Passkey in azienda: verificare accesso, recupero e uscita nel progetto pilota
Parliamo del tuo progetto →Un pilota sulle passkey dovrebbe includere anche il caso di dispositivo perso e il recupero dell’account. FIDO Alliance descrive le passkey come credenziali basate su coppie di chiavi crittografiche, resistenti al phishing, sincronizzabili o legate a un dispositivo. FIDO Alliance
Questa distinzione è importante: la sicurezza dell’accesso non coincide automaticamente con la sicurezza di tutti i percorsi di recupero. Il laboratorio seguente è una proposta operativa Dedaloop, utile per verificare il flusso completo prima di estendere il progetto al team.
Delimitare il pilota
Scegli un’applicazione che supporti le passkey e un gruppo ristretto di utenti volontari. Prepara account di test, un referente per l’assistenza e una procedura di recupero già approvata. Non disabilitare i metodi di accesso dell’intera azienda per la prima prova.
Prima di iniziare, chiarisci quali dispositivi sono ammessi, chi li gestisce e se è consentita la sincronizzazione tramite un provider. La scelta dipende dal contesto: non esiste una preferenza universale valida per ogni ruolo o dispositivo.
Quattro percorsi da verificare
- Registrazione: la persona riesce a creare la credenziale e a capire dove viene conservata? È chiaro quale servizio stia associando?
- Accesso quotidiano: il flusso funziona sulle combinazioni di browser e dispositivi realmente usate dal gruppo?
- Dispositivo non disponibile: senza distruggere dati, simula l’indisponibilità del dispositivo principale e verifica il percorso di recupero concordato.
- Uscita: prova come revocare credenziali e accessi di un account di test che lascia il gruppo, seguendo le funzioni del servizio.
Non chiedere ai partecipanti di condividere PIN, codici di recupero o credenziali. Se un percorso alternativo consente di rientrare con verifiche più deboli del previsto, registralo come problema da risolvere, non come scorciatoia utile.
Cosa registrare prima dell’estensione
Conserva l’esito dei quattro percorsi, le richieste di assistenza e i casi in cui l’utente resta bloccato. Includi anche chi usa tecnologie assistive o non può usare comodamente uno smartphone: la facilità d’uso va osservata, non presunta.
Prima del rollout, decidi chi può autorizzare un recupero e quali evidenze servono. La resistenza al phishing dell’autenticazione è una proprietà utile; la sicurezza operativa dipende anche da registrazione, dispositivi, sessioni e procedure. Un pilota riuscito deve lasciare una procedura comprensibile a chi offre assistenza, oltre a un accesso che funziona.