--- url: 'https://www.corbado.com/it/blog/osservabilita-autenticazione' title: 'Perché hai bisogno dell''Osservabilità dell''Autenticazione per il CIAM' description: 'Perché l''osservabilità dell''autenticazione dei consumatori è importante. Vai oltre i log di backend con telemetria lato client, analisi delle passkey e suggerimenti di adozione in tempo reale.' lang: 'it' author: 'Vincent Delitz' date: '2026-06-15T13:59:30.085Z' lastModified: '2026-06-16T06:05:46.362Z' keywords: 'osservabilità dell''autenticazione, osservabilità CIAM, telemetria passkey, tasso di successo login, metriche adozione passkey, telemetria WebAuthn' category: 'Passkeys Strategy' --- # Perché hai bisogno dell'Osservabilità dell'Autenticazione per il CIAM ## 1. Introduzione La [FIDO Alliance](https://www.corbado.com/glossary/fido-alliance) riporta un tasso di successo delle passkey del 93%, ma la maggior parte dei team CIAM vede l'adozione bloccata tra il 5% e il 15% dopo il lancio. Il divario esiste perché i log di backend non riescono a vedere cosa succede sul dispositivo del consumatore. L'osservabilità dell'[autenticazione](https://www.corbado.com/it/blog/passkey-device-bound-vs-sincronizzate) colma questo divario. ## Key Facts - Gli accessi con passkey raggiungono un **tasso di successo del 93%** rispetto al 63% delle password e degli OTP via SMS, secondo il FIDO Alliance Passkey Index (2025) - La maggior parte delle distribuzioni CIAM vede l'adozione delle passkey fermarsi tra il **5% e il 15%** dopo il lancio, nonostante un forte supporto dei dispositivi - Oltre l'**80% dei fallimenti delle passkey avviene sul dispositivo del consumatore** prima che qualsiasi richiesta raggiunga il server di backend - I log dell'IdP di backend non sanno dire se un consumatore ha annullato il Face ID, ha avuto un timeout biometrico o è stato bloccato da un'estensione del gestore di password - L'osservabilità dell'autenticazione traccia l'**intero percorso lato client**, inclusi gli eventi pre-identificatore prima ancora che il consumatore digiti la propria email - La soppressione dinamica dei dispositivi può ridurre i ticket di supporto fino al **60%** per combinazioni note di dispositivi/OS problematiche - L'incentivazione (nudging) basata su coorti può spingere la registrazione delle passkey da una singola cifra al **47%** per i segmenti di dispositivi ad alta affidabilità (ad es. macOS + Safari + Apple Silicon) - L'osservabilità dell'autenticazione traccia due KPI principali: **Tasso di Attivazione delle Passkey** (quanti consumatori idonei creano una passkey) e **Tasso di Utilizzo delle Passkey** (quanti la usano per il login quotidiano) ## 2. In cosa differisce l'Osservabilità CIAM dall'IAM per i dipendenti L'identità dei consumatori e l'IAM per i dipendenti condividono il vocabolario ma poco altro. Nell'IAM per i dipendenti, l'IT gestisce ogni laptop, browser e [chiave di sicurezza](https://www.corbado.com/it/blog/migliori-chiavi-sicurezza-hardware-fido2-2025). Se le passkey non funzionano, l'ambiente è noto. Nel CIAM, i consumatori utilizzano dispositivi non gestiti (telefoni [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android) economici, iPad di cinque anni fa, PC condivisi con estensioni multiple per i gestori di password) e l'ambiente lato client è imprevedibile. ### 2.1 Utenti anonimi e il problema della cecità pre-identificatore Nell'IAM per i dipendenti, ogni utente esiste in Active Directory prima di effettuare l'accesso. Nel CIAM, un consumatore è invisibile finché non digita la propria email. Se se ne va prima di quel momento, perché un prompt della passkey lo ha confuso o un overlay del [gestore di password](https://www.corbado.com/it/blog/provider-passkey) ha bloccato il riempimento automatico, il tuo backend non registra nulla. Questa "cecità pre-identificatore" è la più grande lacuna di visibilità nell'[autenticazione](https://www.corbado.com/it/blog/passkey-device-bound-vs-sincronizzate) dei consumatori e il punto in cui si verificano le maggiori perdite di ricavi. **Esempio:** Una piattaforma di [e-commerce](https://www.corbado.com/passkeys-for-e-commerce) aveva una frequenza di rimbalzo del 15% sulla propria pagina di login ma nessun errore di backend. L'osservabilità lato client ha rivelato che l'estensione [1Password](https://www.corbado.com/blog/1password-passkeys-best-practices-analysis) copriva l'autofill nativo delle passkey. I consumatori vedevano un'interfaccia utente disordinata e se ne andavano. Nessun log del server ha mai catturato tutto questo. ### 2.2 Quali metriche contano per l'autenticazione dei consumatori ![login methods comparison dashboard](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/login_methods_comparison_dashboard_a38e552f34.png) L'osservabilità dell'[autenticazione](https://www.corbado.com/it/blog/passkey-device-bound-vs-sincronizzate) per il CIAM adatta i classici "segnali d'oro" della SRE in KPI specifici per il login. I più importanti da tracciare in una dashboard di analisi delle passkey: - **Tasso di Successo del Login (LSR):** percentuale di tentativi di login che si completano senza errori. Se scende dal 91% all'85% da un giorno all'altro, qualcosa si è rotto. - **Tasso di Abbandono dell'Autenticazione:** percentuale di consumatori che iniziano il flusso di login ma non lo finiscono mai. Tracciato attraverso ogni punto decisionale: dall'arrivo sulla pagina al completamento della verifica biometrica. - **Tasso di Attivazione delle Passkey (Append Rate):** su tutti i consumatori i cui dispositivi supportano le passkey, quanti ne hanno [creata una quando è stato loro richiesto di farlo](https://www.corbado.com/blog/passkey-analytics)? Obiettivo: oltre il 60% degli utenti idonei entro il primo anno. - **Tasso di Utilizzo delle Passkey (Login Rate):** su tutti i tentativi di accesso, quanti usano le passkey? Obiettivo: oltre il 40% degli accessi. Tracciato rispetto ai [tassi di fallback legacy](https://www.corbado.com/blog/passkey-day-2-problems) per misurare i reali progressi dell'adozione. - **Volume di Reset delle Password:** un picco significa che i consumatori non riescono ad accedere; è un forte indicatore anticipatore di abbandono (churn) e di aumento dei [costi di supporto](https://www.corbado.com/blog/passkey-adoption-business-case). Nell'IAM per i dipendenti, un login non riuscito crea un ticket all'helpdesk. Nel CIAM, crea abbandono e solo potenzialmente un ticket all'helpdesk. L'autenticazione fa da barriera a ogni azione ad alto valore del consumatore: checkout, rinnovo dell'abbonamento, accesso alla dashboard. Un'azienda SaaS in abbonamento ha scoperto che i consumatori con due o più accessi falliti al mese abbandonavano a un tasso 3 volte superiore al normale. L'osservabilità ha reso visibile quella connessione. ## 3. Perché i log di backend e le analisi generiche falliscono con le Passkey La maggior parte dei team CIAM fa affidamento sui log dell'IdP e su strumenti come [GA4](https://www.corbado.com/blog/tracking-logins-google-analytics-ga4) o Mixpanel. Per l'accesso basato su password, era sufficiente. Per le passkey, non lo è, perché il momento critico si è spostato dal server al dispositivo del consumatore. ### 3.1 La "Scatola Nera" lato client Con le password, il flusso è lineare: il consumatore invia le credenziali, il server le controlla, il server registra il risultato. Con le passkey, il browser apre un modale nativo del sistema operativo (Portachiavi iCloud, [Google Password Manager](https://www.corbado.com/blog/how-to-use-google-password-manager), [Windows Hello](https://www.corbado.com/glossary/windows-hello) o un'estensione di terze parti). Se scade il tempo per la [biometria](https://www.corbado.com/it/blog/biometria-consapevolezza-pagatore-dynamic-linking), subentra il gestore di credenziali sbagliato o il consumatore annulla l'operazione, tutto questo avviene prima che qualsiasi richiesta raggiunga il server. **Esempio:** Un'app [bancaria](https://www.corbado.com/passkeys-for-banking) ha visto i tentativi di passkey calare del 30% dopo un aggiornamento [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios). I log di backend mostravano meno richieste ma zero errori. L'osservabilità lato client ha trovato la causa: [iOS 18](https://www.corbado.com/blog/ios-18-passkeys-automatic-passkey-upgrades).2 ha cambiato il modo in cui Safari mostrava il menu a tendina di riempimento automatico, e i consumatori semplicemente trascuravano l'opzione passkey. Il diagramma seguente illustra dove finisce la visibilità per ogni metodo di autenticazione: ### 3.2 Le analisi generiche perdono i dati specifici delle Passkey Anche gli strumenti che accettano eventi personalizzati (dimensioni personalizzate di [GA4](https://www.corbado.com/blog/tracking-logins-google-analytics-ga4), proprietà personalizzate di Mixpanel) incontrano limiti strutturali con i dati delle passkey. Le prestazioni delle passkey dipendono dalla combinazione esatta di versione del sistema operativo + versione del browser + gestore delle credenziali + autenticatore hardware (migliaia di combinazioni uniche). [GA4](https://www.corbado.com/blog/tracking-logins-google-analytics-ga4) contrassegna le dimensioni personalizzate con più di 500 valori univoci come ad alta cardinalità, raggruppando i valori in eccesso in un contenitore "(other)" o attivando il campionamento, nascondendo di fatto la lunga coda di combinazioni dispositivo/browser/gestore-credenziali che contano di più per il debug delle passkey. Mixpanel fa pagare in base al volume degli eventi e non fornisce alcuno schema di eventi WebAuthn nativo. Inoltre perdono segnali unici per le passkey: la credenziale è sincronizzata tramite iCloud o vincolata al dispositivo? Il consumatore sta provando l'[autenticazione cross-device](https://www.corbado.com/it/faq/login-secondo-dispositivo-passkey-device-bound) tramite [codice QR](https://www.corbado.com/it/blog/codice-qr-login-autenticazione)? L'interfaccia utente condizionale (Conditional UI) è stata attivata in background? Questi sono stati delle API native del browser che richiedono una strumentazione apposita per essere catturati. ## 4. Cosa traccia effettivamente l'Osservabilità dell'Autenticazione L'osservabilità dell'autenticazione non è solo "più log". Il vero valore risiede nel contesto che fornisce: [riempire e ricalcolare all'indietro](https://www.corbado.com/pricing) l'intero viaggio del consumatore a partire dal risultato, anche per gli eventi accaduti prima che il consumatore digitasse la propria email. ### 4.1 Fasi della cerimonia dall'inizio alla fine Un SDK lato client appositamente creato traccia l'[intero ciclo di vita della passkey](https://www.corbado.com/blog/passkey-analytics) come una [tassonomia strutturata degli eventi](https://www.corbado.com/blog/hardware-passkey-adoption-observability): ![funnel analysis diagram](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/funnel_analysis_diagram_817efe52e9.png) - **Come ha iniziato il consumatore:** Autofill della [Conditional UI](https://www.corbado.com/glossary/conditional-ui), pulsante dedicato "Accedi con Passkey" o inserimento manuale dell'email - **Controllo del dispositivo:** un [probe silenzioso delle capacità](https://developer.chrome.com/blog/passkeys-client-capabilities) determina se il dispositivo supporta le passkey prima che venga mostrata qualsiasi interfaccia utente - **Scelta dell'autenticatore:** passkey sincronizzata dal gestore del telefono o chiave hardware esterna tramite NFC, USB o Bluetooth - **Fase biometrica:** [Face ID](https://www.corbado.com/faq/is-face-id-passkey), impronta digitale o PIN; ha avuto successo, è scaduto il tempo o è stato annullato? - **Risultato finale:** un [codice di errore WebAuthn](https://www.corbado.com/blog/webauthn-errors) specifico che spiega cosa è fallito, non solo "successo" o "errore" **Esempio:** Un'app di [vendita al dettaglio](https://www.corbado.com/passkeys-for-e-commerce) ha tracciato queste fasi e ha scoperto che il 22% dei tentativi di passkey su [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android) falliva alla "Scelta dell'autenticatore". Causa principale: [Samsung](https://www.corbado.com/blog/samsung-passkeys) Pass era il gestore delle credenziali predefinito su alcuni dispositivi Galaxy e non supportava le estensioni WebAuthn richieste dall'app. [Google Password Manager](https://www.corbado.com/blog/how-to-use-google-password-manager) avrebbe funzionato, ma la skin del sistema operativo di [Samsung](https://www.corbado.com/blog/samsung-passkeys) indirizzava prima le richieste a [Samsung](https://www.corbado.com/blog/samsung-passkeys) Pass. Il diagramma seguente mostra queste fasi della cerimonia come un imbuto con i tipici punti di fallimento in ogni fase: ### 4.2 Interpretare i codici di errore WebAuthn per le decisioni di business Quando una cerimonia fallisce, il browser restituisce un [codice di errore](https://www.corbado.com/blog/webauthn-errors) specifico. L'interpretazione aziendale conta più della definizione tecnica: | **Errore** | **Cosa è successo** | **Cosa fare** | | --------------------- | -------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------- | | **NotAllowedError** | Il consumatore ha annullato o è scaduto il tempo. | Più comune. Se il tasso fa un picco, testa messaggi diversi prima del prompt. Garantisci un fallback senza attriti. | | **NotSupportedError** | Il dispositivo non supporta le passkey. | Sopprimi l'interfaccia utente passkey per questo tipo di dispositivo. Passa a password o OTP come predefinito. | | **SecurityError** | Problema di configurazione del dominio o HTTPS. | Controlla immediatamente i certificati TLS e le impostazioni dell'ID della Relying Party. | | **UnknownError** | Il gestore delle credenziali si è bloccato o un'estensione ha interferito. | Controlla se un'estensione specifica (Bitwarden, LastPass) causa il problema. | | **AbortError** | Il timeout della tua app ha interrotto la richiesta. | Estendi il timeout: alcune risposte biometriche richiedono più tempo. | **Esempio:** Un sito di prenotazioni di [viaggi](https://www.corbado.com/passkeys-for-travel) ha visto UnknownError salire all'8% per gli utenti Firefox. Il 92% di quegli errori proveniva da consumatori con l'estensione [Bitwarden](https://www.corbado.com/blog/passkey-analysis-bitwarden-developer-survey-2024) attiva; questa intercettava la chiamata WebAuthn e falliva silenziosamente. Soluzione: rilevare [Bitwarden](https://www.corbado.com/blog/passkey-analysis-bitwarden-developer-survey-2024) e saltare il prompt della passkey finché il bug dell'estensione non è stato risolto. Le [specifiche WebAuthn](https://www.w3.org/TR/webauthn-3/) sono in evoluzione. [Nuovi codici di errore proposti]() come UserCancellationError (annullamento deliberato rispetto a timeout) e HybridPrerequisitesError (Bluetooth non disponibile per il cross-device) aggiungeranno maggiore granularità una volta che i browser li avranno adottati. ## 5. Perché i consumatori non si registrano per le Passkey (e come scoprirlo) Il problema più difficile non è fare il debug del motivo per cui una cerimonia passkey è fallita. È rispondere alla domanda che ogni Product Manager fa: [perché i consumatori non si registrano per le passkey](https://www.corbado.com/pricing) in primo luogo? Questo è il problema pre-registrazione, e i log di backend sono completamente ciechi ad esso. ### 5.1 Riempire all'indietro il viaggio prima che il consumatore fornisca un identificatore Un buon sistema di osservabilità cattura dati anche quando il consumatore non fa nulla con le passkey. Quando qualcuno arriva sulla pagina di login, l'SDK controlla silenziosamente: questo dispositivo supporta le passkey? La [Conditional UI è disponibile](https://developer.chrome.com/blog/passkeys-client-capabilities)? È presente un autenticatore di piattaforma? ![Passkey Client Capabilities](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/client_capabilities_ce51dce167.png) Se il dispositivo è in grado ma il consumatore clicca "Accedi con Password" invece, il sistema registra un evento di abbandono pre-registrazione. Su migliaia di sessioni, questi eventi [rivelano schemi](https://www.corbado.com/pricing): se l'abbandono è causato da prompt nascosti, mancanza di educazione sulle passkey o [overlay del gestore di password](https://www.passkeycentral.org/news-and-events/passkey-upgrades-and-improvements) che intercettano i campi dei moduli. **Esempio:** Un portale [sanitario](https://www.corbado.com/passkeys-for-healthcare) ha visto il 70% degli utenti Mac ignorare l'opzione passkey. L'osservabilità ha mostrato che il prompt della passkey appariva sotto la piega della pagina ("below the fold"). La maggior parte dei consumatori non scorreva mai verso il basso. Spostare il prompt sopra il campo della password ha raddoppiato le registrazioni. ### 5.2 Conditional UI: il punto di fallimento invisibile La [Conditional UI](https://www.corbado.com/glossary/conditional-ui) consente alle passkey di apparire nel menu a tendina di riempimento automatico del browser insieme alle password salvate. Funziona silenziosamente in background. Il tuo backend non sa mai che si è attivato a meno che il consumatore non selezioni effettivamente una passkey. L'osservabilità delle passkey traccia se la [Conditional UI](https://www.corbado.com/glossary/conditional-ui) è stata invocata. Se si attiva su migliaia di dispositivi ma quasi nessuno selecolare la passkey, il problema è l'interfaccia utente, non la crittografia. Forse il menu a tendina del riempimento automatico viene reso in modo errato, o un CSS personalizzato sta sopprimendo il comportamento nativo del browser. **Esempio:** Un servizio di streaming multimediale ha scoperto che la Conditional UI si attivava correttamente sul 94% dei dispositivi idonei, ma il tasso di selezione era solo del 3%. Il modulo di login utilizzava un input con stile personalizzato che sopprimeva il menu a tendina nativo di riempimento automatico. Il passaggio a un input standard ha spinto la selezione al 31%. ## 6. Dai dati all'azione: sopprimere i dispositivi problematici e spingere i migliori Raccogliere dati di osservabilità ha senso solo se si agisce su di essi. Il sistema dovrebbe alimentare un motore di regole che modifichi ciò che i consumatori vedono in tempo reale. ### 6.1 Individuare i fallimenti sistemici rispetto agli annullamenti casuali ![Technology breakdown](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/technology_breakdown_aa7a88ecdc.png) Non tutti i fallimenti di passkey sono un bug. Un consumatore che tocca "Annulla" su un prompt di [Face ID](https://www.corbado.com/faq/is-face-id-passkey) è ordinario. Ma quando i fallimenti [si raggruppano attorno a una specifica combinazione di dispositivo/SO/browser](https://www.corbado.com/blog/hardware-passkey-adoption-observability), questo è sistemico. **Esempio:** Tasso di successo globale delle passkey: 92%. Samsung Galaxy A14 su One UI 6.0 con Chrome: 15%. Questo non è un errore dell'utente: è un'[implementazione difettosa del Credential Manager](https://dev.to/corbado/passkey-day-2-problems-5-risks-in-production-deployments-2hcl). L'osservabilità fa emergere questo problema in ore, non in settimane. ### 6.2 Sopprimere automaticamente gli ambienti difettosi I consumatori danno la colpa alla tua app quando il login fallisce, non al produttore del telefono. Una volta che l'osservabilità identifica una combinazione dispositivo/SO in cui le passkey si rompono regolarmente, un ["kill switch"](https://www.corbado.com/passkeys-for-banking) sopprime il prompt della passkey e indirizza il consumatore a un fallback affidabile (magic link, TOTP o password) prima che veda un modale malfunzionante. **Esempio:** Un'app di ride-sharing ha identificato tre modelli di [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android) economici con un [tasso di fallimento delle passkey](https://www.corbado.com/blog/passkey-day-2-problems) combinato dell'82%. Dopo aver soppresso le passkey per quei dispositivi, i ticket di supporto dalle regioni interessate sono diminuiti del 60% in una settimana. ### 6.3 Incentivare le coorti ad alta affidabilità D'altra parte, se l'osservabilità mostra che i consumatori macOS + Safari + Apple Silicon hanno successo al 98%, quella coorte è sicura per un [nudging assertivo](https://www.corbado.com/) (attivazione automatica del modale passkey, mostrando "Il tuo [Portachiavi iCloud](https://www.corbado.com/it/faq/passkey-trasferimento-nuovo-iphone) è pronto per proteggere il tuo account" o impostando la passkey come predefinita con la password nascosta dietro "Altre opzioni"). **Esempio:** Un [marketplace](https://www.corbado.com/passkeys-for-e-commerce) online ha [incentivato le coorti ad alta affidabilità](https://www.corbado.com/pricing) con un modale di registrazione attivato automaticamente dopo il login con password. I consumatori macOS/Safari si sono registrati al 47%. Tutte le altre coorti (incentivazione meno aggressiva): 11%. L'albero decisionale seguente riassume la logica di soppressione o incentivazione (suppress-or-nudge) guidata dai dati di osservabilità: ## 7. Spingere il Tasso di Attivazione e il Tasso di Utilizzo L'osservabilità dell'autenticazione serve a due KPI: il [Tasso di Attivazione](https://www.corbado.com/blog/passkey-analytics) (i consumatori stanno creando passkey?) e il Tasso di Utilizzo (le usano regolarmente?). ### 7.1 Alzare il Tasso di Attivazione Il Tasso di Attivazione misura la percentuale di consumatori idonei che hanno creato una passkey. Le analisi standard non possono calcolarlo perché non sanno quali dispositivi supportano le passkey. L'osservabilità risolve questo problema con un'[indagine continua delle capacità](https://www.corbado.com/blog/passkey-analytics). - **Prompt post-frustrazione:** quando un consumatore ha appena lottato in un reset della password, mostra immediatamente un prompt di creazione della passkey. La frustrazione è fresca: i tassi di accettazione sono più alti in questo momento. - **Prompting persistente:** le [analisi mostrano](https://www.corbado.com/blog/passkey-analytics) che anche il terzo o quarto prompt converte ancora con tassi a due cifre, purché sia non bloccante. **Esempio:** Un'app [bancaria](https://www.corbado.com/passkeys-for-banking) richiedeva la creazione della passkey dopo ogni flusso di reset della password. Il 34% dei consumatori ha creato una passkey subito dopo il reset, contro l'8% quando veniva richiesto durante un normale login. ### 7.2 Alzare il Tasso di Utilizzo Un consumatore potrebbe [creare una passkey](https://www.corbado.com/it/blog/migliori-pratiche-creazione-passkey) ma continuare a digitare la propria password per abitudine. Il Tasso di Utilizzo traccia quanto spesso vengono usate le passkey rispetto a tutti gli accessi. - **Migliore UX di avvio:** se la telemetria mostra che i consumatori con passkey attive continuano a digitare gli username, il riempimento automatico sta fallendo. Un evidente pulsante "[One-Tap](https://docs.corbado.com/corbado-connect/features/one-tap-login)" posizionato prima del campo di testo intercetta i comportamenti legacy. - **Riparare il Login Cross-Device:** quando effettuano l'accesso su un portatile Windows con una passkey dell'iPhone, i consumatori scansionano un [codice QR](https://www.corbado.com/it/blog/codice-qr-login-autenticazione) e usano il Bluetooth. Se il [completamento della CDA scende](https://www.corbado.com/blog/passkey-day-2-problems) (ad es. al 42%), istruzioni chiare "Attiva il Bluetooth" e "Punta la fotocamera qui" salvano molti tentativi. **Esempio:** Un portale [assicurativo](https://www.corbado.com/passkeys-for-insurance) ha scoperto che il 60% dei consumatori registrati utilizzava ancora le password. Il riempimento automatico delle passkey veniva mostrato sotto il campo della password. Spostarlo sopra e aggiungere un pulsante "Accedi con [Face ID](https://www.corbado.com/faq/is-face-id-passkey)" ha aumentato l'uso delle passkey dal 40% al 73% in due mesi. ## 8. Gli incubi del giorno 2: app native e modifiche silenziose della piattaforma Impostare le passkey è la parte facile. Mantenerle funzionanti nel caos dei dispositivi dei consumatori è dove l'[osservabilità diventa essenziale](https://www.corbado.com/blog/passkey-day-2-problems). ### 8.1 La complessità delle app native Le passkey in un browser sono semplici. Nelle [app native](https://www.corbado.com/it/blog/webauthn-relying-party-id-rpid-passkey) [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios) e Android, la superficie di QA triplica. Gli sviluppatori scelgono tra API native (AuthenticationServices su [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios), Credential Manager su Android) o [WebView](https://www.corbado.com/blog/native-app-passkeys) incorporate. Ogni percorso [fallisce in modo diverso](https://dev.to/corbado/passkey-day-2-problems-5-risks-in-production-deployments-2hcl). **Esempio:** L'implementazione iOS di un'app per la consegna di cibo funzionava perfettamente, ma la loro app Android utilizzava una [WebView](https://www.corbado.com/blog/native-app-passkeys) incorporata che bloccava silenziosamente le richieste passkey su Android 13. Senza una [telemetria nativa specifica](https://www.corbado.com/blog/hardware-passkey-adoption-observability), il team ha passato tre settimane a dare la colpa a un problema lato server. ### 8.2 Aggiornamenti silenziosi del sistema operativo Apple, Google e Microsoft rilasciano aggiornamenti costantemente. La maggior parte migliora il supporto alle passkey, ma alcuni introducono [regressioni silenziose](https://www.corbado.com/blog/passkey-day-2-problems) che rompono le logiche esistenti senza alcun preavviso. **Esempio:** [iOS 18](https://www.corbado.com/blog/ios-18-passkeys-automatic-passkey-upgrades).1 ha cambiato il modo in cui Safari comunicava le [capacità del dispositivo](https://www.corbado.com/blog/hardware-passkey-adoption-observability) a Chrome su Mac. Chrome ha iniziato a segnalare in modo errato "nessun autenticatore di piattaforma disponibile", nascondendo completamente l'opzione passkey. I log di backend mostravano meno tentativi ma nessun errore. L'osservabilità lato client ha segnalato l'esatta combinazione di SO + browser nel giro di poche ore. ## 9. Costruire contro Acquistare per i team CIAM Una volta vista la necessità di una telemetria lato client, la domanda è: costruirla da soli o [acquistare una soluzione specializzata](https://www.corbado.com/pricing)? ### 9.1 Il costo nascosto di sviluppare internamente La via del fai-da-te sembra semplice: avvolgi le chiamate WebAuthn in JavaScript, indirizza gli eventi nel tuo stack di logging. In pratica, gli strumenti generici [non riescono a gestire la cardinalità](https://www.corbado.com/blog/passkey-analytics). Il tuo team deve mantenere la tassonomia degli eventi mentre l'ecosistema evolve: [cercare nuovi codici di errore](https://www.corbado.com/pricing) e aggiornare i parser dopo ogni rilascio di un SO. Quando qualcosa si rompe, la soluzione richiede distribuzioni di codice (deploy) invece di una modifica alla configurazione. **Esempio:** Un rivenditore ha speso sei mesi per costruire internamente la telemetria delle passkey. Quando macOS 15.2 ha rotto il loro rilevamento delle capacità, la soluzione ha impiegato due settimane per essere distribuita: un intero ciclo di deploy del frontend. La soluzione di un vendor si sarebbe aggiornata lato server in poche ore. ### 9.2 Cosa fornisce la soluzione di un fornitore Un fornitore specializzato aggrega dati da migliaia di app per consumatori. Quando un aggiornamento di Chrome rompe la creazione di passkey per una specifica versione di Android, il fornitore lo rileva globalmente e spinge la classificazione aggiornata degli errori a tutti i clienti, prima che i tuoi consumatori subiscano un impatto. | **Capacità** | **Interno (In-House)** | **Soluzione del Fornitore (Vendor Solution)** | | --------------------------- | --------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------- | | **Visibilità** | Solo log di backend; lato client troncato. | Tracciamento WebAuthn lato client completo sull'intero imbuto. | | **Gestione degli errori** | Correlazione manuale dei log; nuovi codici scoperti in modo reattivo. | Tassonomia aggiornata automaticamente dai dati globali; cause scatenanti in testo semplice. | | **Strumenti di adozione** | Tentativi di UX e test A/B. | Incentivazione (nudging) su coorti dal più grande dataset globale di passkey. | | **Manutenzione** | Ogni aggiornamento del SO richiede modifiche al parser. | Il fornitore mantiene tutte le mappature delle peculiarità dei browser e dei SO. | | **Risposta agli incidenti** | Rollback del codice. | [kill-switches](https://www.corbado.com/passkeys-for-banking) istantanei e fallback a livello di configurazione. | Le piattaforme dei fornitori ti permettono anche di effettuare dei benchmark: la [FIDO Alliance](https://www.corbado.com/glossary/fido-alliance) riporta un tasso di successo di riferimento del 93%. Se il tuo è del 75%, la piattaforma ti mostra esattamente dove e perché hai prestazioni inferiori. ## 10. Come Corbado fornisce l'Osservabilità dell'Autenticazione per il CIAM [Corbado](https://www.corbado.com/) fornisce un livello di osservabilità e adozione delle passkey pronto all'uso. Si integra negli stack di identità esistenti (Okta, [Auth0](https://www.corbado.com/blog/auth0-passkeys-analysis), Ory, IdP personalizzati) senza sostituire nulla. L'SDK front-end invia eventi JavaScript in modo asincrono in punti specifici del viaggio di accesso (creazione passkey, invocazione della Conditional UI, verifica biometrica, stati di errore). Non tocca mai password, chiavi private o PII (informazioni personali identificabili), soddisfacendo i [requisiti di privacy](https://www.corbado.com/features) più severi. Cosa fornisce la piattaforma: - **Analisi del Funnel:** mostra dove i consumatori abbandonano (prima di inserire un'email, dopo aver visto il prompt della passkey, durante la verifica biometrica) [segmentato per sistema operativo, browser e gestore delle credenziali](https://www.corbado.com/blog/passkey-analytics). - **Diagnostiche in Testo Semplice:** traduce i codici di errore WebAuthn in spiegazioni leggibili da un essere umano ("L'estensione [Bitwarden](https://www.corbado.com/blog/passkey-analysis-bitwarden-developer-survey-2024) ha intercettato la richiesta della passkey") e separa gli annullamenti una tantum dai fallimenti sistemici. - **Database degli Errori Cross-Deployment:** quando un errore appare in altre distribuzioni (ad esempio Conditional UI rotta sul sistema operativo Vivo), la piattaforma lo segnala proattivamente per il tuo ambiente, prima che i tuoi consumatori lo incontrino. - **Copertura Completa dei Dispositivi:** traccia [le chiavi di sicurezza hardware, le carte NFC e i flussi nativi iOS/Android](https://www.corbado.com/blog/hardware-passkey-adoption-observability), non solo gli accessi basati su browser. - **Sicurezza del Rollout:** kill-switch dinamici, rollout graduale a coorti, test A/B e [instradamento di fallback intelligente](https://www.corbado.com/passkeys-for-banking). ## 11. Conclusione L'osservabilità dell'autenticazione dei consumatori è la differenza tra un'adozione delle passkey che si ferma al 5% e una che raggiunge la maggioranza dei tuoi utenti. I log di backend non riescono a vedere cosa succede sul dispositivo del consumatore e per le passkey, è lì che si verifica l'80% dei fallimenti. Implementando un [livello di osservabilità](https://www.corbado.com/pricing) appositamente creato, i team CIAM passano dall'indovinare al sapere: perché i consumatori non si registrano, quali dispositivi non funzionano e quali coorti sono pronte per un rollout aggressivo. ## FAQ ### Cos'è l'Osservabilità dell'Autenticazione? L'osservabilità dell'autenticazione è la pratica di raccogliere e analizzare la telemetria dell'intero viaggio di login del consumatore, includendo gli eventi lato client che si verificano prima che una qualsiasi richiesta raggiunga il backend. Va oltre i tradizionali log fornendo il contesto sulle capacità del dispositivo, il comportamento del gestore di credenziali, le interazioni biometriche e gli stati di errore WebAuthn. A differenza del normale monitoraggio che ti dice quando qualcosa si rompe, l'osservabilità ti dice il perché. ### In cosa differisce l'Osservabilità dell'Autenticazione dalle Analisi di Login standard? Le normali analisi di login (log degli IdP, GA4, Mixpanel) catturano solo i risultati lato server ed eventi frontend grezzi come i clic dei pulsanti. L'osservabilità dell'autenticazione cattura le chiamate alle API native del browser, le interazioni col gestore di credenziali e i risultati del prompt biometrico sul dispositivo del consumatore. Gestisce i dati ad alta cardinalità generati dalle passkey (migliaia di combinazioni univoche di SO, browser, gestori di credenziali e hardware) che le piattaforme di analisi generiche troncano o ignorano. ### Perché i rollout delle Passkey si fermano a basse adozioni? La maggior parte dei rollout delle passkey si ferma tra il 5% e il 15% di adozione perché ai team manca la visibilità sui fallimenti lato client e sull'abbandono precedente la registrazione. I consumatori potrebbero avere dispositivi idonei ma non visualizzano mai il prompt della passkey (problemi di posizionamento della UI), si confondono per la sovrapposizione concorrente dei gestori di password o incappano in bug silenziosi a livello di dispositivo. Senza la telemetria lato client, questi problemi sono invisibili. ### Cos'è la cecità pre-identificatore nel CIAM? La cecità pre-identificatore (pre-identifier blindness) si riferisce all'incapacità dei sistemi di backend di vedere cosa succede prima che un consumatore digiti la propria email o il proprio nome utente. Nel CIAM, i consumatori sono anonimi fino a che non si identificano. Se abbandonano la pagina di login prima di quel momento (a causa di interfacce confuse, conflitti di estensioni o Conditional UI malfunzionanti) nessun log del backend catturerà l'evento. L'osservabilità dell'autenticazione colma questo divario rilevando le funzioni in maniera silenziosa sul lato client non appena la pagina viene caricata. ### In che modo l'osservabilità aiuta con l'Adozione delle Passkey (non solo con il Debugging)? L'osservabilità fa di più che diagnosticare le cerimonie non riuscite. Identifica quali segmenti di consumatori hanno i tassi di successo passkey più alti e permette l'incentivazione (nudging) basata sui dati: l'attivazione automatica della registrazione per coorti di dispositivi altamente affidabili. Rivela anche i momenti migliori per fare prompt (ad es. dopo il reset di una password, quando la frustrazione è fresca) e dimostra attraverso i dati che il prompting persistente e non bloccante converte a tassi a doppia cifra anche al terzo o quarto tentativo. ### Quali sono i fallimenti di Passkey più comuni in Produzione? I fallimenti più comuni nei rollout CIAM in produzione sono: combinazioni specifiche di dispositivi/SO con implementazioni difettose del Credential Manager (ad es. telefoni Android economici di marchi regionali), estensioni di gestori di password di terze parti (Bitwarden, [1Password](https://www.corbado.com/blog/1password-passkeys-best-practices-analysis), [LastPass](https://www.corbado.com/blog/lastpass-data-breach)) che intercettano chiamate WebAuthn e falliscono silenziosamente, regressioni silenziose per via degli aggiornamenti del sistema operativo che alterano come i browser dichiarano le capacità dei dispositivi e la Conditional UI che non viene visualizzata a causa di campi di inserimento con stili personalizzati o conflitti CSS.