Passkey Index 2026: un terzo degli accessi senza password, e una griglia per arrivarci

Il 15 ottobre 2026, all’apertura della sua conferenza Authenticate, la FIDO Alliance ha pubblicato la seconda edizione del suo Passkey Index e ha rivisto la stima mondiale: circa 7 miliardi di passkey sono ora in uso, contro i 5 miliardi annunciati a maggio. Dietro la cifra spettacolare, l’interesse del rapporto sta altrove: quindici grandi servizi rivolti al pubblico, tra cui banche, app di messaggistica, operatori telefonici e piattaforme di pagamento, hanno condiviso i loro dati reali di accesso. Per un team di prodotto è la prima volta che si può confrontare ciò che le passkey promettono con ciò che offrono su larga scala.

Cosa dicono i numeri

• Più di un accesso riuscito su tre passa da una passkey: il 36% in media tra i partecipanti, contro il 26% dell’edizione 2025.
• Le passkey vanno a buon fine più spesso: il 93% dei tentativi riesce, contro il 78% per password e autenticazione a più fattori tradizionale, codici SMS inclusi. Sono quasi tre volte più veloci e fanno risparmiare in media 27 secondi per accesso.
• L’idoneità è quasi totale: il 90% degli account attivi può creare una passkey, e il 42% degli account idonei ne possiede una, circa il 38% di tutti gli account.
• Il divario tra registrazione e uso si sta chiudendo: 38% di account dotati per il 36% degli accessi, contro il 34% e il 26% dell’anno scorso.
• Il beneficio di sicurezza è finalmente misurato: tutti gli otto partecipanti che monitorano il phishing registrano meno attacchi riusciti dal rilascio, e i quattro che hanno condiviso i costi vedono calare la spesa per i codici SMS.
• Il passo successivo è già scritto: nove partecipanti su tredici intendono offrire account senza alcuna password entro dodici mesi.

La FIDO Alliance indica da sola i limiti: le medie non sono ponderate, quindi un piccolo servizio pesa quanto una piattaforma globale, e il campione è passato da nove a quindici partecipanti, il che rende il confronto con il 2025 indicativo più che rigoroso. Gli ordini di grandezza, però, convergono.

Il vero freno non è più tecnico

Il rapporto individua una causa precisa del divario tra account dotati e accessi effettivi: due partecipanti ammettono che il loro percorso propone ancora la password o un codice prima della passkey, anche agli utenti che ne possiedono una. In altre parole, la tecnologia c’è, browser e sistemi operativi la supportano, ma la schermata di accesso continua a spingere il vecchio metodo. Eppure il vantaggio di sicurezza di una passkey svanisce finché una password soggetta a phishing resta accettata sullo stesso account. È una questione di progettazione del percorso, quindi una decisione di prodotto, non un cantiere infrastrutturale.

La griglia FIDO: quattro livelli per autovalutarsi

Per aiutare i team a superare questa soglia, la FIDO Alliance pubblica su Passkey Central una griglia di valutazione in quattro livelli cumulativi. È uno strumento di autodiagnosi, non una certificazione.

• Bronzo, la base funzionale: più passkey consentite per account per evitare blocchi, una schermata di gestione visibile, alternative di ripiego esplicite e un vocabolario coerente.
• Argento, l’obiettivo consigliato al lancio: compilazione automatica nel campo di accesso, invito a creare una passkey al momento giusto, gestione degli errori e accessibilità.
• Oro: conversione automatica di una password salvata in passkey dopo un accesso riuscito, con notifica, integrazione della Signal API per rimuovere le passkey non più valide, e recupero dell’account proporzionato al rischio.
• Platino: ritiro dei fattori soggetti a phishing, password e codici SMS, e allineamento tra i diversi domini dello stesso marchio.

La griglia elenca anche gli errori frequenti: la finestra bloccante che impone la creazione di una passkey, il limite di una sola passkey per account, o la conversione silenziosa senza avvisare l’utente.

Chi è coinvolto

Qualsiasi servizio che autentica persone: portale clienti, area soci, applicazione gestionale interna, strumento SaaS. I decisori vi trovano un argomento quantificato su costi SMS e frodi; i team di prodotto, una roadmap leggibile; i team di sicurezza, una prova sul campo della resistenza al phishing. Le organizzazioni che distribuiscono passkey ai propri collaboratori dispongono ora di una sezione dedicata su Passkey Central, con una guida al rilascio e casi documentati.

Da dove partire

1. Misura tre indicatori: quota di account idonei, quota di account dotati, quota di accessi riusciti tramite passkey. Senza questi numeri nessuna decisione è difendibile.
2. Collocati sulla griglia. Le due mancanze che la griglia stessa segnala come più comuni sono il limite di una sola passkey per account e l’assenza di una schermata di gestione.
3. Rendi la passkey il percorso predefinito per chi ne ha una, con la compilazione automatica del browser. È lì che si gioca il divario tra 38% e 36%.
4. Prepara l’account senza password per le popolazioni pronte, partendo dagli account ad alto rischio, e definisci il recupero prima di togliere il ripiego.
5. Metti a budget la riduzione degli SMS: spesso è la voce che finanzia il progetto.

Accompagniamo i team di prodotto e tecnici in questa diagnosi e nella progettazione del percorso, dalla base bronzo all’account senza password. Parliamo del tuo percorso di accesso.