Passkey Google: cosa verificare prima di cambiare telefono

Prima di cancellare il vecchio telefono, c’è un controllo che vale quanto il trasferimento delle fotografie: riuscire ad accedere ai propri account dal nuovo dispositivo. Le passkey rendono l’accesso più semplice e resistente al phishing, ma non sono una promessa di recupero automatico. Conta dove vengono custodite e quale metodo resta disponibile se il dispositivo abituale non c’è più.

Ottobre è il Mese europeo della cybersicurezza, in calendario dal primo al 31 ottobre 2026. È un’occasione per verificare le proprie impostazioni, non l’annuncio di una nuova scadenza obbligatoria. Per chi usa Google e Chrome, le guide ufficiali distinguono situazioni che sembrano identiche sullo schermo: una passkey sincronizzata, una conservata soltanto su un dispositivo e una utilizzata dal telefono per entrare sul computer.

Una passkey e il gesto per sbloccarla non sono la stessa cosa

Con una passkey si può accedere usando l’impronta, il volto o il blocco schermo del dispositivo. Il gesto è familiare, ma non significa che l’impronta diventi una password inviata al sito. Google precisa che i dati biometrici rimangono sul dispositivo e non vengono condivisi con l’azienda.

La passkey è legata al sito o all’app per cui è stata creata. Questa associazione protegge dall’inganno di inserire la credenziale in una pagina che imita quella autentica. Non rende però innocuo qualsiasi messaggio, allegato o richiesta di denaro: protegge un passaggio specifico, l’autenticazione, non ogni decisione presa online.

Anche il dispositivo va protetto. Google raccomanda di creare passkey soltanto su apparecchi personali: chi è in grado di sbloccare un dispositivo su cui è stata creata una passkey per l’Account Google potrebbe usarla per accedere. Uscire dall’account non equivale necessariamente a cancellare quella possibilità. Un computer condiviso non diventa personale perché lo si usa spesso.

Primo controllo: dove è stata salvata?

La domanda utile non è solo «ho una passkey?», ma «chi la conserva?». Il Gestore delle password di Google può custodire passkey per diversi siti e app, non soltanto per l’Account Google. La guida di Chrome spiega che quelle salvate nel gestore vengono sottoposte a backup e sincronizzate in modo sicuro nell’account.

Per usarle su altri dispositivi compatibili, occorre accedere a Chrome o Android con lo stesso Account Google. Bisogna poi poter sbloccare le credenziali: possono essere richiesti il PIN del Gestore delle password di Google o quello del blocco schermo del dispositivo Android. Ritrovare l’indirizzo email non basta, da solo, a completare tutti questi passaggi.

Non ogni passkey segue questo percorso. Google avverte, per esempio, che quelle conservate su un token di sicurezza fisico non vengono sottoposte a backup: se il token viene perso o reimpostato, quelle credenziali non sono recuperabili dal token. Le opzioni dipendono dal luogo di salvataggio. La parola «passkey» descrive il metodo di accesso, non una garanzia universale di sincronizzazione.

Secondo controllo: riesci a sbloccarla sul nuovo dispositivo?

Prima di dismettere il vecchio telefono, verificare dal nuovo dispositivo personale un accesso a un servizio importante permette di distinguere un trasferimento riuscito da una semplice configurazione iniziata. Il controllo va fatto attraverso il sito o l’app autentici, senza cancellare prima i metodi ancora funzionanti.

Il PIN del Gestore delle password di Google merita attenzione: non va confuso con la password dell’Account Google. La documentazione lo descrive anche come uno strumento per recuperare le passkey su un nuovo dispositivo. Se viene dimenticato, la procedura indicata per reimpostarlo parte da un dispositivo sul quale è già stata usata una passkey del gestore. È una ragione concreta per non azzerare troppo presto il vecchio apparecchio.

C’è poi una distinzione meno evidente. Si può usare una passkey del telefono per accedere dal computer, seguendo il flusso previsto dal servizio, anche attraverso un codice QR. In quel caso, spiega Chrome, la passkey rimane sull’altro dispositivo. Aver aperto una volta l’account sul portatile non dimostra quindi che lì sia stata salvata una copia utilizzabile senza telefono.

Terzo controllo: come rientri nell’Account Google?

Accedere all’Account Google e sbloccare le passkey custodite nel gestore sono due passaggi diversi. Per il primo, conviene controllare le opzioni di recupero già configurate. Google suggerisce un numero personale usato regolarmente e un indirizzo email di recupero diverso da quello con cui si accede all’account, anch’esso utilizzato abitualmente.

Non basta averli inseriti anni fa: bisogna poterli ancora usare. Le informazioni di recupero non possono essere aggiunte quando si è già esclusi dall’account o durante la procedura di recupero. Inoltre, non tutte le opzioni sono disponibili per ogni account, regione o dispositivo. Per gli account aziendali e scolastici possono intervenire le regole dell’amministratore.

Chi ha attivato la verifica in due passaggi può valutare i codici di backup, se disponibili per il proprio account. Servono per il secondo passaggio quando il metodo ordinario non è utilizzabile: non sono copie delle passkey e non le ricostruiscono. Ogni codice si usa una sola volta; generare una nuova serie disattiva quella precedente.

Google consiglia di conservarli in un posto sicuro, anche stampati insieme ai documenti importanti, e di non condividerli. Una copia presente soltanto nel telefono che si potrebbe perdere non offre una via indipendente di accesso. Il programma di protezione avanzata ha regole diverse e non permette di scaricare questi codici: non è una soluzione da dare per disponibile a tutti.

Se il telefono manca già, non improvvisare una migrazione

La guida Google indica «Prova un altro metodo» per tornare alle alternative di accesso disponibili. Aggiungere una passkey all’Account Google non elimina automaticamente i fattori di autenticazione o recupero già presenti. Se non si riesce comunque a entrare, il riferimento è la procedura ufficiale di recupero, senza garanzie di esito immediato.

In caso di dispositivo perso o rubato, Google raccomanda anche di rimuovere la passkey interessata dall’account, usando un dispositivo accessibile. La preparazione migliore, però, avviene prima: individuare dove sono custodite le credenziali, verificare lo sblocco sul nuovo dispositivo e conservare un metodo alternativo realmente utilizzabile. Cambiare telefono dovrebbe essere un trasferimento controllato, non il momento in cui scoprire come funziona il recupero.