20Rich%20Media/Passwordless%20authentication/Passwordless%20authentication.jpg" ],
"mainEntityOfPage" : {
"@id" : "https://blog.quanture.com/passwordless-authentication-benefici-prerequisiti-e-rischi",
"@type" : "WebPage"
},
"publisher" : {
"@type" : "Organization",
"logo" : {
"@type" : "ImageObject",
"url" : "https://blog.quanture.com/hubfs/QUANTURE_LOGO_PAYOFF_POSITIVO_PRIMARIO-1.png"
},
"name" : "Quanture S.p.A."
}
}
```
```json
{
"@context" : "https://schema.org",
"@type" : "Article",
"about" : {
"@type" : "Thing",
"name" : "Cyber Security"
},
"articleBody" : "Key Takeaways La resistenza al phishing va verificata nella scelta del metodo passwordless. Le passkey legano la credenziale al servizio legittimo, impedendone l’uso su un sito che lo imita. La scelta delle passkey dipende dalle esigenze di controllo e recupero. Credenziali sincronizzate, locali o su chiavi FIDO2 devono adattarsi alle applicazioni, ai dispositivi e alle condizioni di lavoro. I benefici operativi vanno misurati nell’ambiente aziendale. Accessi più rapidi e meno richieste per password dimenticate devono essere valutati insieme alle difficoltà di registrazione e ai tempi di recupero. Il recupero degli accessi deve mantenere le protezioni richieste. Verifica dell’identità, metodi alternativi autorizzati e revoca delle credenziali perse o non più autorizzate sono parte della sicurezza del sistema. La migrazione va estesa sulla base dei risultati della sperimentazione. Contano l’uso effettivo del nuovo metodo, le applicazioni ancora escluse e la capacità di ripristinare l’operatività, oltre alle passkey registrate. La passwordless authentication consente di accedere alle applicazioni senza digitare la password dell’account. Con una passkey, l’utente autorizza l’accesso dal proprio dispositivo tramite un PIN o il riconoscimento biometrico. Per le aziende, questo approccio può semplificare l’esperienza d’uso e ridurre i rischi legati al furto o al riutilizzo delle password. I benefici dipendono però dal metodo scelto e da come viene integrato nell’ambiente aziendale. Prima dell’adozione occorre verificare quali applicazioni lo supportano e come gestire il recupero degli accessi quando un dispositivo viene perso o sostituito. Il passaggio alla passwordless richiede quindi di ripensare anche le procedure di gestione delle credenziali, per rendere l’accesso più semplice senza indebolire i controlli di sicurezza. Passwordless authentication e resistenza al phishing Quando si sceglie una soluzione passwordless, bisogna verificare che sia anche resistente al phishing. L’assenza di una password non basta a garantire questa protezione: se l’accesso avviene tramite un codice temporaneo, un sito falso può indurre l’utente a inserirlo e usarlo subito sul servizio reale. Il criterio da valutare è quindi se la tecnologia riconosce il servizio a cui si sta accedendo e impedisce di usare la credenziale su un sito che lo imita. Il NIST (National Institute of Standards and Technology), l’ente statunitense che pubblica linee guida anche sull’identità digitale, considera resistente al phishing un metodo che impedisce questo inganno senza affidarsi all’attenzione dell’utente. Nelle sue linee guida cita WebAuthn (Web Authentication), lo standard web utilizzato dalle tecnologie FIDO2 (Fast Identity Online 2), come esempio: la credenziale è legata al dominio del servizio per cui è stata creata. Le passkey utilizzano gli standard della FIDO Alliance, l’associazione di settore che sviluppa standard aperti per ridurre la dipendenza dalle password. Il loro funzionamento si basa su due chiavi crittografiche: il servizio conserva quella pubblica, mentre il dispositivo usa quella privata per dimostrare che l’utente possiede la credenziale, senza inviarla al sito. Il legame con il dominio impedisce a un sito falso, con un indirizzo diverso, di ottenere un’autenticazione valida per quello reale. Il PIN o il riconoscimento biometrico autorizzano l’uso della passkey sul dispositivo; i dati biometrici non vengono trasmessi al servizio. La resistenza al phishing va verificata anche quando la soluzione offre la MFA (Multi-Factor Authentication, autenticazione a più fattori). Con una passkey, richiedere sia il possesso della credenziale sia la verifica dell’utente tramite PIN o biometria permette di combinare due fattori senza usare la password dell’account. Occorre però verificare che tale controllo sia effettivamente richiesto dalla configurazione: un accesso passwordless basato soltanto sul possesso della credenziale non equivale automaticamente alla MFA. Allo stesso modo, la presenza di più fattori non garantisce da sola la protezione dal phishing: conta come viene verificata l’autenticità del servizio. Quali benefici misurare nel contesto aziendale L’adozione di credenziali basate sugli standard FIDO può migliorare sia la sicurezza degli accessi sia l’operatività quotidiana. Sui servizi che utilizzano questo metodo, eliminare la password riduce l’esposizione agli attacchi che sfruttano credenziali rubate o riutilizzate su più account. Il beneficio dipende però dalla copertura effettiva: se alcune applicazioni continuano a richiedere una password, quei percorsi di accesso restano da proteggere. Per le persone, il vantaggio è un’autenticazione più semplice, che riduce la necessità di ricordare password diverse e può rendere più rapido l’accesso alle applicazioni. Questa semplificazione può alleggerire anche il lavoro dell’assistenza IT, diminuendo le richieste per password dimenticate e il tempo dedicato al loro ripristino. Il risultato va valutato lungo tutto il percorso di utilizzo: le difficoltà nella registrazione di una passkey o nel recupero dopo la sostituzione di un dispositivo possono generare nuove richieste di supporto. Per capire se l’adozione produce i benefici attesi, conviene quindi confrontare i tempi di accesso e le richieste di assistenza prima e dopo l’introduzione del nuovo metodo, distinguendo i problemi di autenticazione da quelli di registrazione e recupero. In questo modo è possibile verificare se la maggiore sicurezza si accompagna a un’esperienza più fluida e a una riduzione del carico operativo per l’IT. Passkey sincronizzate o credenziali legate al dispositivo La scelta tra passkey sincronizzate e passkey legate al dispositivo, dette device-bound, riguarda soprattutto il controllo delle credenziali e la gestione del recupero. Le passkey sincronizzate possono essere disponibili su più dispositivi attraverso un servizio di sincronizzazione, facilitando la continuità degli accessi quando una persona cambia o perde il proprio dispositivo. Le passkey legate al dispositivo rimangono vincolate al dispositivo su cui sono state create e non vengono copiate su altri. Questa caratteristica consente un controllo più stretto sulle credenziali, ma richiede di predisporre una modalità alternativa per recuperare l’accesso in caso di perdita o guasto. Le passkey legate al dispositivo possono essere conservate su un computer o uno smartphone, oppure su una chiave di sicurezza FIDO2, un dispositivo hardware portatile che l’utente collega o avvicina alla postazione per autenticarsi. La tabella seguente distingue queste opzioni perché comportano esigenze diverse di distribuzione, utilizzo e gestione dello smarrimento. Come spiega la FIDO Alliance, la scelta deve rispondere alle esigenze di sicurezza dell’azienda e alla criticità degli accessi da proteggere. Per le passkey sincronizzate, occorre valutare anche la sicurezza del servizio che le gestisce e dell’account attraverso cui vengono rese disponibili, comprese le procedure di recupero. Questo aspetto assume particolare rilievo quando la sincronizzazione dipende da un account personale, sul quale l’azienda può avere un controllo limitato. Prima dell’adozione bisogna quindi stabilire dove possono risiedere le credenziali, quali dispositivi sono autorizzati a utilizzarle e chi può ripristinare l’accesso. Confronto tra opzioni di autenticazione Opzione Protezione Gestione della credenziale Verifica prima dell’adozione Passkey sincronizzate Resistenti al phishing nel flusso FIDO Credenziali disponibili sui dispositivi dell’ecosistema autorizzato Provider ammessi, sicurezza dell’account di sincronizzazione e recupero Passkey device-bound su dispositivo Resistenti al phishing nel flusso FIDO Credenziale legata al dispositivo su cui è stata creata Protezione del dispositivo e registrazione di un’alternativa Chiavi di sicurezza FIDO2 Resistenti al phishing nel flusso FIDO Credenziale su un autenticatore hardware portatile Distribuzione, verifica dell’utente e gestione dello smarrimento La scelta può quindi variare anche all’interno della stessa azienda. Per chi lavora su postazioni diverse, una chiave di sicurezza FIDO2 permette di portare con sé la credenziale e utilizzarla sui sistemi compatibili; per chi usa abitualmente un computer assegnato, una passkey conservata su quel dispositivo può rendere l’accesso più immediato. Per gli account con privilegi amministrativi, a queste esigenze operative si aggiunge la necessità di controlli più rigorosi, perché una compromissione può coinvolgere sistemi e dati critici. Occorre quindi valutare con particolare attenzione chi può registrare una credenziale, su quali dispositivi può essere utilizzata e come viene revocata o sostituita in caso di smarrimento. I prerequisiti da verificare prima del progetto pilota Prima di avviare un progetto pilota, occorre verificare che il metodo scelto possa essere utilizzato nelle condizioni di lavoro delle persone coinvolte. La guida Microsoft per una distribuzione resistente al phishing parte proprio dalle esigenze degli utenti e dalla preparazione dei loro dispositivi. Negli ambienti Microsoft, le opzioni comprendono Windows Hello for Business, che consente di autenticarsi dal computer Windows con PIN o biometria, e le passkey, anche su chiavi di sicurezza FIDO2. Per scegliere quali sperimentare bisogna controllare la compatibilità con i dispositivi e le applicazioni effettivamente utilizzati, comprese le configurazioni che combinano sistemi aziendali locali e servizi cloud. Il progetto pilota deve permettere di valutare l’accesso quotidiano e la capacità di gestire gli imprevisti. Prima di coinvolgere gli utenti, è quindi utile verificare le cinque aree della checklist seguente, prevedendo modalità adatte anche a chi lavora su postazioni condivise o non dispone di uno smartphone aziendale. Checklist di preparazione aziendale ☐ Identità Verificare che ogni partecipante utilizzi un account individuale, associato alla persona corretta e con autorizzazioni aggiornate. Definire chi può approvare la registrazione di una nuova credenziale e chi deve revocarla quando non è più autorizzata. ☐ Applicazioni Censire le risorse a cui gli utenti devono accedere e le modalità utilizzate, includendo programmi installati sul computer, VPN e desktop remoti. Individuare i percorsi che supportano il nuovo metodo e quelli che richiedono adeguamenti o soluzioni temporanee. ☐ Dispositivi Controllare che sistemi operativi e browser supportino il metodo scelto e che i dispositivi rispettino i requisiti di protezione aziendali. Definire come gestire le credenziali sulle postazioni condivise e sui dispositivi personali usati per lavoro, secondo il modello BYOD (Bring Your Own Device). ☐ Recupero Predisporre e provare una procedura per ripristinare l’accesso in caso di perdita, guasto o sostituzione del dispositivo o della chiave di sicurezza. L’assistenza deve sapere come verificare l’identità del richiedente e autorizzare una nuova credenziale. ☐ Controlli Stabilire quali metodi di autenticazione sono consentiti e per quali utenti o servizi. Prevedere la registrazione degli eventi di accesso e criteri espliciti per le eccezioni, con controlli più rigorosi per gli account amministrativi. La verifica delle applicazioni permette di stabilire quali servizi possono essere inclusi nel progetto pilota. Quando un’applicazione affida l’autenticazione a un identity provider, cioè il sistema che verifica l’identità dell’utente per conto dei servizi collegati, può essere sufficiente abilitare il nuovo metodo su quel sistema, senza riscrivere l’applicazione. Questo collegamento, detto federazione, va però verificato: eventuali accessi diretti o protocolli meno recenti possono continuare a richiedere una password. Per i percorsi ancora esclusi occorre definire una protezione alternativa, un responsabile e una data di riesame, così che le eccezioni abbiano un percorso di risoluzione. La compatibilità tecnica deve accompagnarsi a una corretta gestione degli account. Se più persone utilizzano la stessa identità, anche una credenziale robusta rende difficile attribuire le attività a chi le ha svolte; se un utente dispone di autorizzazioni eccessive, l’accesso senza password lascia invariato quel rischio. Per questo il progetto va collegato all’Identity and Access Management (IAM), la gestione delle identità e dei diritti di accesso: l’autenticazione verifica chi entra, mentre le autorizzazioni stabiliscono quali risorse quella persona può utilizzare e quali operazioni può compiere. Rischi residui e recupero degli accessi L’autenticazione senza password riduce i rischi legati alle credenziali tradizionali, ma la protezione deve proseguire anche dopo l’accesso. Come evidenzia il NIST nell’analisi delle minacce, un dispositivo compromesso da malware può consentire operazioni non autorizzate. Un attaccante può inoltre appropriarsi della sessione, cioè del collegamento che mantiene l’utente autenticato, e utilizzarla senza ripetere il login. L’adozione delle passkey deve quindi accompagnarsi alla protezione dei dispositivi e delle sessioni, oltre che a procedure sicure per recuperare l’accesso. Il recupero è un passaggio particolarmente delicato perché consente di associare una nuova credenziale a un account esistente. Se l’assistenza IT si affida a una verifica superficiale della richiesta, un attaccante può impersonare il titolare dell’account e ottenere l’accesso attraverso quella procedura. Bisogna perciò definire come accertare l’identità del richiedente e chi può autorizzare il ripristino, prevedendo notifiche al titolare e controlli aggiuntivi per gli account privilegiati. Durante la sperimentazione iniziale, la procedura va provata simulando lo smarrimento di una chiave o la sostituzione di un dispositivo, anche per un account amministrativo. Per evitare che un guasto o uno smarrimento interrompa il lavoro, è utile predisporre in anticipo un metodo di accesso alternativo autorizzato. La gestione del ciclo di vita degli autenticatori deve comprendere la registrazione delle credenziali, il recupero e la revoca. L’azienda deve sapere quali credenziali sono associate a ciascun account e verificare che quelle perse o compromesse vengano disabilitate: ripristinare l’operatività senza invalidare la credenziale precedente può lasciare aperto un accesso non più controllato. Anche il metodo alternativo, spesso indicato come fallback, deve rispettare il livello di sicurezza richiesto dal servizio. Se un’applicazione richiede un accesso resistente al phishing, mantenere sempre disponibile un’opzione più debole offre all’attaccante un altro percorso da tentare. Durante la migrazione può essere necessario conservare temporaneamente alcuni metodi precedenti; occorre però circoscriverne l’uso agli utenti e ai servizi che ne hanno bisogno, monitorare gli accessi e definire quando dismetterli. Le stesse regole devono valere quando termina il rapporto con un dipendente o un fornitore. Gli accessi vanno disabilitati e le credenziali associate devono essere revocate, anche se la passkey è conservata su un dispositivo personale che resta al suo proprietario. La sicurezza della passwordless authentication dipende quindi anche dal controllo su chi può registrare, sostituire e revocare le credenziali: queste operazioni devono seguire responsabilità e procedure definite lungo tutto il rapporto con l’azienda. Passwordless authentication, come pianificare una migrazione graduale La migrazione all’autenticazione senza password dovrebbe partire da una sperimentazione su un gruppo limitato di utenti, scelto in modo da rappresentare le diverse condizioni di lavoro presenti in azienda. Il gruppo dovrebbe includere sia chi utilizza un dispositivo assegnato sia chi accede da postazioni condivise, oltre a collaboratori esterni e persone con privilegi amministrativi. Questa varietà permette di verificare come il metodo scelto risponde a esigenze operative e requisiti di sicurezza differenti. Durante la sperimentazione occorre osservare l’intero percorso, dalla registrazione della credenziale all’accesso quotidiano, fino al recupero in caso di perdita o sostituzione del dispositivo. I risultati aiutano a distinguere i problemi di compatibilità dalle difficoltà degli utenti e dalle carenze dell’assistenza, così da intervenire prima di estendere l’adozione. Il percorso seguente organizza queste verifiche in fasi successive, per ampliare gradualmente l’utilizzo e rendere obbligatori i nuovi metodi quando le condizioni operative lo consentono. Migrazione graduale Percorso operativo proposto Una sequenza di lavoro da adattare alla criticità dei servizi e alle modalità di accesso aziendali. ← Censire e scegliere Mappare utenti, applicazioni e accessi critici. Definire i metodi ammessi e le eccezioni iniziali. Mappa degli accessi Registrare e collaudare Attivare un gruppo rappresentativo. Provare accessi quotidiani, cambio dispositivo e perdita dell’autenticatore. Registrazione e collaudo Valutare il pilota Misurare utilizzo effettivo, errori, ticket e tempi di recupero. Correggere i problemi prima di ampliare il perimetro. Valutazione del pilota Estendere e governare Applicare le policy per gruppi progressivi. Ridurre le alternative deboli e riesaminare periodicamente le eccezioni. Estensione delle policy → ← Scorri per vedere tutte le card → Prima di estendere l’autenticazione senza password ad altri utenti e servizi, bisogna verificare come sta funzionando la sperimentazione. Aver registrato una passkey non significa necessariamente utilizzarla: occorre controllare che le persone accedano alle applicazioni con il nuovo metodo e individuare i casi in cui continuano a usare la password. Prima della sperimentazione iniziale, l’azienda dovrebbe inoltre stabilire quali risultati considera necessari per procedere, definendo la quota di accessi da proteggere con il nuovo metodo, le eccezioni ammesse e i tempi di recupero accettabili. Questi criteri devono riflettere la criticità dei servizi coinvolti e permettere di decidere se ampliare l’utilizzo o correggere prima i problemi emersi. Integrare la passwordless authentication nella governance degli accessi L’adozione dell’autenticazione senza password richiede di collegare la scelta delle credenziali alle regole con cui l’azienda gestisce identità e autorizzazioni. Un accesso sicuro deve permettere di verificare chi entra, da quale dispositivo e con quali permessi, mantenendo sotto controllo anche la registrazione, il recupero e la revoca delle credenziali. In questo percorso, l’approccio Quanture alla governance e alla sicurezza dei dati, basato su assessment e interventi mirati, aiuta a individuare le priorità a partire dall’ambiente esistente. L’analisi degli accessi e delle applicazioni consente di capire dove introdurre il nuovo metodo, quali adeguamenti sono necessari e come integrare la passwordless nei controlli già adottati dall’azienda. L’obiettivo è rendere gli accessi più semplici e sicuri, con procedure che funzionino anche quando un dispositivo viene perso, una persona cambia ruolo o termina una collaborazione. La migrazione può così diventare un’occasione per migliorare la gestione degli accessi nel suo complesso, accompagnando la riduzione delle password con un controllo più efficace sulle credenziali e sul loro utilizzo. Come si prepara un’azienda al passwordless? Scopri il percorso di Florim con Quanture: dalla protezione delle identità e dei dispositivi ai prerequisiti per gli accessi senza password. Leggi il case study → FAQ Il PIN di una passkey è una password aziendale? No. Il PIN serve ad autorizzare l’uso della passkey sul dispositivo e non viene inviato al servizio a cui si sta accedendo. La password dell’account, invece, viene verificata dal servizio. Anche se l’utente digita un codice, quindi, il funzionamento è diverso: il PIN sblocca una credenziale crittografica, anziché sostituirla. Il PIN resta comunque un elemento da proteggere e non deve essere condiviso. Se viene dimenticato, la procedura per ripristinare l’accesso dipende dal dispositivo e dal metodo di autenticazione adottato. È necessario uno smartphone aziendale per utilizzare l’autenticazione senza password? No, non necessariamente. L’accesso può avvenire attraverso una credenziale disponibile sul computer oppure tramite una chiave di sicurezza FIDO2, senza utilizzare uno smartphone. La scelta deve tenere conto delle condizioni di lavoro. Per chi utilizza postazioni condivise o cambia frequentemente computer, una chiave portatile può essere un’opzione da valutare. L’uso di uno smartphone personale, invece, deve essere previsto dalle regole aziendali, chiarendo quali credenziali possono esservi conservate e come gestire la perdita o la sostituzione del dispositivo. Le passkey possono funzionare con applicazioni legacy? In alcuni casi sì, ma occorre verificare come l’applicazione gestisce l’accesso. Se delega la verifica dell’identità a un sistema centrale, quest’ultimo può consentire l’utilizzo delle passkey anche senza modificare direttamente l’applicazione. Se invece il programma richiede credenziali proprie o utilizza un protocollo che non supporta il nuovo metodo, possono essere necessari adeguamenti specifici. La verifica deve comprendere anche eventuali accessi diretti: poter entrare senza password dal portale aziendale non significa che tutti gli altri percorsi siano già coperti. Si possono eliminare subito tutte le password aziendali? Non sempre. Un’azienda può introdurre l’accesso senza password per alcuni servizi e doverla mantenere per altri, finché non vengono risolti i problemi di compatibilità. Prima di disabilitare la password su un servizio, bisogna verificare che gli utenti dispongano di credenziali funzionanti e di una modalità sicura per recuperare l’accesso. Le password ancora necessarie devono essere associate a eccezioni precise, con un responsabile e una scadenza di riesame. La loro eliminazione deve seguire la copertura effettiva degli accessi, non il solo numero di passkey registrate. Come si revoca una passkey conservata su un dispositivo personale? La revoca si effettua sul sistema che gestisce l’account o sul servizio presso cui la passkey è stata registrata, rimuovendo l’associazione con quella credenziale. La passkey può restare memorizzata sul dispositivo personale, ma non viene più accettata per autenticarsi a quel servizio. Quando termina una collaborazione, occorre inoltre disabilitare gli accessi aziendali della persona. Se la stessa identità viene utilizzata per più applicazioni, bisogna verificare quali accessi dipendono dal sistema centrale e quali richiedono un intervento separato. La cancellazione della passkey dal dispositivo, da sola, non sostituisce la revoca gestita dall’azienda.",
"author" : {
"@type" : "Person",
"name" : "quanture_social",
"sameAs" : [ "https://www.linkedin.com/company/quanture-it-consulting/posts/" ],
"url" : "https://blog.quanture.com/author/quanture"
},
"dateModified" : "1792406087619",
"datePublished" : "2026-10-19 10:30:00",
"description" : "Valuta la passwordless authentication in azienda: benefici, prerequisiti e criteri per pianificare una migrazione graduale.",
"editor" : {
"@type" : "Person",
"name" : "quanture_social"
},
"headline" : "Passwordless authentication: benefici, prerequisiti e rischi",
"image" : {
"@type" : "ImageObject",
"height" : 675,
"url" : "https://6986587.fs1.hubspotusercontent-eu1.net/hubfs/6986587/Blog%20Post%20e%20Rich%20Media/Passwordless%20authentication/Passwordless%20authentication.jpg",
"width" : 1200
},
"inLanguage" : "it-IT",
"isAccessibleForFree" : true,
"mainEntityOfPage" : {
"@id" : "https://blog.quanture.com/passwordless-authentication-benefici-prerequisiti-e-rischi",
"@type" : "WebPage"
},
"publisher" : {
"@type" : "Organization",
"logo" : {
"@type" : "ImageObject",
"url" : "https://content.quanture.com/hubfs/QUANTURE_LOGO_PAYOFF_POSITIVO_PRIMARIO-1.png"
},
"name" : "Il Blog",
"sameAs" : [ "https://www.linkedin.com/company/quanture-it-consulting/posts/" ]
},
"url" : "https://blog.quanture.com/passwordless-authentication-benefici-prerequisiti-e-rischi",
"wordCount" : 3296
}
```
```json
{
"@context" : "https://schema.org",
"@type" : "FAQPage",
"inLanguage" : "it",
"mainEntity" : [ {
"@type" : "Question",
"acceptedAnswer" : {
"@type" : "Answer",
"text" : "No. Il PIN serve ad autorizzare l’uso della passkey sul dispositivo e non viene inviato al servizio a cui si sta accedendo. La password dell’account, invece, viene verificata dal servizio. Anche se l’utente digita un codice, quindi, il funzionamento è diverso: il PIN sblocca una credenziale crittografica, anziché sostituirla. Il PIN resta comunque un elemento da proteggere e non deve essere condiviso. Se viene dimenticato, la procedura per ripristinare l’accesso dipende dal dispositivo e dal metodo di autenticazione adottato."
},
"name" : "Il PIN di una passkey è una password aziendale?"
}, {
"@type" : "Question",
"acceptedAnswer" : {
"@type" : "Answer",
"text" : "No, non necessariamente. L’accesso può avvenire attraverso una credenziale disponibile sul computer oppure tramite una chiave di sicurezza FIDO2, senza utilizzare uno smartphone. La scelta deve tenere conto delle condizioni di lavoro. Per chi utilizza postazioni condivise o cambia frequentemente computer, una chiave portatile può essere un’opzione da valutare. L’uso di uno smartphone personale, invece, deve essere previsto dalle regole aziendali, chiarendo quali credenziali possono esservi conservate e come gestire la perdita o la sostituzione del dispositivo."
},
"name" : "È necessario uno smartphone aziendale per utilizzare l’autenticazione senza password?"
}, {
"@type" : "Question",
"acceptedAnswer" : {
"@type" : "Answer",
"text" : "In alcuni casi sì, ma occorre verificare come l’applicazione gestisce l’accesso. Se delega la verifica dell’identità a un sistema centrale, quest’ultimo può consentire l’utilizzo delle passkey anche senza modificare direttamente l’applicazione. Se invece il programma richiede credenziali proprie o utilizza un protocollo che non supporta il nuovo metodo, possono essere necessari adeguamenti specifici. La verifica deve comprendere anche eventuali accessi diretti: poter entrare senza password dal portale aziendale non significa che tutti gli altri percorsi siano già coperti."
},
"name" : "Le passkey possono funzionare con applicazioni legacy?"
}, {
"@type" : "Question",
"acceptedAnswer" : {
"@type" : "Answer",
"text" : "Non sempre. Un’azienda può introdurre l’accesso senza password per alcuni servizi e doverla mantenere per altri, finché non vengono risolti i problemi di compatibilità. Prima di disabilitare la password su un servizio, bisogna verificare che gli utenti dispongano di credenziali funzionanti e di una modalità sicura per recuperare l’accesso. Le password ancora necessarie devono essere associate a eccezioni precise, con un responsabile e una scadenza di riesame. La loro eliminazione deve seguire la copertura effettiva degli accessi, non il solo numero di passkey registrate."
},
"name" : "Si possono eliminare subito tutte le password aziendali?"
}, {
"@type" : "Question",
"acceptedAnswer" : {
"@type" : "Answer",
"text" : "La revoca si effettua sul sistema che gestisce l’account o sul servizio presso cui la passkey è stata registrata, rimuovendo l’associazione con quella credenziale. La passkey può restare memorizzata sul dispositivo personale, ma non viene più accettata per autenticarsi a quel servizio. Quando termina una collaborazione, occorre inoltre disabilitare gli accessi aziendali della persona. Se la stessa identità viene utilizzata per più applicazioni, bisogna verificare quali accessi dipendono dal sistema centrale e quali richiedono un intervento separato. La cancellazione della passkey dal dispositivo, da sola, non sostituisce la revoca gestita dall’azienda."
},
"name" : "Come si revoca una passkey conservata su un dispositivo personale?"
} ],
"speakable" : {
"@type" : "SpeakableSpecification",
"cssSelector" : [ ".faq__question-text", ".faq__answer-inner" ]
}
}
```