Passkey WordPress nel 2026 significa poter proteggere l’accesso a wp-admin utilizzando tecnologie moderne come WebAuthn, Touch ID, Face ID, Windows Hello e chiavi di sicurezza hardware, riducendo la dipendenza dalle tradizionali password.

Le passkey sono progettate per offrire un’autenticazione più semplice e resistente al phishing. Google le descrive come un’alternativa più sicura e semplice alle password, utilizzabile tramite impronta digitale, riconoscimento facciale, PIN o blocco schermo del dispositivo.

Su WordPress il supporto alle passkey può essere implementato tramite plugin compatibili con WebAuthn.

In questa guida vediamo come funzionano, quali vantaggi offrono e come utilizzarle correttamente per aumentare la sicurezza di WordPress.

Cosa sono le passkey?

Una passkey è una credenziale digitale utilizzata per autenticarsi a un sito o a un’applicazione senza dover digitare la tradizionale password.

Al posto della password, l’utente può confermare la propria identità utilizzando per esempio:

• Touch ID;
• Face ID;
• Windows Hello;
• PIN del dispositivo;
• impronta digitale;
• chiave hardware compatibile;
• sistema di sblocco dello smartphone.

Google definisce le passkey un’alternativa più sicura e semplice alle password perché permettono di autenticarsi utilizzando i sistemi già presenti sul dispositivo.

A differenza di una password, una passkey non viene normalmente memorizzata come una stringa segreta che l’utente deve ricordare e digitare.

Come funziona una passkey?

Le passkey utilizzano la crittografia a chiave pubblica.

Durante la registrazione vengono create due componenti:

Chiave privata

Rimane protetta sul dispositivo o nel sistema utilizzato per gestire le passkey.

Chiave pubblica

Viene associata all’account sul servizio Web.

Quando l’utente effettua il login, il sito invia una richiesta crittografica.

Il dispositivo utilizza la chiave privata per dimostrare di possedere la credenziale corretta senza trasmettere la chiave privata al server.

Questo elimina uno dei problemi principali delle password tradizionali: un segreto condiviso che può essere rubato e riutilizzato.

Che cos’è WebAuthn?

WebAuthn, Web Authentication, è uno standard Web utilizzato per implementare autenticazioni moderne tramite credenziali crittografiche.

Permette ai browser e ai siti di utilizzare autenticazioni basate su:

• passkey;
• chiavi hardware;
• biometria;
• sistemi di sicurezza integrati nel dispositivo.

Nel repository ufficiale dei plugin WordPress sono disponibili soluzioni che utilizzano WebAuthn per aggiungere questo tipo di autenticazione a WordPress.

Tra queste troviamo plugin in grado di supportare:

• Windows Hello;
• Touch ID;
• YubiKey;
• altre security key compatibili.

WordPress supporta nativamente le passkey?

Al momento le normali installazioni WordPress non offrono automaticamente un pulsante Passkey all’interno della schermata standard di login.

Il supporto può essere aggiunto attraverso plugin dedicati a WebAuthn o all’autenticazione passwordless.

Per esempio, il plugin WebAuthn Provider for Two Factor disponibile su WordPress.org aggiunge supporto a WebAuthn e passkey integrandosi con il plugin Two Factor.

Supporta sistemi come:

• Windows Hello;
• Touch ID;
• YubiKey;
• security key compatibili.

È quindi importante distinguere tra le funzionalità native del Core WordPress e quelle aggiunte attraverso plugin.

Passkey WordPress nel 2026: perché sono importanti

WordPress è il sistema CMS più diffuso del Web e, proprio per questo, le pagine di login rappresentano un bersaglio frequente per tentativi automatizzati.

Gli attacchi possono includere:

• brute force;
• credential stuffing;
• phishing;
• furto delle password;
• malware;
• riutilizzo di credenziali compromesse.

WordPress definisce un brute force come un attacco in cui vengono provate ripetutamente combinazioni di username e password fino a trovare quella corretta.

Le passkey modificano radicalmente questo modello perché il login non dipende più necessariamente da una password digitabile.

Per approfondire la situazione delle vulnerabilità recenti puoi leggere anche il report Xlogic sulla sicurezza WordPress e le vulnerabilità del 2026.

Passkey e password: quali sono le differenze?

Una password è un’informazione conosciuta dall’utente.

Può essere:

• indovinata;
• rubata;
• intercettata;
• riutilizzata;
• inserita in un sito di phishing.

Una passkey utilizza invece una coppia di chiavi crittografiche e richiede la partecipazione del dispositivo sul quale è stata registrata o sincronizzata.

Perché le passkey sono resistenti al phishing?

Uno dei vantaggi più interessanti di WebAuthn è il legame tra la credenziale e il sito per il quale è stata registrata.

Consideriamo un esempio.

La passkey viene creata per:

https://example.com

Un attaccante realizza un sito di phishing:

https://examp1e.com

La somiglianza visiva può ingannare una persona.

La credenziale WebAuthn, però, non è semplicemente una password che può essere digitata nel sito falso.

Questo rende molto più difficile utilizzare una pagina di phishing tradizionale per sottrarre la credenziale di autenticazione.

Passkey e 2FA sono la stessa cosa?

Non necessariamente.

La 2FA, autenticazione a due fattori, utilizza due fattori distinti per verificare l’identità dell’utente.

I fattori vengono generalmente classificati come:

• qualcosa che conosci;
• qualcosa che possiedi;
• qualcosa che sei.

Un esempio tradizionale è:

Password + codice TOTP

La passkey può invece sostituire completamente la password in una configurazione passwordless oppure essere utilizzata come parte di un sistema multifattore.

La configurazione dipende dal plugin e dal sistema utilizzato.

WordPress raccomanda l’autenticazione a due fattori come ulteriore livello di sicurezza oltre a una password forte.

Passkey vs password + TOTP

Il classico sistema TOTP funziona normalmente così:

1. inserisci username;
2. inserisci password;
3. apri l’app autenticatore;
4. leggi il codice;
5. inserisci il codice sul sito.

Con una passkey l’esperienza può invece essere:

1. seleziona l’account;
2. conferma con Touch ID, Face ID o Windows Hello;
3. accesso completato.

Touch ID e WordPress

Su dispositivi Apple compatibili, una passkey può essere confermata attraverso Touch ID.

L’utente può quindi utilizzare l’impronta digitale per autorizzare l’impiego della credenziale.

Questo non significa che WordPress riceva l’impronta digitale.

La verifica biometrica avviene sul dispositivo.

Il sito riceve invece la prova crittografica necessaria all’autenticazione.

Face ID e WordPress

Lo stesso principio vale per Face ID.

Il riconoscimento facciale viene utilizzato dal dispositivo per autorizzare l’accesso alla passkey.

I dati biometrici non devono essere inviati al sito WordPress.

Questo permette di separare la verifica dell’utente dalla gestione della credenziale sul server.

Windows Hello e WordPress

Windows Hello permette agli utenti Windows di autenticarsi attraverso:

• riconoscimento facciale;
• impronta digitale;
• PIN;
• altri sistemi compatibili.

Plugin WordPress basati su WebAuthn possono utilizzare Windows Hello come autenticatore.

Questo può essere particolarmente utile in aziende dove gli utenti lavorano principalmente su PC Windows.

YubiKey e chiavi di sicurezza hardware

Una passkey può anche essere memorizzata o gestita attraverso una security key hardware compatibile con FIDO2/WebAuthn.

Un esempio molto conosciuto è YubiKey.

Queste chiavi possono collegarsi attraverso:

• USB-A;
• USB-C;
• NFC;
• altre interfacce supportate dal modello.

Sono particolarmente interessanti per:

• amministratori WordPress;
• webmaster;
• sviluppatori;
• account con privilegi elevati;
• infrastrutture aziendali.

Una security key fisica aggiunge un ulteriore livello di separazione tra la credenziale e il computer utilizzato.

Come aggiungere le passkey a WordPress

La procedura dipende dal plugin scelto.

In generale il processo è questo:

1. esegui un backup del sito;
2. verifica che WordPress e PHP siano aggiornati;
3. controlla che HTTPS sia attivo;
4. installa un plugin WebAuthn affidabile;
5. attiva il plugin;
6. apri il profilo utente;
7. registra un autenticatore;
8. assegna un nome alla passkey;
9. effettua un test;
10. registra almeno un metodo di recupero alternativo.

È fondamentale non disattivare immediatamente tutti i metodi di login alternativi prima di aver verificato che la passkey funzioni correttamente.

HTTPS è necessario per le passkey?

WebAuthn utilizza un contesto Web sicuro.

Per un normale sito pubblico questo significa utilizzare HTTPS.

WordPress raccomanda fortemente HTTPS anche per proteggere login e visitatori.

Un sito WordPress moderno dovrebbe quindi utilizzare:

https://

e non:

http://

I piani Hosting WordPress Xlogic includono certificati SSL e infrastruttura pensata per l’esecuzione di WordPress.

Quali plugin WordPress supportano WebAuthn?

Sul repository WordPress.org sono disponibili diverse soluzioni.

Una delle opzioni è WebAuthn Provider for Two Factor, che aggiunge passkey e WebAuthn al plugin Two Factor.

Supporta:

• Windows Hello;
• Touch ID;
• YubiKey;
• altri authenticator WebAuthn.

Un’altra soluzione disponibile nel repository è WP-WebAuthn, che consente di autenticarsi utilizzando passkey, security key, fingerprint scanner e altri dispositivi compatibili.

Prima di installare qualsiasi plugin di sicurezza è comunque importante controllare:

• data dell’ultimo aggiornamento;
• compatibilità con la propria versione WordPress;
• numero di installazioni;
• changelog;
• supporto;
• vulnerabilità note.

Il plugin utilizzato per proteggere il login diventa infatti una componente critica del sito.

Non installare un plugin soltanto perché promette “passwordless”

La parola passwordless non garantisce automaticamente una buona implementazione.

Prima di adottare un plugin verifica che utilizzi standard riconosciuti come:

• WebAuthn;
• FIDO2.

Evita soluzioni che trasformano semplicemente il login in un link inviato via email quando il tuo obiettivo è ottenere la resistenza al phishing offerta dalle passkey.

Passwordless e passkey non sono necessariamente sinonimi.

Registrare almeno due authenticator

Per gli account amministrativi è consigliabile evitare di dipendere da un solo dispositivo.

Puoi registrare, per esempio:

Authenticator principale

MacBook con Touch ID.

Authenticator secondario

Security key USB conservata in un luogo sicuro.

Oppure:

Principale

Windows Hello.

Backup

Smartphone o hardware key.

In caso di perdita, guasto o sostituzione del dispositivo principale, rimane disponibile un secondo metodo di autenticazione.

Cosa succede se perdo il telefono?

La risposta dipende da come viene gestita la passkey.

Alcuni ecosistemi permettono di sincronizzare le passkey attraverso l’account del dispositivo.

Altri sistemi utilizzano credenziali legate a specifico hardware.

Per WordPress è quindi importante predisporre sempre un piano di recupero.

Possibili soluzioni:

• seconda passkey;
• security key;
• codici di recupero;
• account amministratore secondario protetto;
• procedura di recupero prevista dal plugin.

Non bisogna scoprire il piano di recupero soltanto dopo aver perso il dispositivo.

Non lasciare account amministratori inutilizzati

Le passkey non risolvono un altro problema frequente: account WordPress dimenticati.

Controlla periodicamente:

Utenti → Tutti gli utenti

e verifica:

• amministratori;
• editor;
• collaboratori;
• vecchi sviluppatori;
• account di agenzie;
• utenti temporanei.

Se un account non serve più, rimuovilo o riducine i privilegi.

Il principio da seguire è il least privilege: ogni utente dovrebbe avere solamente i permessi necessari.

Proteggi soprattutto gli amministratori

Non tutti gli account WordPress presentano lo stesso rischio.

Un amministratore compromesso può generalmente:

• installare plugin;
• modificare temi;
• creare utenti;
• modificare contenuti;
• cambiare impostazioni;
• aggiungere codice;
• compromettere l’intero sito.

Per questo gli account amministrativi dovrebbero ricevere le protezioni più elevate.

WordPress sottolinea che un attaccante che ottiene l’accesso a un account amministratore può potenzialmente installare script dannosi e compromettere il server.

Passkey e WooCommerce

Le passkey possono essere interessanti anche per siti WooCommerce.

Esistono però due scenari differenti.

Amministratori e gestori

Sono gli account prioritari.

Proteggerli significa ridurre il rischio di accessi non autorizzati al backend.

Clienti

L’accesso passwordless può migliorare l’esperienza utente, ma richiede un’implementazione compatibile con:

• checkout;
• area cliente;
• plugin membership;
• plugin social login;
• caching;
• personalizzazioni WooCommerce.

Prima di abilitarlo a tutti i clienti è consigliabile testare l’intero flusso.

Passkey e siti WordPress multiutente

Su siti con molti utenti è utile definire una policy.

Per esempio:

Amministratori

Passkey o WebAuthn obbligatorio.

Editor

Passkey o 2FA fortemente raccomandata.

Autori

2FA.

Clienti

Passkey opzionale.

La policy effettiva dipende naturalmente dal rischio associato al progetto.

Passkey e Application Password di WordPress sono la stessa cosa?

No.

È una distinzione molto importante.

Le Application Passwords di WordPress sono credenziali create per consentire a software esterni di autenticarsi programmaticamente.

Possono essere utilizzate per:

• API;
• applicazioni;
• integrazioni;
• script.

Non sono progettate come metodo di login passkey per una persona.

Una Application Password è inoltre revocabile singolarmente senza cambiare la password principale dell’utente.

Quindi:

Passkey → autenticazione interattiva dell’utente

Application Password → autenticazione di applicazioni e integrazioni

Non devono essere confuse.

Passkey e WordPress 7.0

WordPress 7.0 rappresenta una delle evoluzioni più importanti del CMS del 2026.

Xlogic ha dedicato un approfondimento alle novità di WordPress 7.0.

Le passkey non devono però essere confuse con le funzionalità AI o collaborative introdotte nell’evoluzione del Core.

Sono una tecnologia di autenticazione basata su standard Web e vengono oggi integrate in WordPress principalmente attraverso plugin dedicati.

Le passkey eliminano tutti gli attacchi a WordPress?

No.

Proteggere l’autenticazione non significa proteggere automaticamente l’intero CMS.

Un sito può essere compromesso anche attraverso:

• plugin vulnerabili;
• temi vulnerabili;
• PHP obsoleto;
• malware;
• server compromesso;
• credenziali FTP rubate;
• vulnerabilità applicative;
• supply chain attack.

Un esempio concreto dell’importanza degli aggiornamenti è documentato nell’approfondimento Xlogic sulla CVE-2026-3098 e Smart Slider 3.

La sicurezza WordPress deve quindi essere affrontata su più livelli.

Hosting e sicurezza WordPress

Anche un sistema di autenticazione forte deve essere accompagnato da un’infrastruttura adeguata.

Tra gli elementi importanti troviamo:

• isolamento degli account;
• firewall;
• antimalware;
• backup;
• aggiornamenti;
• HTTPS;
• monitoraggio;
• versioni PHP supportate.

I servizi Hosting WordPress Xlogic utilizzano tecnologie orientate a prestazioni e sicurezza come:

• LiteSpeed Enterprise;
• CloudLinux;
• Imunify360;
• JetBackup;
• SSD NVMe;
• certificati SSL.

L’hosting non sostituisce una passkey, così come una passkey non sostituisce la sicurezza del server.

Sono livelli differenti della stessa strategia.

Checklist sicurezza wp-admin nel 2026

Per proteggere l’accesso amministrativo di WordPress controlla questi punti:

1. WordPress aggiornato;
2. plugin aggiornati;
3. tema aggiornato;
4. HTTPS attivo;
5. account amministrativi limitati;
6. account inutilizzati rimossi;
7. passkey o WebAuthn per gli amministratori;
8. almeno due authenticator registrati;
9. metodo di recupero verificato;
10. 2FA disponibile come fallback quando appropriato;
11. password uniche per gli account che la utilizzano;
12. nessuna password condivisa;
13. Application Password controllate;
14. backup automatici;
15. firewall e antimalware;
16. PHP aggiornato;
17. log degli accessi controllati;
18. plugin di sicurezza scelti con attenzione.

Passkey WordPress nel 2026: configurazione consigliata

Per un sito aziendale imposterei una strategia del genere:

Amministratore principale

• passkey;
• Touch ID / Windows Hello;
• seconda security key;
• metodo di recupero offline.

Secondo amministratore

• credenziali separate;
• passkey separata;
• nessuna condivisione account.

Hosting

• HTTPS;
• firewall;
• antimalware;
• backup;
• PHP aggiornato.

WordPress

• aggiornamenti;
• minimo numero necessario di plugin;
• controllo periodico degli utenti;
• rimozione degli account inutilizzati.

Questa configurazione riduce la dipendenza da un singolo punto di sicurezza.

Domande frequenti sulle passkey WordPress

Cosa sono le passkey WordPress?

Le passkey WordPress sono credenziali WebAuthn che permettono di autenticarsi a WordPress utilizzando dispositivi come Touch ID, Windows Hello o security key senza dipendere necessariamente dalla tradizionale password.

WordPress supporta le passkey?

Il supporto può essere aggiunto tramite plugin compatibili con WebAuthn e passkey.

Nel repository ufficiale WordPress.org sono disponibili plugin dedicati a questa funzione.

Posso usare Touch ID per entrare in WordPress?

Sì, con una configurazione WordPress e un plugin WebAuthn compatibili è possibile utilizzare Touch ID come autenticatore.

Posso usare Face ID?

Le passkey possono essere utilizzate con sistemi biometrici compatibili messi a disposizione dal dispositivo e dal browser.

La disponibilità effettiva dipende dall’ambiente utilizzato.

Posso utilizzare Windows Hello?

Sì.

Plugin WordPress WebAuthn compatibili supportano Windows Hello tra gli authenticator disponibili.

Una YubiKey funziona con WordPress?

Può funzionare se il plugin utilizzato supporta WebAuthn/FIDO2 e la security key scelta è compatibile.

Le passkey sono più sicure delle password?

Le passkey eliminano diversi problemi tipici delle password, come riutilizzo e phishing tradizionale, e utilizzano credenziali crittografiche legate al servizio.

Non proteggono comunque WordPress da vulnerabilità presenti in plugin, temi o infrastruttura.

Passkey e 2FA sono la stessa cosa?

No.

Una passkey può essere utilizzata come autenticazione passwordless o all’interno di sistemi multifattore, a seconda dell’implementazione.

Se perdo il dispositivo perdo WordPress?

Non necessariamente, se hai predisposto correttamente metodi di recupero o registrato più authenticator.

Per questo gli amministratori dovrebbero evitare di dipendere da un singolo dispositivo.

Application Password è una passkey?

No.

Le Application Password di WordPress sono credenziali destinate principalmente all’accesso programmatico da applicazioni e integrazioni.

Non sono passkey WebAuthn.

Conclusioni

Le passkey WordPress nel 2026 rappresentano una delle evoluzioni più interessanti nella protezione dell’accesso a wp-admin.

Eliminando o riducendo la dipendenza dalla password tradizionale, WebAuthn permette di utilizzare sistemi come:

• Touch ID;
• Face ID;
• Windows Hello;
• security key;
• autenticazione biometrica.

La tecnologia è particolarmente interessante per account amministrativi e siti aziendali, dove il furto delle credenziali può avere conseguenze importanti.

Le passkey non devono però essere considerate una soluzione completa alla sicurezza WordPress.

La strategia corretta combina:

Passkey → 2FA → HTTPS → Aggiornamenti → Sicurezza Hosting → Backup → Monitoraggio

Proteggere wp-admin è soltanto uno dei livelli necessari.

Ma eliminare una delle principali debolezze dell’autenticazione tradizionale, la password riutilizzabile e facilmente sottraibile tramite phishing, rappresenta un passo importante verso un WordPress più sicuro.