--- url: 'https://www.corbado.com/it/blog/passkey-finom-sicurezza-bancaria' title: 'Passkey di Finom: una rivoluzione per la sicurezza bancaria' description: 'Scopri come l''introduzione delle passkey da parte di Finom stia definendo nuovi standard per la sicurezza nel settore bancario e fintech, l''esperienza utente e la privacy nei servizi finanziari.' lang: 'it' author: 'Vincent Delitz' date: '2025-07-15T13:16:51.232Z' lastModified: '2026-03-25T10:05:47.884Z' keywords: 'Finom, passkey, sicurezza bancaria, fintech, autenticazione' category: 'Passkeys Reviews' --- # Passkey di Finom: una rivoluzione per la sicurezza bancaria ## 1. Introduzione alle passkey di Finom Il settore bancario moderno richiede la massima [sicurezza](https://www.corbado.com/it/blog/come-abilitare-passkey-su-android), ma anche soluzioni che semplifichino la vita dei clienti. Ecco perché [Finom](https://www.corbado.com/blog/finom-passkeys), una fintech pionieristica con sede ad Amsterdam, ha fatto un importante passo avanti introducendo le passkey come nuovo metodo di [autenticazione](https://www.corbado.com/it/blog/come-passare-autenticazione-completamente-passwordless) principale per la sua web app. A testimonianza della sua spinta innovativa, l'implementazione delle passkey da parte di [Finom](https://www.corbado.com/blog/finom-passkeys) non solo sfida il tradizionale paradigma delle password (e della [MFA](https://www.corbado.com/it/blog/psd2-passkey) tradizionale tramite OTP via SMS), ma si allinea anche alla crescente domanda di esperienze utente più sicure, comode e attente alla privacy. Questo articolo analizza nel dettaglio le impostazioni tecniche e i vantaggi per l'utente finale dell'implementazione delle passkey di [Finom](https://www.corbado.com/blog/finom-passkeys), offrendo spunti sul perché questo approccio potrebbe inaugurare una nuova era per le passkey nel settore bancario e dei servizi finanziari. ## 2. Approfondimenti tecnici sulle passkey di Finom Le passkey rappresentano un cambio di paradigma nell'[autenticazione](https://www.corbado.com/it/blog/come-passare-autenticazione-completamente-passwordless), abbandonando i vulnerabili sistemi basati su password per un'[autenticazione](https://www.corbado.com/it/blog/come-passare-autenticazione-completamente-passwordless) più sicura e resistente al [phishing](https://www.corbado.com/glossary/phishing). L'applicazione web di Finom adotta questa tecnologia, consentendo agli utenti di autenticarsi tramite vari dispositivi: computer, smartphone o [chiavi di sicurezza hardware](https://www.corbado.com/it/blog/migliori-chiavi-sicurezza-hardware-fido2-2025) (ad esempio, le [YubiKey](https://www.corbado.com/glossary/yubikey)), supportando così anche gli [authenticator](https://www.corbado.com/glossary/authenticator) cross-platform e roaming. ### 2.1 Compatibilità con browser e sistemi operativi Finom garantisce un'ampia accessibilità allineandosi agli standard di settore per la compatibilità con browser e sistemi operativi. Le seguenti versioni dei browser supportano le passkey (secondo le FAQ ufficiali sulle passkey di Finom): - Chrome (v105+) - Safari (v16+) - Edge (v105+) Contrariamente a quanto indicato nelle FAQ ufficiali sulle passkey di Finom, durante i nostri test l'autenticazione con passkey ha funzionato anche sull'ultima versione di Firefox (v122) su [Windows 11](https://www.corbado.com/blog/passkeys-windows-11) 23H2 e macOS Sonoma 14.2.1. Per quanto riguarda il supporto dei sistemi operativi in generale, per i dispositivi desktop abbiamo testato con successo l'autenticazione con passkey su [Windows 11](https://www.corbado.com/blog/passkeys-windows-11) e macOS Sonoma (nelle FAQ non è specificata una versione minima ufficiale del sistema operativo). Gli utenti di dispositivi mobili devono assicurarsi che i loro sistemi siano aggiornati a [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios) 16+ o [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android) 9+ per il pieno supporto delle passkey. La buona notizia è che la maggior parte dei dispositivi mobili (oltre il 94%) supporta già le passkey. ### 2.2 Opzioni del server WebAuthn di Finom Il processo di creazione delle passkey in Finom supporta l'intera gamma di funzionalità delle passkey, impiegando diverse modalità di trasporto, tra cui USB, NFC, BLE, ibride e interne. Questa flessibilità garantisce agli utenti molteplici opzioni di autenticazione, adattandosi alle loro preferenze personali o alle esigenze del momento. ### 2.2.1 Analisi delle PublicKeyCredential-CreationOptions Ecco alcuni aspetti da evidenziare nelle impostazioni del server WebAuthn e un'analisi più approfondita delle [PublicKeyCredentialCreationOptions](https://www.corbado.com/glossary/publickeycredentialcreationoptions): ```json { "attestation": "direct", "authenticatorSelection": { "residentKey": "discouraged", "userVerification": "required" }, "challenge": "JWi0v7X1X-O1UvXB_I5q2A", "excludeCredentials": [ { "id": "ARt1Ba2haVHZNrw8FhKLc_V1LFMVdrsHbezmQ8jMP59lXscBnkTLxABNNR9dd499EG5PWY0VYSFtbui_XmYeJtM", "transports": ["usb", "nfc", "ble", "hybrid", "internal"], "type": "public-key" }, { "id": "CaRVt041w10I948-OS6TBtAyVOUdak03b6BUyev3S3e7xOH99pS9GLgTURasdNH4HgKkazUmT0ejDbVpuDhAtQ", "transports": ["usb", "nfc", "ble", "hybrid", "internal"], "type": "public-key" }, { "id": "3nOhnTkXXdyiBAfC60K7E_-OgKwwk57uewpwGCgJe44", "transports": ["usb", "nfc", "ble", "hybrid", "internal"], "type": "public-key" } ], "pubKeyCredParams": [ { "alg": -7, "type": "public-key" }, { "alg": -257, "type": "public-key" }, { "alg": -37, "type": "public-key" }, { "alg": -35, "type": "public-key" }, { "alg": -258, "type": "public-key" }, { "alg": -38, "type": "public-key" }, { "alg": -36, "type": "public-key" }, { "alg": -259, "type": "public-key" }, { "alg": -39, "type": "public-key" }, { "alg": -8, "type": "public-key" } ], "rp": { "id": "app.finom.co", "name": "app.finom.co" }, "user": { "displayName": "Vincent Delitz", "id": "dmluY2RlbGl0aaBhb2wuY29t", "name": "vincent@corbado.com" } } ``` - Uso del parametro `excludeCredentials` per evitare di creare una nuova passkey su un dispositivo che ne ha già una. - `Relying Party ID` impostato su `app.finom.co` per garantire un'autenticazione sicura e specifica per il dominio. - L'`attestation` di tipo `direct` richiede ai dispositivi di fornire dichiarazioni di [attestazione](https://www.corbado.com/it/glossary/attestation), provando così l'autenticità delle credenziali di autenticazione. - La `userVerification` è richiesta, garantendo così che solo l'utente legittimo possa avviare il processo di autenticazione. - Le `residentKey` sono sconsigliate (`discouraged`), dato che la `Conditional UI` non è ancora stata implementata. Tuttavia, il comportamento della creazione di passkey dipende molto dagli [authenticator](https://www.corbado.com/glossary/authenticator) e dalla loro capacità di tenere conto del valore delle residentKey. Inoltre, per Finom sarebbe vantaggioso creare già delle [resident key](https://www.corbado.com/blog/webauthn-resident-key-discoverable-credentials-passkeys) in vista del futuro supporto della `Conditional UI`. D'altra parte, questa decisione consente di [risparmiare](https://www.corbado.com/it/blog/costo-implementazione-passkey-fte) spazio di archiviazione sulle [chiavi di sicurezza hardware](https://www.corbado.com/it/blog/migliori-chiavi-sicurezza-hardware-fido2-2025) (ad esempio, le [YubiKey](https://www.corbado.com/glossary/yubikey)), che spesso hanno una capacità limitata per le [resident key](https://www.corbado.com/blog/webauthn-resident-key-discoverable-credentials-passkeys). ### 2.2.2 Analisi delle PublicKeyCredential-RequestOptions Le `PublicKeyCredentialRequestOptions` sono altrettanto importanti, in quanto facilitano il processo di autenticazione con configurazioni che garantiscono flessibilità e [sicurezza](https://www.corbado.com/it/blog/come-abilitare-passkey-su-android): ```json filename="PublicKeyCredentialRequestOptions.json" { "allowCredentials": [ { "id": "ARt1Ba2haVHZNrw8FhKLc_V1LFMVdrsHbezmQ8jMP59lXscBnkTLxABNNR9dd499EG5PWY0VYSFtbui_XmYeJtM", "transports": ["usb", "nfc", "ble", "hybrid", "internal"], "type": "public-key" }, { "id": "CaRVt041w10I948-OS6TBtAyVOUdak03b6BUyev3S3e7xOH99pS9GLgTURasdNH4HgKkazUmT0ejDbVpuDhAtQ", "transports": ["usb", "nfc", "ble", "hybrid", "internal"], "type": "public-key" }, { "id": "3nOhnTkXXdyiBAfC60K7E_-OgKwwk57uewpwGCgJe44", "transports": ["usb", "nfc", "ble", "hybrid", "internal"], "type": "public-key" } ], "challenge": "s4R8Fsy7iSxxWIgUr7iTLA", "rpId": "app.finom.co", "userVerification": "discouraged" } ``` - Le `allowCredentials` sono impostate (tutte le credenziali sono impostate indipendentemente dal dispositivo utilizzato come client dall'utente) per garantire che possano essere utilizzate solo le passkey registrate. - La `userVerification` è sconsigliata (`discouraged`), il che è interessante nella procedura di login, dato che è richiesta nella procedura di creazione della passkey. ### 2.2.3 Integrazione delle passkey cross-device Un aspetto avveniristico dell'implementazione delle passkey di Finom è il potenziale per la condivisione di passkey tra dispositivi (cross-device). Analizzando i file di associazione forniti su [https://app.finom.co/.well-known/assetlinks.json](https://app.finom.co/.well-known/assetlinks.json) per [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android) e [https://app.finom.co/.well-known/apple-app-site-association](https://app.finom.co/.well-known/apple-app-site-association) per [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios), diventa evidente che Finom sta gettando le basi per un'integrazione fluida delle passkey tra le sue applicazioni web e mobile native. L'aggiunta del supporto per la condivisione cross-device, ad esempio utilizzando la passkey di macOS dall'applicazione web anche nell'[app nativa](https://www.corbado.com/it/blog/app-native-passkey) per [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios) tramite la sincronizzazione con [iCloud Keychain](https://www.corbado.com/glossary/icloud-keychain), può essere implementata rapidamente. Questa iniziativa promette di migliorare ulteriormente l'esperienza utente, consentendo un'autenticazione senza sforzo su diverse piattaforme e dispositivi. ## 3. Un'esperienza utente sicura, semplice e attenta alla privacy Al centro dell'implementazione delle passkey di Finom c'è l'impegno a dare priorità a tre aspetti fondamentali: [sicurezza](https://www.corbado.com/it/blog/come-abilitare-passkey-su-android) senza pari, semplicità ineguagliabile e privacy dei dati senza compromessi. - **Sicurezza:** Il sistema di passkey di Finom è progettato per creare una barriera contro le minacce informatiche. A differenza delle password tradizionali, le passkey sono collegate in modo sicuro al dispositivo dell'utente e al dominio verificato di Finom, eliminando virtualmente il rischio di [phishing](https://www.corbado.com/glossary/phishing) e di accessi fraudolenti. - **Semplicità:** La semplicità dell'autenticazione con passkey di Finom si manifesta nel suo processo di login istantaneo. Utilizzando [Face ID](https://www.corbado.com/faq/is-face-id-passkey), Touch ID o [Windows Hello](https://www.corbado.com/glossary/windows-hello), gli utenti possono accedere ai loro account in pochi secondi, senza il fastidio di digitare password complesse. Questo processo di autenticazione semplificato non solo migliora la comodità per l'utente, ma riduce anche significativamente i tempi di login, stabilendo un nuovo standard di facilità d'accesso nel settore bancario. - **Privacy dei dati:** Finom attribuisce la massima priorità alla privacy e alla sicurezza dei dati degli utenti. Utilizzando un sistema in cui le passkey rimangono legate al dispositivo dell'utente, Finom garantisce che le informazioni personali, compresi i dati biometrici, restino sotto il controllo dell'utente e non vengano mai condivise con il server. Questo approccio non solo protegge la privacy degli utenti, ma dà loro anche la certezza che le loro informazioni personali e finanziarie siano salvaguardate da accessi non autorizzati e violazioni. ### 3.1 Conferma della creazione di passkey su nuovi dispositivi Sui nuovi dispositivi, l'utente deve confermare la creazione della passkey tramite l'app nativa di Finom per iOS/[Android](https://www.corbado.com/blog/how-to-enable-passkeys-android), attraverso una notifica push o utilizzando un magic link via email. Finché la conferma non viene fornita, l'utente non può [creare una passkey](https://www.corbado.com/it/blog/migliori-pratiche-creazione-passkey). ![Finom Add New Passkey](https://www.corbado.com/website-assets/65c4d7acfb105aa407755a7c_finom_add_new_passkey_7e4f758b25.jpg) Conferma la richiesta di creazione della passkey via email: ![Finom Passkey Creation Confirmation Email](https://www.corbado.com/website-assets/65c4d7c3672a4a9303f0267c_finom_passkey_confirmation_email_6928f62386.jpg) In alternativa, puoi confermare la richiesta di creazione della passkey tramite notifica push (qui, l'[app nativa](https://www.corbado.com/it/blog/app-native-passkey) di Android): ![Finom Passkey Creation Confirmation Push Notification](https://www.corbado.com/website-assets/65c4d7cf75b03360c5cedc22_finom_passkey_confirmation_push_notification_310ed1307c.jpg) Dopo aver creato la passkey con successo, vedrai questo popup: ![Finom Passkey Created](https://www.corbado.com/website-assets/65c4d7dcb4cb3e5c98331f19_finom_passkey_created_2069600ad3.jpg) ### 3.2 Flusso di login passkey-first Finom semplifica l'esperienza di login rendendo le passkey il metodo di autenticazione predefinito (approccio passkey-first) una volta che l'utente inserisce il proprio indirizzo email e clicca su Continua (il campo della password non viene mostrato di default). Questo approccio diretto migliora l'esperienza utente eliminando scelte non necessarie e de-prioritizzando le password. Tuttavia, l'assenza di una `Conditional UI` segna una potenziale area di miglioramento futuro. ![Finom Sign-in Passwordless](https://www.corbado.com/website-assets/65c4d7eb69f8163e06a09f5f_finom_sign_in_passwordless_b27ca2497a.jpg) ### 3.3 Annullamento del flusso di login con passkey Quando si annulla il flusso di [login con passkey](https://www.corbado.com/it/blog/migliori-pratiche-adozione-passkey-login) nel pop-up dedicato, l'utente riceve il seguente avviso: ![Finom Passkey Error](https://www.corbado.com/website-assets/65c4d7fa03a77b08da8615eb_finom_passkey_error_4a9edc0f79.jpg) Se l'utente decide di cliccare su Riprova, il flusso di [login con passkey](https://www.corbado.com/it/blog/migliori-pratiche-adozione-passkey-login) ricomincia e il pop-up delle passkey (ad esempio, [Face ID](https://www.corbado.com/faq/is-face-id-passkey), Touch ID, [Windows Hello](https://www.corbado.com/glossary/windows-hello)) riappare, consentendo all'utente di eseguire nuovamente la scansione biometrica. Se l'utente decide di cliccare su Prova un altro modo, viene reindirizzato al vecchio login con i campi per l'indirizzo email e la password: ![Finom Sign-in Password](https://www.corbado.com/website-assets/65c4d80547a97a71d087ce6c_finom_sign_in_password_1de8881a22.jpg) ### 3.4 Nessuna raccomandazione per dispositivi non privati Finom sconsiglia vivamente l'uso di dispositivi non privati o accessibili al pubblico per l'autenticazione con passkey (ad esempio, nelle biblioteche pubbliche). Il rischio intrinseco di tali dispositivi risiede nella loro accessibilità: chiunque possa sbloccare il dispositivo (tramite password, blocco schermo o dati biometrici come impronte digitali o riconoscimento facciale registrati sul dispositivo) ha il potenziale per autenticarsi al posto tuo e accedere al tuo account. ### 3.5 Autenticazione cross-device (tramite QR code e Bluetooth) Abbracciando la realtà multi-dispositivo degli utenti di oggi, Finom supporta l'[autenticazione cross-device](https://www.corbado.com/it/blog/webauthn-trasporti-interno-ibrido) (trasporto ibrido) utilizzando la scansione di [QR code](https://www.corbado.com/blog/qr-code-login-authentication) e i controlli di prossimità Bluetooth. Questa funzione consente un'esperienza di autenticazione fluida tra diversi dispositivi, facilitando un accesso senza interruzioni da una passkey memorizzata su un dispositivo mobile mentre si tenta di accedere a Finom da un ambiente desktop. ### 3.6 Gestione delle passkey (rinomina e rimuovi una passkey) Finom ha introdotto funzionalità intuitive di gestione delle passkey che consentono agli utenti di personalizzare e controllare i propri metodi di autenticazione. Queste funzionalità, inclusa la possibilità di rinominare e rimuovere le passkey, riflettono una profonda comprensione della necessità di flessibilità e sicurezza nella gestione degli accessi digitali. - **Passkey multiple per dispositivi diversi:** Finom raccomanda la creazione di più passkey sui dispositivi degli utenti. Questo approccio garantisce un accesso ininterrotto ai servizi di Finom tramite passkey, offrendo un'esperienza multi-dispositivo senza soluzione di continuità. - **Prevenzione intelligente dei duplicati:** Sfruttando il parametro `excludeCredentials` nelle `PublicKeyCredentialCreationOptions`, Finom impedisce la creazione di passkey duplicate sullo stesso dispositivo. Questa misura non solo migliora la sicurezza, ma ottimizza anche l'esperienza utente, garantendo che ogni dispositivo abbia una passkey unica. - **La conferma dell'eliminazione della passkey richiede l'autenticazione con passkey:** Prima di rimuovere una passkey, gli utenti devono autenticare l'azione utilizzando una passkey. Questo ulteriore livello di sicurezza sottolinea l'importanza che Finom attribuisce alla protezione dell'accesso degli utenti e garantisce che solo il legittimo proprietario possa apportare modifiche così significative. ![Finom Passkey Management](https://www.corbado.com/website-assets/65c4d817efb0c8ad3497c411_finom_passkey_management_5a20aff3b4.jpg) Da notare che la logica di rilevamento delle icone non è così intelligente come potrebbe sembrare a prima vista. Ho salvato le passkey per il [Google Password Manager](https://www.corbado.com/blog/how-to-use-google-password-manager) sul mio Android, ma viene visualizzato come Windows. Lo stesso vale per gli [authenticator](https://www.corbado.com/glossary/authenticator) cross-platform/roaming come le [YubiKey](https://www.corbado.com/glossary/yubikey), che per natura non sono legati a un sistema operativo specifico. ### 3.7 Notifica di creazione della passkey Dopo la creazione di una passkey, l'utente riceverà una notifica via email: ![Finom Passkey Created Notification](https://www.corbado.com/website-assets/65c4d825734c5d84ab771f67_finom_passkey_created_notification_604db2194f.jpg) ### 3.8 Tutte le passkey vengono eliminate al reset della password Nel caso in cui l'utente debba reimpostare la propria password, non solo viene eliminato il collegamento del dispositivo dell'[app nativa iOS](https://www.corbado.com/it/blog/app-native-passkey)/Android, ma vengono anche cancellate tutte le passkey. Per essere più precisi, le chiavi pubbliche delle passkey vengono eliminate lato server, rendendo impossibile un [login con passkey](https://www.corbado.com/it/blog/migliori-pratiche-adozione-passkey-login) (anche dopo aver ripristinato il collegamento del dispositivo). Le chiavi private della passkey rimangono sul dispositivo, ma sono inutili per i tentativi di login successivi. ## 4. Strategia e miglioramenti delle passkey di Finom L'implementazione delle passkey da parte di Finom non mira solo a migliorare la sicurezza e l'esperienza utente; è una mossa strategica per ridurre i costi legati ai tradizionali sistemi di OTP via SMS e per posizionarsi come una fintech moderna e digital-first, pronta a competere con le banche e le istituzioni finanziarie tradizionali. Il design attuale del sistema è promettente, con spazio per l'espansione al supporto delle app native, l'introduzione della `Conditional UI` e le conferme delle transazioni tramite passkey. ### 4.1 Risparmio sui costi degli OTP via SMS Allontanandosi dagli OTP via SMS – un metodo storicamente afflitto da lacune di sicurezza – Finom pone le basi per importanti vantaggi nella sua strategia di autenticazione e [MFA](https://www.corbado.com/it/blog/psd2-passkey). Questa transizione non solo mitiga i rischi associati agli OTP via SMS, ma si allinea anche con la missione di Finom di sfruttare tecnologie all'avanguardia per proteggere i dati degli utenti, migliorare l'esperienza utente nel settore bancario e [risparmiare](https://www.corbado.com/it/blog/costo-implementazione-passkey-fte) costi significativi per la [MFA](https://www.corbado.com/it/blog/psd2-passkey) tramite OTP via SMS. ### 4.2 Roadmap per i miglioramenti Durante i nostri test, abbiamo identificato alcune importanti aree di miglioramento: - **Estendere il supporto delle passkey alle app native:** Riconoscendo l'onnipresenza del mobile [banking](https://www.corbado.com/passkeys-for-banking), speriamo che Finom estenda presto il supporto delle passkey alle sue applicazioni native per iOS e Android, il che sarebbe anche in linea con la sua strategia mobile-first. Per un utente, specialmente provenendo da un dispositivo desktop macOS, il login sull'app iOS di un iPhone utilizzando lo stesso [iCloud Keychain](https://www.corbado.com/glossary/icloud-keychain) collegato può essere notevolmente semplificato rispetto all'esperienza di login attuale. - **Autenticazione solo con passkey:** Con il tempo, ci aspettiamo anche che Finom promuova le passkey come primo e unico fattore di autenticazione sui dispositivi compatibili. Ciò include anche la creazione di nuovi account con le passkey come unica forma di autenticazione (con alcuni metodi di fallback come backup). - **Implementare la `Conditional UI`:** L'introduzione della `Conditional UI` sarebbe un'altra importante ottimizzazione per l'esperienza utente, che ha già dimostrato di essere un grande successo per l'adozione delle passkey presso altri operatori. - **Usare le passkey per la conferma dei pagamenti:** Durante i nostri test, abbiamo anche effettuato un pagamento di prova per verificare se la conferma del pagamento funzionasse anche con le passkey. Tuttavia, Finom utilizza ancora le notifiche push dell'[app nativa](https://www.corbado.com/it/blog/app-native-passkey) e gli OTP via SMS per la conferma (quest'ultimo rappresenta un notevole fattore di costo). Questo potrebbe essere dovuto a scopi normativi, ma speriamo che in futuro le passkey possano essere impiegate anche in questo contesto. ### 4.3 Conformità PSD2 con le passkey Una domanda rimane ancora senza risposta nella strategia delle passkey di Finom: qual è la posizione di Finom sulla conformità alla [PSD2](https://www.corbado.com/blog/psd2-passkeys) e alla [SCA](https://www.corbado.com/it/blog/psd2-passkey) con le passkey? Questa questione non è stata generalmente affrontata in modo completo, ma sarebbe stato interessante conoscere meglio la prospettiva di Finom in merito. Per ulteriori approfondimenti e riflessioni sulla conformità delle passkey alla [PSD2](https://www.corbado.com/blog/psd2-passkeys), si rimanda a questo articolo del blog. ## 5. Conclusione L'introduzione delle passkey da parte di Finom rappresenta un ottimo esempio per il settore bancario e dei servizi finanziari, dimostrando come le fintech possano essere all'avanguardia nell'adozione di misure di sicurezza avanzate che soddisfano le esigenze degli utenti moderni. Fornendo un'analisi dettagliata del sistema di passkey di Finom, questo articolo mira ad aiutare altri sviluppatori software, product manager e specialisti della sicurezza a conoscere l'implementazione delle passkey nel settore finanziario e bancario.