Passkey WordPress: accesso con impronta, volto o telefono, senza password

La passkey WordPress ti fa entrare nel sito con l’impronta, il volto o il PIN del computer, senza password da ricordare: la chiave resta sul tuo dispositivo.

È un accesso biometrico che funziona con il lettore di impronte, con Face ID e Windows Hello, e anche su un computer senza biometria, sbloccato con il suo PIN o la sua password. Dal telefono basta inquadrare un codice QR. WordPress da solo non offre questo accesso, per questo ho sviluppato K-Login.

Cos’è una passkey e come funziona su WordPress?

Una passkey è una coppia di chiavi dello standard FIDO2: quella privata resta sul tuo dispositivo, il sito conserva solo quella pubblica e ti riconosce senza chiederti la password.

Quando accedi, WordPress invia una richiesta, il dispositivo la firma con la chiave privata dopo che lo sblocchi e il server controlla la firma con la chiave pubblica. Il browser fa da tramite con lo standard WebAuthn. Le specifiche sono della FIDO Alliance, il consorzio di cui fanno parte Apple, Google e Microsoft. Ogni passkey vale per un solo sito, quindi una pagina falsa che imita il login non può usarla: è il motivo per cui le passkey resistono al phishing.

WordPress supporta le passkey di default?

No, il core di WordPress offre solo password, reset della password e application password: l’accesso con passkey arriva con un plugin che lo aggiunge alla pagina di login.

Browser e sistemi operativi le gestiscono già: Chrome, Safari, Edge e Firefox, su Windows, macOS, iOS e Android. Manca solo la parte lato sito. Nel catalogo ufficiale dei plugin c’è per esempio Secure Passkeys, mentre sui siti che seguo installo K-Login, che ho sviluppato proprio per questo lavoro.

K-Login, il plugin passkey per WordPress che ho sviluppato

K-Login aggiunge l’accesso con passkey al pannello di WordPress e a WooCommerce: entri con impronta, volto o PIN, oppure inquadrando un codice QR con il telefono.

Svilupparlo è stato complesso, soprattutto per garantire la sicurezza in ogni passaggio, dalla registrazione della chiave al recupero dell’accesso. Lo uso su kobalt.it e sui siti di diversi clienti, e per ora lo installo solo sui siti che seguo.

Nella pagina di accesso i pulsanti passkey vengono per primi, e il modulo con nome utente e password si apre solo se lo chiedi. I modi per entrare sono quattro:

• Impronta digitale o volto: Touch ID, Face ID o Windows Hello sul computer che stai usando.
• PIN o password del computer: se il computer non ha un lettore biometrico, lo sblocchi come fai ogni mattina.
• Telefono: inquadri il codice QR sullo schermo e confermi dal telefono.
• Password manager o chiave di sicurezza: 1Password, Bitwarden oppure una chiave FIDO2 come YubiKey.

Il nome utente non serve nemmeno: cliccando nel campo, il browser propone le passkey salvate. Niente password da ricordare e niente codici OTP da copiare da un’app.

Policy per ruolo e opzioni di K-Login

K-Login è molto configurabile: per ogni ruolo scegli se la passkey è facoltativa, consigliata, obbligatoria con un periodo di tolleranza oppure l’unico modo per entrare.

Puoi accettare solo passkey legate al dispositivo, come le chiavi di sicurezza e Windows Hello, decidere quali amministratori vedono le impostazioni e, con All In One Security, far entrare alcuni ruoli solo dalla pagina di login rinominata. Su WooCommerce i pulsanti compaiono in Il mio account e al checkout, e per le pagine di accesso personalizzate c’è un blocco dedicato.

Le passkey sono più sicure della password su WordPress?

Sì: sul server resta solo la chiave pubblica, quindi non c’è nessuna password da rubare, indovinare con un attacco brute force o riutilizzare su un altro sito.

Chi copia il database trova chiavi pubbliche che non aprono niente. Una pagina di phishing non riceve nulla di riutilizzabile, e chi fotografa il codice QR da lontano non entra, perché il telefono deve trovarsi vicino al computer. Con un login senza password sparisce anche il problema delle password deboli nei siti web.

In K-Login ho aggiunto altri controlli. Prima di cambiare metodi di accesso, password, email o ruoli di amministratore il sito chiede di confermare l’identità; utente e amministratore ricevono un’email di sicurezza; un registro degli eventi, visibile solo agli amministratori, tiene traccia di tutto. Il plugin non chiama servizi esterni.

Passkey WordPress e autenticazione a due fattori: le differenze

La passkey sostituisce la password con una chiave custodita sul dispositivo, mentre l’autenticazione a due fattori aggiunge un codice temporaneo a una password che resta al suo posto.

In pratica la passkey fa in un solo gesto quello che la 2FA fa in due, senza un codice da intercettare. Le difese di base, come limitare i tentativi di accesso e rinominare l’indirizzo del login, restano utili: le trovi nella guida su come proteggere l’accesso al sito WordPress.

Come si attivano le passkey su WordPress passo dopo passo?

Con K-Login l’amministratore sceglie la policy per ogni ruolo, poi ciascun utente registra la sua passkey WordPress dal profilo con un clic e una conferma con impronta, volto o PIN.

1. Apri il tuo profilo alla voce Passkey e accesso.
2. Scegli Aggiungi su questo dispositivo per salvarla sul computer o nel password manager, oppure Aggiungi dal telefono e inquadra il codice QR.
3. Conferma con impronta, volto o PIN: la passkey è registrata.
4. Prova l’accesso da una finestra privata prima di chiudere la sessione.
5. Aggiungi una seconda passkey o salva i codici di recupero.

Come recuperare l’accesso a WordPress se si perde la passkey?

Chi perde il telefono con la passkey entra con una seconda passkey registrata su un altro dispositivo, oppure con uno dei codici di recupero salvati al momento dell’attivazione.

K-Login genera codici di recupero a 128 bit: stampali o salvali nel password manager, lontano dal telefono. La modalità Solo passkey vale per un utente solo quando ha già un metodo di riserva, e si spegne da sola se lo perde: nessuno resta chiuso fuori dal proprio sito. Come ultima strada un altro amministratore può reimpostare i metodi di accesso, anche da WP-CLI. Su un sito seguito con la manutenzione WordPress a Bari questo intervento lo faccio io.