Le password vengono riutilizzate
Un login solo password rimane esposto a phishing, riutilizzo e fughe di dati.
Perché le passkey
Il login deve proteggere senza rallentare i clienti
Le password creano rischio e attrito. Le passkey uniscono maggiore protezione a una conferma familiare sul dispositivo.
I reset interrompono
Una password dimenticata costringe i clienti abituali a un recupero evitabile.
Il dispositivo è già presente
Le passkey usano il blocco schermo che il cliente conosce già su telefono o computer.
Le passkey in 45 secondi
Un segreto di accesso che non deve lasciare il dispositivo
Una passkey usa una coppia di chiavi crittografiche. La chiave privata resta sul dispositivo o nel gestore passkey. Il login riceve solo una prova firmata per il dominio reale, non una password inseribile in una pagina di phishing.
Cosa significa “passkey sincronizzata”?
Un gestore può rendere la passkey disponibile sugli altri dispositivi del cliente, caratteristica particolarmente utile per gli account consumer.
Chiave privataResta con il cliente
Chiave pubblicaVerifica il vero dominio del negozio
Vantaggi
Un cambiamento, due prospettive
Per il negozio
- Maggiore protezione dalle acquisizioni di account basate sul phishing.
- Nessuna password primaria da memorizzare o reimpostare.
- Integrazione basata su standard tramite WebAuthn e OIDC.
- Introduci le passkey accanto ai metodi di accesso esistenti.
Per i clienti
- Accesso con il blocco schermo abituale del dispositivo.
- Nessuna password del negozio da ricordare o riutilizzare.
- Conferma resistente al phishing per il dominio reale.
- Le passkey sincronizzate possono essere disponibili su più dispositivi.
L’effetto su supporto o conversione dipende dal rollout reale e non è garantito.
Tre opzioni
Non hai automaticamente bisogno di un tuo server passkey
La scelta dipende dalla piattaforma, dalle capacità tecniche e dal livello di controllo desiderato.
Funzione nativa o estensione
Usa una funzione passkey mantenuta nel sistema del negozio o un’estensione adatta.
- Potenzialmente il percorso di configurazione più breve
- Verificare migrazione account e recupero
- Valutare aggiornamenti e dipendenza dalla piattaforma
Servizio di identità gestito
Collega un provider gestito tramite OIDC invece di operare direttamente l’infrastruttura passkey.
- Logica WebAuthn e aggiornamenti gestiti per te
- Adatto a piccoli team con supporto OIDC
- Verificare hosting, export, branding e prezzi
Sviluppo proprio o self-hosting
Costruisci o gestisci la componente passkey quando il controllo profondo giustifica la responsabilità permanente.
- Massima libertà di progettazione
- Richiede competenze di sicurezza e identità
- Operazioni, monitoraggio e recupero restano a tuo carico
La piattaforma offre una funzione passkey mantenutaPercorso adatto: Funzione nativa o estensione
Piccolo team, OIDC disponibile, nessuna gestione identità internaPercorso adatto: Servizio di identità gestito
Team identità dedicato e requisiti specialiPercorso adatto: Sviluppo proprio o self-hosting
Rollout
Introduci le passkey senza un big bang
Inizia accanto al login esistente, impara da un pilota e rafforza la policy quando migrazione e recupero funzionano in modo affidabile.
Fai l’inventario
Mappa piattaforme, flussi di login, account e dipendenze.
Scegli un’opzione
Bilancia impegno, controllo, gestione e migrazione.
Avvia un pilota
Inizia facoltativamente con un piccolo gruppo osservabile.
Guida i clienti
Spiega registrazione, cambio dispositivo e recupero.
Proteggi le operazioni
Controlla aggiornamenti, monitoraggio, supporto e fallback.
Guida clienti
Un login sicuro richiede anche una UX comprensibile
L’integrazione tecnica è solo metà del lavoro. Registrazione, fallback e recupero devono essere chiari su mobile e desktop.
- Usare sempre una dicitura chiara come “Accedi con una passkey”.
- Spiegare il vantaggio prima di chiedere di creare una passkey.
- Collegare chiaramente gli account esistenti ed evitare duplicati.
- Mantenere fallback e recupero accessibili senza renderli il percorso principale.
- Prevedere cambio, perdita del dispositivo e più passkey.
- Testare mobile, desktop, cambio browser e ritorno al checkout.
Strumenti per il rollout
Dall’orientamento a un lancio affidabile
Questi aiuti pratici sono in preparazione. Le schede resteranno al loro posto e diventeranno strumenti diretti al lancio.
Selettore dell’opzione passkey
Trova l’opzione probabile con poche domande su negozio, team e utenti.
Verifica preparazione negozio
Controlla prerequisiti tecnici, organizzativi e UX prima del pilota.
Checklist rollout e guida clienti
Segui migrazione, recupero, comunicazione, monitoraggio e gestione continua.
L’opzione gestita
Passkey per il tuo negozio con Tuurio ID
Tuurio ID gestisce la logica WebAuthn e fornisce il login clienti tramite OIDC standard. Il tuo team non deve sviluppare e operare un’infrastruttura passkey propria.
OIDC standard
WebAuthn / FIDO2
Hosting in Germania
Il tuo branding
Controlla prima di decidere
Le promesse di sicurezza richiedono prove, non superlativi
Standard
Verifica WebAuthn/FIDO2 e la superficie di integrazione OIDC.
Dati e hosting
Valuta luogo di hosting, DPA, sub-responsabili ed export.
Operazioni e recupero
Chiarisci aggiornamenti, monitoraggio, supporto, fallback e recupero account.
Domande frequenti
Passkey per negozi online: domande frequenti
No. Una funzione nativa, un’estensione mantenuta o un servizio di identità gestito può offrire passkey senza un server operato dal tuo team. La scelta dipende dalla piattaforma e dal controllo richiesto.
Di solito sì, ma la regola di collegamento va progettata con cura. Gli account possono essere collegati tramite email verificata o subject OIDC stabile. Testa collisioni, duplicati e recupero prima del rollout.
Le passkey sincronizzate possono essere già disponibili su un altro dispositivo tramite il gestore passkey. Serve comunque un recupero sicuro ed è opportuno consentire più passkey per account.
Sì. Un rollout graduale è spesso il punto di partenza pratico. Offri le passkey come opzione, osserva registrazione e recupero e cambia predefinito o policy quando il flusso è affidabile.
Tuurio ID si collega tramite OpenID Connect standard. Esistono pagine di integrazione per WordPress e PrestaShop; altre piattaforme richiedono un client o adattatore OIDC adatto.
WebAuthn è l’API del browser per credenziali a chiave pubblica. FIDO2 combina WebAuthn con il protocollo dell’autenticatore. Una passkey è una credenziale WebAuthn facile da usare, legata al dispositivo o sincronizzata.
Non esattamente. Una passkey può offrire autenticazione forte e resistente al phishing tramite possesso del dispositivo e verifica locale, ma il livello di garanzia dipende dall’autenticatore e dall’implementazione.
Pianifica aggiornamenti di sicurezza, monitoraggio, supporto, recupero account, metodi di fallback, gestione credenziali e una via di migrazione o export. Queste responsabilità restano rilevanti con un provider gestito.
Fonti e verifica
Base tecnica: BSI TR-03188, WebAuthn e FIDO
La BSI TR-03188 descrive raccomandazioni di sicurezza per i server passkey ed è particolarmente rilevante per lo sviluppo proprio e il self-hosting. Per le funzioni di piattaforma e i servizi gestiti restano da valutare selezione, migrazione, recupero e responsabilità operative. WebAuthn e FIDO forniscono il quadro tecnico.
Le fonti collegate forniscono un inquadramento tecnico. Non costituiscono una raccomandazione o certificazione di Tuurio da parte di BSI, FIDO Alliance o W3C.