Se perdi il telefono su cui hai creato una passkey, non significa automaticamente perdere anche l’account. La conseguenza dipende da dove è conservata la passkey: se è sincronizzata tramite un provider può ricomparire su un nuovo dispositivo, mentre una passkey legata a un solo dispositivo non può essere ricostruita da un altro telefono.
La distinzione è importante perché con la parola passkey vengono indicate credenziali che possono funzionare in modi diversi. Prima di cancellare un vecchio smartphone, acquistare un nuovo telefono o affidare tutto a una singola chiave hardware, conviene capire quale scenario riguarda il proprio account e quali metodi di recupero sono già attivi.
Passkey e telefono perso: cosa succede davvero
| Situazione | Cosa succede | Cosa fare |
|---|---|---|
| Passkey sincronizzata | Può tornare disponibile su un altro dispositivo collegato allo stesso provider | Configura il nuovo dispositivo e verifica la sincronizzazione |
| Passkey legata al telefono perso | Quella credenziale non è recuperabile dal dispositivo smarrito | Usa un’altra credenziale o il recupero account |
| Passkey su security key persa | La chiave privata resta sul dispositivo fisico perduto | Usa una seconda chiave o un metodo di recupero |
| Hai un’altra passkey su PC o tablet | Puoi spesso accedere senza il telefono perso | Entra nell’account e rimuovi la credenziale del dispositivo smarrito |
| Non hai nessun metodo alternativo | L’accesso dipende dalla procedura del singolo servizio | Avvia il recupero account previsto dal provider |
La FIDO Alliance distingue infatti tra synced passkeys, sincronizzate fra i dispositivi tramite un passkey provider, e device-bound passkeys, legate a un singolo dispositivo. È questa differenza, più del marchio del telefono, a determinare cosa accade dopo uno smarrimento.
Se la passkey è sincronizzata puoi ritrovarla sul nuovo telefono
Le passkey sincronizzate sono pensate proprio per non dipendere da una singola copia fisica. Quando il provider supporta la sincronizzazione, la credenziale può diventare disponibile sugli altri dispositivi collegati allo stesso account del provider e può essere ripristinata quando configuri un nuovo dispositivo.
Questo non significa che la passkey venga salvata come una normale password leggibile. Il provider gestisce la sincronizzazione delle credenziali con meccanismi protetti e il nuovo dispositivo deve comunque superare i controlli previsti dall’ecosistema utilizzato.
Se preferisci un gestore indipendente dai grandi ecosistemi, abbiamo già analizzato il tema delle passkey con Bitwarden e soluzioni self hosted. In questo caso il punto da controllare non è solo dove hai creato la passkey, ma quale provider la sta effettivamente conservando.
Una passkey device-bound invece non si ricrea da sola
Una passkey device-bound resta vincolata al dispositivo che la contiene. È il caso tipico delle credenziali conservate su molte chiavi di sicurezza hardware e di alcune implementazioni progettate per offrire un livello di garanzia più elevato.
Se perdi l’unico dispositivo che contiene quella passkey, non puoi semplicemente scaricare la stessa chiave privata su un altro telefono. FIDO chiarisce che, in assenza di una credenziale di backup, il servizio deve trattare la situazione come un normale recupero dell’account.
È il motivo per cui una configurazione molto sicura ma composta da una sola security key può diventare fragile sul piano operativo. Per gli account importanti conviene registrare un secondo metodo affidabile prima che serva, invece di scoprire il problema solo dopo uno smarrimento.
Ho perso il telefono con la passkey Google: cosa fare
Per un Account Google, la documentazione ufficiale indica un percorso abbastanza chiaro. Da un dispositivo che puoi ancora utilizzare, accedi all’account e rimuovi la passkey associata al telefono perso o rubato. Google consiglia anche di disconnettere il dispositivo smarrito dall’account.
Se non puoi usare quella passkey, Google permette di scegliere Prova un altro metodo. A seconda di ciò che avevi configurato, possono essere disponibili un altro telefono già collegato, un numero di recupero, codici di backup, una security key o una passkey creata su un altro dispositivo.
La procedura è descritta nella guida ufficiale di Google per i problemi di accesso e i dispositivi persi. Se non hai più nessun secondo metodo, entra in gioco la verifica di proprietà prevista dal recupero dell’Account Google.
Il ladro può usare la passkey del telefono?
Una passkey non si usa normalmente soltanto perché qualcuno possiede fisicamente il telefono. L’accesso alla credenziale richiede il meccanismo con cui sblocchi il dispositivo, per esempio PIN, impronta, volto o un altro controllo locale previsto dalla piattaforma.
Il rischio cambia se chi possiede il telefono conosce anche il codice di sblocco o riesce a prendere il controllo dell’account che sincronizza le passkey. Per questo, in caso di furto, conviene intervenire rapidamente: bloccare o localizzare il dispositivo, scollegarlo dagli account importanti e rimuovere le credenziali associate quando il servizio lo consente.
La passkey protegge molto bene dal phishing, ma non rende irrilevante la sicurezza del dispositivo. Lo stesso principio vale per le sessioni già aperte: nella guida sui cookie di sessione rubati abbiamo spiegato perché proteggere la fase di login non elimina ogni rischio dopo l’autenticazione.
Passare da Android a iPhone, o viceversa, può complicare il recupero
Se il tuo provider di passkey funziona su entrambe le piattaforme, configurarlo sul nuovo telefono può rendere nuovamente disponibili le credenziali sincronizzate. FIDO cita proprio i password manager multipiattaforma come uno dei modi per spostarsi fra ecosistemi diversi.
Se invece la passkey resta nell’ecosistema del vecchio dispositivo e hai ancora il vecchio telefono, puoi spesso usarlo per autenticarti sul servizio e creare una nuova passkey sul nuovo dispositivo. Se il vecchio telefono è già perso e non esiste una copia sincronizzata, serve il metodo alternativo previsto dal singolo account.
Il cambio smartphone non riguarda soltanto le passkey. Android sta lavorando anche sul ripristino delle sessioni delle applicazioni: abbiamo spiegato cosa cambia nella guida su cambio telefono Android e ripristino del login nelle app.
Come evitare di rimanere fuori dagli account prima di perdere il telefono
La configurazione migliore non è quella con il maggior numero di metodi di accesso, ma quella in cui hai almeno un’alternativa sicura e verificata. Per gli account critici vale la pena controllare oggi, mentre tutti i dispositivi sono ancora disponibili.
- Verifica se le tue passkey sono sincronizzate oppure legate al singolo dispositivo.
- Registra una seconda passkey su un altro dispositivo affidabile, se il servizio lo consente.
- Per una security key hardware, valuta una seconda chiave conservata separatamente.
- Controlla email, numero di recupero e codici di backup dove previsti.
- Verifica di poter accedere al passkey provider anche da un altro dispositivo.
- Quando cambi telefono, prova gli account importanti prima di cancellare quello vecchio.
Quindi le passkey sono rischiose se perdi lo smartphone?
No, ma il recupero va progettato prima. Una passkey sincronizzata può essere più comoda di una password proprio perché non dipende dalla memoria dell’utente e può tornare disponibile su un nuovo dispositivo attraverso il provider. Una passkey device-bound offre un modello diverso: maggiore controllo sulla singola copia, ma richiede una strategia di backup o recupero.
La domanda corretta quindi non è soltanto “cosa succede se perdo il telefono?”, ma “dove si trova la mia passkey e quale altra strada ho per entrare nell’account?”. Se sai rispondere a entrambe le parti, perdere lo smartphone può essere un problema da gestire, non la perdita definitiva dell’identità digitale.
