---
url: 'https://www.corbado.com/it/blog/passkey-webauthn-codice-qr-bluetooth'
title: 'Codici QR e Bluetooth per le passkey WebAuthn: Trasporto Ibrido'
description: 'Scopri come le passkey sfruttano i codici QR e il Bluetooth per l''autenticazione multipiattaforma, consentendo accessi sicuri e fluidi su più dispositivi senza password.'
lang: 'it'
author: 'Vincent Delitz'
date: '2025-07-01T06:52:16.881Z'
lastModified: '2026-03-25T10:05:43.572Z'
keywords: 'webauthn codice qr, passkey bluetooth, passkey codice qr'
category: 'WebAuthn Know-How'
---

# Codici QR e Bluetooth per le passkey WebAuthn: Trasporto Ibrido

## 1. Introduzione

Le passkey stanno sostituendo sempre di più le password come standard de facto
nell'[autenticazione](https://www.corbado.com/it/blog/come-passare-autenticazione-completamente-passwordless)
degli utenti. A differenza delle password tradizionali, le passkey sono legate a un
ecosistema (ad esempio, [Portachiavi iCloud](https://www.corbado.com/it/faq/passkey-trasferimento-nuovo-iphone),
[Google Password Manager](https://www.corbado.com/blog/how-to-use-google-password-manager),
[Windows Hello](https://www.corbado.com/glossary/windows-hello) o un gestore di password come
[1Password](https://www.corbado.com/blog/1password-passkeys-best-practices-analysis) o
[Dashlane](https://www.corbado.com/blog/dashlane-passkeys)); non sono progettate per essere memorizzate, ma sono
costruite per integrarsi perfettamente con i tuoi dispositivi, offrendo un'ottima
esperienza utente fin da subito.

Immagina di essere lontano dal tuo computer personale, magari a un terminale pubblico o
sul portatile di un amico, e di dover accedere al tuo account protetto da passkey. Questo
scenario è piuttosto comune e richiede un metodo di
[autenticazione](https://www.corbado.com/it/blog/come-passare-autenticazione-completamente-passwordless) sicuro
ma comodo. Tuttavia, con le passkey, molte persone non sanno cosa fare, poiché la loro
passkey non è immediatamente disponibile in questa situazione. Una delle funzionalità
delle passkey che ti aiuta in questi casi è la possibilità di utilizzare le tue passkey su
più dispositivi tramite l'uso di codici QR e della tecnologia Bluetooth. Questo processo è
formalmente noto come **trasporto ibrido** nella
[specifica WebAuthn](https://www.w3.org/TR/webauthn-3/#dom-authenticatortransport-hybrid)
(nelle versioni precedenti della specifica era indicato come **cloud-assisted Bluetooth
Low Energy caBLE**).

Il processo è semplice: hai bisogno di un dispositivo su cui sono memorizzate le tue
passkey e che sia in grado di scattare foto, quindi molto probabilmente uno smartphone o
un tablet. Questo dispositivo può aprire un tunnel verso il nuovo dispositivo solo per
quella singola istanza di
[autenticazione](https://www.corbado.com/it/blog/come-passare-autenticazione-completamente-passwordless). Ciò non
solo mantiene l'integrità della tua passkey, ma garantisce anche che l'accesso al tuo
account su nuovi dispositivi possa essere concesso, indipendentemente da dove ti trovi o
dal dispositivo che desideri utilizzare per accedere.

_Tuttavia, questa funzionalità di autenticazione multipiattaforma delle passkey è
circondata da idee sbagliate e confusione, sia per quanto riguarda la sua utilità che la
sua implementazione tecnica. È una cosa che ho notato di nuovo di recente, quando ho
partecipato a un meetup locale sulla sicurezza informatica. Con questo articolo, miriamo a
svelare le complessità e a fornire raccomandazioni per implementare questo flusso di
autenticazione passkey multipiattaforma (trasporto ibrido), assicurandoti di poter offrire
la migliore esperienza di accesso ai tuoi utenti._

## 2. Passkey: Sincronizzate o Disponibili solo su un Singolo Dispositivo

Le passkey sono una forma di autenticazione utente che sostituisce la tradizionale
password con una coppia di chiavi crittografiche pubblica-privata più sicura e comoda.
Questa coppia di chiavi è unica per ogni utente e viene utilizzata per verificare
l'identità senza il fastidio di ricordare password complesse.

I vantaggi delle passkey sono numerosi rispetto ai loro predecessori, le password.
Riducono significativamente il rischio di [phishing](https://www.corbado.com/glossary/phishing), poiché non
possono essere ingannate per essere condivise con un sito web falso. Inoltre, sono immuni
agli attacchi di forza bruta e a dizionario, che sono metodi comuni utilizzati per violare
le password. Le passkey sono anche più facili da usare, eliminando la necessità di
ricordare o gestire una lunga lista di password.

Le passkey sono sincronizzate in account cloud, come quelli gestiti da Google
[Password Manager](https://www.corbado.com/blog/passkeys-vs-password-managers) o Apple
[Portachiavi iCloud](https://www.corbado.com/it/faq/passkey-trasferimento-nuovo-iphone) (Microsoft con
[Windows Hello](https://www.corbado.com/glossary/windows-hello) seguirà presto), o quelle memorizzate nei moderni
gestori di password pronti per le passkey, come
[1Password](https://www.corbado.com/blog/1password-passkeys-best-practices-analysis) o
[Dashlane](https://www.corbado.com/blog/dashlane-passkeys). Tuttavia, è essenziale sapere che, per impostazione
predefinita, le passkey sono legate all'ecosistema e alla rispettiva sincronizzazione
dell'account cloud. I sistemi operativi non forniscono un'interfaccia per esportare le
chiavi private e nella maggior parte dei dispositivi è presente un componente hardware che
fornisce misure di [sicurezza](https://www.corbado.com/it/blog/come-abilitare-passkey-su-android) aggiuntive per
evitare qualsiasi accesso alle chiavi private, ad esempio il
[Secure Enclave](https://www.corbado.com/glossary/secure-enclave) sui dispositivi
[iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios) o il Trusted Platform Module (TPM) sui dispositivi
Windows. Solo il fornitore del sistema operativo può sincronizzare le passkey con altri
dispositivi in modo crittografato (protetto in ultima analisi dalla
[biometria](https://www.corbado.com/it/blog/biometria-consapevolezza-pagatore-dynamic-linking), dal passcode o
dal PIN dell'utente). Le chiavi private possono essere ripristinate e decrittografate solo
utilizzando il passcode/PIN e verranno distrutte in caso di troppi tentativi di accesso
non riusciti all'account cloud (ad esempio,
[Apple](https://support.apple.com/en-us/102195) introduce un limite di tentativi per
prevenire attacchi di forza bruta anche da una posizione privilegiata sul backend cloud;
[Google](https://security.googleblog.com/2022/10/SecurityofPasskeysintheGooglePasswordManager.html)
fa lo stesso).

Questo design intrinseco significa che se le passkey non vengono sincronizzate come
descritto, accedere alle tue passkey su un nuovo dispositivo può rappresentare una sfida.
È proprio per questo che esiste il metodo di trasporto ibrido per
l'[autenticazione passkey](https://www.corbado.com/it/blog/provider-passkey) multipiattaforma (trasporto ibrido)
con [codice QR](https://www.corbado.com/it/blog/codice-qr-login-autenticazione) e controllo di prossimità
Bluetooth. Fornisce un ponte sicuro per le tue passkey tra i dispositivi senza la
necessità di sincronizzarle tramite un account cloud / gestore di password, mantenendo
così il principio che le passkey possono rimanere esclusivamente con l'utente.

## 3. Configurazione Tecnica dell'Autenticazione Passkey Multipiattaforma

L'utilizzo dell'[autenticazione passkey](https://www.corbado.com/it/blog/provider-passkey) multipiattaforma
(trasporto ibrido) aiuta a superare i problemi tra dispositivi diversi, quando un account
è accessibile esclusivamente tramite passkey. Poiché non tutte le passkey sono
sincronizzate in account cloud o gestori di password, la necessità di un metodo affidabile
per accedere alle passkey su più dispositivi diventa critica, specialmente quando si passa
a un nuovo dispositivo o si ha bisogno di accedere su un dispositivo condiviso.

### 3.1 Requisiti Hardware

Per facilitare l'[autenticazione passkey](https://www.corbado.com/it/blog/provider-passkey) multipiattaforma
(trasporto ibrido), ci sono i seguenti requisiti hardware:

- **Supporto WebAuthn:** I dispositivi devono supportare WebAuthn. Questo è già presente
  sul 99% dei dispositivi, secondo la nostra ultima analisi dei dati sulle passkey.
- **Fotocamera per la Scansione di Codici QR:** I dispositivi avranno bisogno di una
  fotocamera in grado di scansionare codici QR. La maggior parte degli smartphone moderni
  è dotata di fotocamere con questa funzionalità. Inoltre, la fotocamera necessita di
  capacità di scansione QR integrate (che la maggior parte dei dispositivi ha di serie).
  Se la tua fotocamera non lo supporta, anche uno
  [scanner QR](https://www.minifier.org/qr-code-scanner) online è una buona opzione.
  Altrimenti, va bene anche installare un'app per codici QR.
- **Capacità Bluetooth:** Il Cloud-assisted Bluetooth Low [Energy](https://www.corbado.com/passkeys-for-energy)
  (caBLE) viene utilizzato per stabilire una connessione sicura basata sulla prossimità
  tra i dispositivi. Le versioni da cercare sono Bluetooth 4.0 o superiori, che abilitano
  l'estensione caBLE per WebAuthn.
- **Connessione Internet:** È necessaria una connessione internet stabile su entrambi i
  dispositivi, poiché lo scambio comporta l'apertura di un tunnel per eseguire passaggi di
  verifica che richiedono il trasferimento di dati in tempo reale.

### 3.2 Requisiti Software

Dal punto di vista del software, esistono i seguenti requisiti:

- **Configurazione del Server WebAuthn:** Ovviamente, è necessario disporre di un server
  WebAuthn che gestisca le chiavi pubbliche. Ciò comporta anche l'abilitazione
  dell'account dell'utente a essere collegato a più autenticatori e la configurazione del
  server per avviare la cerimonia di autenticazione.
- **API Web Bluetooth:** Per il controllo di prossimità Bluetooth, dovrai accedere
  all'[API Web Bluetooth](https://www.corbado.com/it/blog/web-bluetooth-api-passkeys) che attiva le capacità
  Bluetooth del dispositivo da un browser.
- **Requisiti del Sistema Operativo:** Si prega di consultare la seguente
  [tabella](https://passkeys.dev/device-support/) sul supporto dell'Autenticazione
  Cross-Device per diversi sistemi operativi a partire da marzo 2025. Autenticatore
  significa che il dispositivo può fungere da dispositivo che contiene una passkey (nel
  nostro scenario, lo smartphone). Client significa il dispositivo che crea il
  [codice QR](https://www.corbado.com/it/blog/codice-qr-login-autenticazione) e dove l'utente cerca di accedere
  (nel nostro scenario, il desktop):

![Supporto Codice QR Passkey per Sistema Operativo](https://www.corbado.com/website-assets/operating_system_passkey_qr_code_support_298aac92f9.png)_Fonte:
passkeys.dev_

## 4. Passkey: Codice QR

Il processo per utilizzare l'autenticazione passkey multipiattaforma (trasporto ibrido)
tramite [codice QR](https://www.corbado.com/it/blog/codice-qr-login-autenticazione) è il seguente:

![panoramica codice qr passkey](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/passkeys_qr_code_overview_52c519fe2c.png)

### 4.1 Avviare l'Autenticazione Passkey Multipiattaforma

Il codice QR per l'autenticazione passkey multipiattaforma (trasporto ibrido) viene
generato quando un utente tenta di accedere a un servizio su un dispositivo in cui la
passkey registrata non è presente, ma il servizio sa che l'utente dovrebbe avere una
passkey. Tipicamente, un pulsante "Scansiona codice QR" o una call-to-action simile è
fornita all'interno dell'interfaccia di autenticazione.

### 4.2 Generare il Codice QR

Su richiesta dell'utente, il dispositivo avvia la generazione di un codice QR. Questo
codice QR codifica un identificatore di sessione unico e a tempo. Questo identificatore è
legato a una sessione che il server di autenticazione mantiene temporaneamente, in attesa
del completamento del processo di autenticazione.

### 4.3 Scansionare il Codice QR

L'utente scansiona questo codice QR con un dispositivo in cui è disponibile la sua
passkey. Le misure di [sicurezza](https://www.corbado.com/it/blog/come-abilitare-passkey-su-android) includono:

- **Uso singolo:** L'identificatore di sessione all'interno del codice QR è valido per un
  singolo uso, prevenendo attacchi di replay.
- **Crittografia:** Tutti i dati all'interno del codice QR sono crittografati, garantendo
  che qualsiasi comunicazione intercettata non possa essere decifrata da parti non
  autorizzate.

Il codice QR scansionato contiene un URI specifico con lo schema FIDO, ad esempio:
FIDO:/07824133892604070278923969472008301099476228966286113051476699183587
6383562063181103169246410435938367110394959927031730060360967994421
343201235185697538107096654083332

### 4.4 Avviare il Flusso di Dati e il Processo di Autenticazione

La scansione del codice QR fa sì che il secondo dispositivo dell'utente (ad es. smartphone
o tablet) interpreti l'URI FIDO e comunichi con il server di autenticazione, inviando un
segnale che l'utente sta tentando di autenticarsi tramite un nuovo dispositivo (ad es. il
portatile dell'amico). Questa azione spinge il server a generare una sfida crittografica,
unica per questo tentativo di autenticazione.

### 4.5 Trasmettere i Dati Tecnici

La sfida viene inviata al secondo dispositivo dell'utente (ad es. smartphone o tablet),
dove è memorizzata la sua passkey. Il dispositivo crea quindi una firma digitale
utilizzando la chiave privata associata alla passkey, senza che la chiave privata lasci
mai il dispositivo (ad es. smartphone o tablet). La sfida firmata (firma) viene quindi
inviata al server attraverso un tunnel sicuro e crittografato su Internet, verificando
l'integrità e l'origine del tentativo di autenticazione.

### 4.6 Convalidare la Firma

Il server convalida la firma utilizzando la chiave pubblica corrispondente già associata
all'account dell'utente. In caso di convalida riuscita, il server conferma
l'autenticazione, consentendo all'utente di accedere al servizio sul nuovo dispositivo.

Alcuni aspetti importanti di privacy e
[sicurezza](https://www.corbado.com/it/blog/come-abilitare-passkey-su-android) da considerare:

- **Nessuno Scambio di Dati Bluetooth, solo Internet:** È importante notare che in questa
  autenticazione passkey multipiattaforma (trasporto ibrido) basata su codice QR, il
  Bluetooth non è coinvolto nello scambio di dati. Questo processo si basa interamente su
  una connessione Internet per la trasmissione di dati crittografati tra i dispositivi e
  il server. Tuttavia, il Bluetooth viene utilizzato per un controllo di prossimità dei
  due dispositivi.
- **Le Chiavi Private non Lasciano il Dispositivo:** Durante tutto questo processo, le
  chiavi private dell'utente rimangono al sicuro sul loro dispositivo.
- **Nessuna Esposizione di Dati Sensibili:** Nessuna informazione sensibile sulla passkey
  o chiavi private viene trasferita o esposta durante il processo di autenticazione.
- **Crittografia Asimmetrica:** Il meccanismo di sfida-risposta garantisce che ciò che
  viene inviato sono semplicemente versioni firmate e non riutilizzabili di sfide che non
  possono essere sfruttate per accessi non autorizzati.

Aderendo a questi protocolli tecnici e di sicurezza, il metodo del codice QR per
l'autenticazione passkey multipiattaforma (trasporto ibrido) mantiene un elevato standard
di sicurezza fornendo al contempo un modo comodo per gli utenti di autenticare le proprie
identità su nuovi dispositivi.

## 5. Passkey: Bluetooth (caBLE)

Oltre al processo di scansione del codice QR, c'è anche il controllo di prossimità tramite
Bluetooth (caBLE). Essere sicuri che il client e l'autenticatore siano fisicamente vicini
è uno dei maggiori vantaggi del
[protocollo WebAuthn](https://www.w3.org/TR/webauthn-3/#sctn-client-authenticator-proximity).
Maggiori dettagli sul funzionamento interno di questo processo sono descritti di seguito:

![panoramica bluetooth passkey](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/passkeys_bluetooth_overview_2064227c37.png)

### 5.1 Cos'è il Bluetooth Low Energy (BLE) nell'Autenticazione?

**Bluetooth Low Energy (BLE)** è una tecnologia di comunicazione wireless progettata per
lo scambio di dati a corto raggio. Svolge un ruolo fondamentale nel confermare la
prossimità fisica dei dispositivi durante il processo di autenticazione.

### 5.2 Cos'è caBLE (Cloud-Assisted Bluetooth Low Energy)?

**caBLE** è un protocollo che facilita il trasferimento sicuro di informazioni di
autenticazione tra dispositivi utilizzando il BLE. Quando si utilizza caBLE per
l'autenticazione passkey multipiattaforma (trasporto ibrido), il dispositivo che detiene
la passkey conferma la prossimità del dispositivo richiedente tramite segnali BLE. Una
volta verificata la prossimità, il processo di autenticazione procede, sfruttando il BLE
per una comunicazione locale e sicura.

### 5.3 Esperienza Utente e Sicurezza con caBLE

L'esperienza utente è migliorata poiché questo metodo richiede tipicamente meno
interazione diretta da parte dell'utente; i dispositivi in stretta prossimità fisica si
rilevano automaticamente. Per la sicurezza, **caBLE** offre un vantaggio significativo:
garantisce che il processo di autenticazione venga eseguito solo quando i due dispositivi
sono vicini, impedendo agli aggressori remoti di avviare il processo di autenticazione.

### 5.4 Scenario: Il Dilemma tra Codice QR e BLE

Immagina di ricevere un codice QR che reindirizza a un sito dannoso. Se l'autenticazione
viene eseguita tramite questo codice QR, c'è il rischio che la sessione o il cookie
possano essere dirottati. Il BLE aggira questo problema non basandosi su una scansione
visiva, ma sulla presenza fisica dei dispositivi. Questo controllo di prossimità minimizza
il rischio di attacchi man-in-the-middle, poiché il controllo di prossimità non avviene su
Internet o su un mezzo visivo.

### 5.5 Scambio di Dati e Privacy

A differenza di altri metodi, caBLE non scambia effettivamente dati di autenticazione come
le passkey. Invece, utilizza il BLE come canale di conferma per stabilire che i
dispositivi sono fisicamente vicini. Questo controllo è progettato per essere parte di un
processo di autenticazione a più fattori in cui la prossimità BLE è uno dei fattori,
garantendo che anche se altri fattori sono compromessi, senza la prossimità fisica,
l'accesso non viene concesso.

Integrando il protocollo caBLE, gli sviluppatori possono offrire un metodo sicuro e facile
da usare per l'autenticazione passkey multipiattaforma (trasporto ibrido) che migliora la
sicurezza complessiva del processo di autenticazione. Il controllo di prossimità aggiunge
un ulteriore livello di protezione che è semplice per gli utenti e tuttavia protegge
efficacemente da alcuni tipi di attacchi informatici sofisticati.

## 6. Vantaggi

Esistono i seguenti vantaggi di questo metodo di autenticazione passkey multipiattaforma
(trasporto ibrido):

### 6.1 Un Percorso verso una Buona Esperienza Utente

L'autenticazione passkey multipiattaforma tramite codice QR e Bluetooth (trasporto ibrido)
è un modo per migliorare l'UX in scenari multipiattaforma rispetto a non offrire alcuna
possibilità. Tuttavia, il flusso utente è assolutamente nuovo per la maggior parte degli
utenti e non ci aspettiamo che molti utenti non tecnici capiscano cosa sta succedendo la
prima volta che incontrano questo flusso. L'unica somiglianza nell'introdurre il flusso
del codice QR può essere con i flussi di accesso per, ad esempio,
[WhatsApp](https://www.corbado.com/blog/whatsapp-passkeys) Web o Discord, dove vengono utilizzati i codici QR
(anche se qui la funzionalità è diversa). Quindi, il processo di autenticazione passkey
multipiattaforma analizzato tramite codice QR / Bluetooth (trasporto ibrido) minimizza lo
sforzo dell'utente nello scenario multipiattaforma, poiché non è necessario inserire
manualmente alcuna credenziale, ma il flusso complessivo è ancora sconosciuto alla maggior
parte degli utenti.

### 6.2 Sicurezza Robusta

La sicurezza dell'autenticazione passkey multipiattaforma (trasporto ibrido) è rafforzata
da tecniche crittografiche avanzate. Quando un codice QR viene scansionato o viene
stabilita una connessione Bluetooth per l'autenticazione, le sfide e le risposte
crittografiche assicurano che solo il dispositivo previsto possa completare con successo
il processo di autenticazione.

I controlli di prossimità tramite Bluetooth aggiungono un ulteriore livello di sicurezza,
confermando che il tentativo di autenticazione viene effettuato da qualcuno con accesso
fisico al dispositivo secondario.

### 6.3 Integrità della Passkey

Durante il processo di autenticazione multipiattaforma (trasporto ibrido), le passkey non
vengono mai memorizzate temporaneamente su dispositivi o server intermedi, il che previene
il rischio che le passkey vengano intercettate o trapelate durante il processo di
trasferimento. L'autenticazione avviene in tempo reale e la passkey rimane legata al
dispositivo primario dell'utente, preservandone l'integrità.

### 6.4 Prevenzione del Phishing

I metodi di autenticazione tramite codice QR e Bluetooth forniscono intrinsecamente
protezione contro il [phishing](https://www.corbado.com/glossary/phishing). È meno probabile che gli utenti
vengano ingannati a fornire una passkey per un sito dannoso perché il processo di
autenticazione richiede azioni fisiche specifiche per i dispositivi fidati dell'utente.

Il processo di scansione di un codice QR o di connessione tramite Bluetooth avviene
tipicamente in un ambiente fidato, riducendo la possibilità che gli utenti compromettano
involontariamente le proprie credenziali.

## 7. Svantaggi

Esistono i seguenti svantaggi di questo metodo di autenticazione passkey multipiattaforma
(trasporto ibrido):

### 7.1 Familiarità e Adozione da Parte dell'Utente

L'introduzione di qualsiasi nuova tecnologia può portare a confusione da parte
dell'utente, specialmente se gli utenti non sono esperti di tecnologia. L'autenticazione
passkey multipiattaforma tramite codice QR e Bluetooth (trasporto ibrido) è un cambiamento
significativo rispetto ai metodi di autenticazione tradizionali, e alcuni utenti
potrebbero trovare il nuovo processo difficile da comprendere, portando potenzialmente a
un tasso di adozione più lento. Tuttavia, ci aspettiamo che gli utenti alla fine si
abituino, quindi il cambiamento potrebbe essere più difficile all'inizio e diventerà più
fluido e accettato nel tempo.

### 7.2 Dipendenza dalle Capacità del Dispositivo

Il successo dell'autenticazione passkey multipiattaforma (trasporto ibrido) dipende
fortemente dal fatto che il dispositivo dell'utente abbia le capacità necessarie, come una
fotocamera in grado di scansionare codici QR e la funzionalità Bluetooth. Gli utenti con
dispositivi più vecchi che non dispongono di queste funzionalità non saranno in grado di
sfruttare l'autenticazione passkey multipiattaforma (trasporto ibrido), creando un divario
digitale basato su limitazioni hardware.

### 7.3 Comportamento Utente Incoerente

Il comportamento dell'utente può essere imprevedibile e la dipendenza dagli utenti per
eseguire azioni specifiche come la scansione di un codice QR o l'abilitazione del
Bluetooth può introdurre errori da parte dell'utente. Ad esempio, il Bluetooth può
talvolta essere visto come una sfida per l'UX a causa di problemi di accoppiamento,
problemi di rilevamento e una generale sfiducia degli utenti verso le tecnologie wireless
per transazioni sicure.

### 7.4 Adattamento degli Sviluppatori

Gli sviluppatori affrontano il compito di aggiornare e mantenere costantemente i sistemi
per supportare i più recenti metodi di autenticazione. L'integrazione dell'autenticazione
passkey multipiattaforma (trasporto ibrido) nei sistemi esistenti richiede agli
sviluppatori di rimanere al passo con i nuovi standard, adottare nuove API e garantire la
compatibilità con le versioni precedenti, il che può richiedere molte risorse e tempo.

### 7.5 Creazione di Nuove Passkey

Per ogni nuovo dispositivo o richiesta di accesso successiva, è necessario creare una
nuova passkey se non si utilizza un account cloud sincronizzato come
[Portachiavi iCloud](https://www.corbado.com/it/faq/passkey-trasferimento-nuovo-iphone) o un gestore di password.
Ciò potrebbe aggiungere complessità all'esperienza utente e creare frustrazione se gli
utenti non hanno familiarità con il processo o se non è reso intuitivo.

### 7.6 Educare gli Utenti

C'è una necessità intrinseca di educare gli utenti quando si implementano nuovi metodi di
sicurezza come l'autenticazione passkey multipiattaforma (trasporto ibrido). Garantire che
gli utenti capiscano come utilizzare i codici QR e il Bluetooth in modo sicuro richiede
una comunicazione chiara e possibilmente un ampio supporto clienti.

Sebbene l'autenticazione passkey multipiattaforma tramite codice QR e Bluetooth (trasporto
ibrido) rappresenti un progresso significativo nella tecnologia di autenticazione, questi
potenziali svantaggi evidenziano la necessità di un design user-friendly, sistemi di
supporto robusti e una transizione graduale e ben comunicata dai metodi tradizionali a
quelli innovativi. Come per ogni cambiamento tecnologico, bilanciare i benefici
dell'innovazione con le sue sfide sarà la chiave per un'implementazione di successo e
un'ampia accettazione da parte degli utenti.

## 8. Test Reale: Comportamento delle Passkey con Trasporto Ibrido

Come disclaimer: nei seguenti test ignoreremo le
[chiavi di sicurezza hardware](https://www.corbado.com/it/blog/migliori-chiavi-sicurezza-hardware-fido2-2025) (ad
es. [YubiKey](https://www.corbado.com/glossary/yubikey)) e utilizzeremo solo autenticatori di piattaforma
integrati nei dispositivi (ad es. [Face ID](https://www.corbado.com/faq/is-face-id-passkey), Touch ID,
[Windows Hello](https://www.corbado.com/glossary/windows-hello)). In caso di
[chiavi di sicurezza hardware](https://www.corbado.com/it/blog/migliori-chiavi-sicurezza-hardware-fido2-2025) (ad
es. [YubiKey](https://www.corbado.com/glossary/yubikey)), i valori per i trasporti sarebbero, ad esempio,
[usb o nfc](https://www.w3.org/TR/webauthn-2/#enum-transport).

Stiamo utilizzando le seguenti combinazioni di dispositivo/browser e il
[Passkeys Debugger](https://www.passkeys-debugger.io) per testare il comportamento.
[Android](https://www.corbado.com/blog/how-to-enable-passkeys-android) non è considerato poiché
[Android](https://www.corbado.com/blog/how-to-enable-passkeys-android) non può fungere da client di
autenticazione multipiattaforma (trasporto ibrido) (vedi tabella
[sopra](#32-requisiti-software)):

![](https://www.corbado.com/website-assets/656e0d50740ce2c32c21d812_overview_tests_webauthn_allowcredentials_transports_544b9b36a3.png)

Per testare il comportamento, creiamo per ogni combinazione una nuova passkey con le
seguenti proprietà:

- **userName:** alex muller (nessuna influenza in questo test)
- **authenticatorAttachment:** platform (poiché vogliamo escludere le chiavi di sicurezza
  hardware come le [YubiKey](https://www.corbado.com/glossary/yubikey))
- **residentKey:** preferred (nessuna influenza in questo test)
- **userVerification:** preferred (nessuna influenza in questo test)
- **attestation:** none (nessuna influenza in questo test)
- **hints:** empty (vedi spiegazione sotto)
- **usePRF:** no (nessuna influenza in questo test)

Dopo la creazione riuscita della passkey, modifichiamo l'input della proprietà
[allowCredentials](https://www.corbado.com/glossary/allowcredentials) del server WebAuthn e avviamo una richiesta
di accesso. Vogliamo simulare una passkey eliminata sul dispositivo in cui abbiamo creato
la passkey, in modo che il dispositivo/browser cerchi un altro dispositivo che possa
fornire una passkey tramite codice QR / Bluetooth. Pertanto, cambiamo il
[credential ID](https://www.corbado.com/blog/webauthn-user-id-userhandle) e assegniamo il valore CHANGED-ID, in
modo che la corrispondenza fallisca. Inoltre, cambiamo la
[proprietà transports](https://www.w3.org/TR/webauthn-2/#dictdef-publickeycredentialdescriptor)
di una credenziale WebAuthn in [allowCredentials](https://www.corbado.com/glossary/allowcredentials) e assegniamo
per ogni combinazione di dispositivo/browser i seguenti valori:

1. **transports: \[internal, hybrid]:** Le passkey possono essere utilizzate
   dall'autenticatore di piattaforma (ad es. [Face ID](https://www.corbado.com/faq/is-face-id-passkey), Touch ID,
   Windows Hello) o tramite autenticazione multipiattaforma
2. **transports: \[internal]:** Le passkey possono essere utilizzate dall'autenticatore di
   piattaforma (ad es. [Face ID](https://www.corbado.com/faq/is-face-id-passkey), Touch ID, Windows Hello)
3. **Nessuna proprietà transports impostata:** comportamento predefinito che non impone
   restrizioni

Nel sito di test WebAuthn, è presente anche la nuova funzionalità
[WebAuthn Level 3](https://www.corbado.com/blog/passkeys-prf-webauthn) per gli hint degli
[user agent](https://www.corbado.com/blog/client-hints-user-agent-chrome-safari-firefox). Questa funzionalità può
migliorare l'esperienza utente se la [relying party](https://www.corbado.com/glossary/relying-party) ha
determinate ipotesi su come la richiesta di accesso può essere completata nel modo più
user-friendly. In questo test, abbiamo ignorato questa funzionalità poiché non è ancora
stata distribuita. Si prega di consultare le
[specifiche](https://www.w3.org/TR/webauthn-3/#enumdef-publickeycredentialhints) per
maggiori dettagli.

### 8.1 Windows 11 23H2 + Chrome 119

#### 8.1.1 transports: \[internal, hybrid]

Come previsto, nessuna passkey locale corrisponde, quindi viene suggerito di scansionare
il codice QR e utilizzare la passkey su un altro dispositivo (poiché il sistema sa che
esiste una passkey per questo utente).

![Windows Chrome Transports Internal Hybrid](https://www.corbado.com/website-assets/654c1f5b09bf2b7220209704_windows_chrome_transports_hybrid_internal_d9f6f6b81e.png)

#### 8.1.2 transports: \[internal]

In modo piuttosto confuso, il codice QR viene visualizzato anche qui, anche se consentiamo
solo credenziali interne. Non siamo riusciti a trovare una ragione valida per questo
comportamento.

![Windows Chrome Transports Internal](https://www.corbado.com/website-assets/654c1f6e07c2e857e5de0960_windows_chrome_transports_internal_810b5ed722.png)

#### 8.1.3 Nessuna proprietà transports impostata

Nessuna passkey locale corrisponde, quindi viene suggerito di scansionare il codice QR o
utilizzare una
[chiave di sicurezza](https://www.corbado.com/it/blog/migliori-chiavi-sicurezza-hardware-fido2-2025) hardware (ad
es. YubiKey) / autenticatore multipiattaforma / autenticatore roaming.

Per qualche motivo, parti della modale appaiono in tedesco, che è una delle lingue
installate.

![Windows Chrome No Transports](https://www.corbado.com/website-assets/654c1f7c40ea851fa10a89dd_windows_chrome_no_transports_03ec5939bf.png)

#### 8.1.4 allowCredentials vuoto

Come previsto, sono consentite tutte le forme di autenticazione con passkey: tramite
Windows Hello, tramite codice QR, tramite dispositivi noti e tramite chiavi di sicurezza
hardware.

![Windows Chrome Empty AllowCredentials](https://www.corbado.com/website-assets/656e0de868019ba489b24512_windows_11_chrome_119_empty_allow_Credentials_68d90ba714.png)

### 8.2 Windows 11 23H2 + Edge 119

#### 8.2.1 transports: \[internal, hybrid]

Come previsto, nessuna passkey locale corrisponde, quindi viene suggerito di scansionare
il codice QR e utilizzare la passkey su un altro dispositivo (poiché il sistema sa che
esiste una passkey per questo utente).

![Windows Edge Transports Internal Hybrid](https://www.corbado.com/website-assets/654c1f886911a0090e885576_windows_edge_transports_hybrid_internal_a20488b2eb.png)

#### 8.2.2 transports: \[internal]

In modo piuttosto confuso, il codice QR viene visualizzato anche qui, anche se consentiamo
solo credenziali interne. Non siamo riusciti a trovare una ragione valida per questo
comportamento.

![Windows Edge Transports Internal](https://www.corbado.com/website-assets/654c1f90d40c371a2059f8ae_windows_edge_transports_internal_8bb4ce60ac.png)

#### 8.2.3 Nessuna proprietà transports impostata

Nessuna passkey locale corrisponde, quindi viene suggerito di scansionare il codice QR o
utilizzare una
[chiave di sicurezza](https://www.corbado.com/it/blog/migliori-chiavi-sicurezza-hardware-fido2-2025) hardware (ad
es. YubiKey) / autenticatore multipiattaforma / autenticatore roaming.

Per qualche motivo, parti della modale appaiono in tedesco, che è una delle lingue
installate.

![Windows Edge No Transports](https://www.corbado.com/website-assets/654c1f9f89423cbcd1c67e70_windows_edge_no_transports_c653d9bc38.png)

#### 8.2.4 allowCredentials vuoto

Come previsto, sono consentite tutte le forme di autenticazione con passkey: tramite
Windows Hello, tramite codice QR, tramite dispositivi noti e tramite chiavi di sicurezza
hardware.

![Windows Edge Empty AllowCredentials](https://www.corbado.com/website-assets/656e0e0237b9a8e24c906511_windows_11_edge_119_empty_allow_Credentials_baad1ac445.png)

### 8.3 Windows 11 23H2 + Firefox 119

Durante la creazione della passkey, abbiamo ricevuto il seguente errore (è stata comunque
creata una passkey):

_errore: TypeError: 'toJSON' chiamato su un oggetto che non implementa l'interfaccia
PublicKeyCredential._

#### 8.3.1 transports: \[internal, hybrid]

Come previsto, nessuna passkey locale corrisponde, quindi viene suggerito di scansionare
il codice QR e utilizzare la passkey su un altro dispositivo (poiché il sistema sa che
esiste una passkey per questo utente).

![Windows Firefox Transports Internal Hybrid](https://www.corbado.com/website-assets/654c1faab48ed06061c78b6b_windows_firefox_transports_hybrid_internal_395db978cb.png)

#### 8.3.2 transports: \[internal]

In modo piuttosto confuso, il codice QR viene visualizzato anche qui, anche se consentiamo
solo credenziali interne. Non siamo riusciti a trovare una ragione valida per questo
comportamento.

![Windows Firefox Transports Internal](https://www.corbado.com/website-assets/654c1fb221d9f40ec2c98fdc_windows_firefox_transports_internal_d706bc716a.png)

#### 8.3.3 Nessuna proprietà transports impostata

Nessuna passkey locale corrisponde, quindi viene suggerito di scansionare il codice QR o
utilizzare una
[chiave di sicurezza](https://www.corbado.com/it/blog/migliori-chiavi-sicurezza-hardware-fido2-2025) hardware (ad
es. YubiKey) / autenticatore multipiattaforma / autenticatore roaming.

Per qualche motivo, parti della modale appaiono in tedesco, che è una delle lingue
installate.

![Windows Firefox No Transports](https://www.corbado.com/website-assets/654c1fbbd7927473aed38c5f_windows_firefox_no_transports_7afb6db1ff.png)

#### 8.3.4 allowCredentials vuoto

Come previsto, sono consentite tutte le forme di autenticazione con passkey: tramite
Windows Hello, tramite codice QR, tramite dispositivi noti e tramite chiavi di sicurezza
hardware.

![Windows Firefox Empty AllowCredentials](https://www.corbado.com/website-assets/656e0e2a6c3ecab809ecedca_windows_11_firefox_119_empty_allow_Credentials_17189f07d7.png)

### 8.4 macOS Ventura + Chrome 119

#### 8.4.1 transports: \[internal, hybrid]

Come previsto, nessuna passkey locale corrisponde, quindi viene suggerito di scansionare
il codice QR e utilizzare la passkey su un altro dispositivo (poiché il sistema sa che
esiste una passkey per questo utente). Inoltre, è possibile selezionare direttamente uno
dei dispositivi noti per utilizzare una passkey da lì.

La modale è piuttosto diversa dalla sua controparte su Windows in Chrome 119.

![macOS Chrome Transports Internal Hybrid](https://www.corbado.com/website-assets/654c1fc5227b32dc36e6ea46_macos_chrome_transports_hybrid_internal_e4abefb558.png)

#### 8.4.2 transports: \[internal]

Questo è un comportamento previsto, poiché consentiamo di utilizzare solo passkey interne
ma non riusciamo a trovare una credenziale interna sul dispositivo (non siamo autorizzati
a utilizzare passkey ibride). L'autenticazione con passkey fallisce in questo passaggio e
nelle implementazioni reali sarebbe necessario fornire un metodo di autenticazione di
fallback.

![macOS Chrome Transports Internal](https://www.corbado.com/website-assets/654c1fdddac09b00d0bd3b2e_macos_chrome_transports_internal_71b31d4942.png)

#### 8.4.3 Nessuna proprietà transports impostata

Nessuna passkey locale corrisponde, quindi viene suggerito di scansionare il codice QR o
utilizzare una chiave di sicurezza hardware (ad es. YubiKey) / autenticatore
multipiattaforma / autenticatore roaming. Inoltre, è possibile selezionare direttamente
uno dei dispositivi noti per utilizzare una passkey da lì.

La modale è piuttosto diversa dalla sua controparte su Windows in Chrome 119.

![macOS Chrome No Transports](https://www.corbado.com/website-assets/654c1fe730b66c728200bc32_macos_chrome_no_transports_d875932a07.png)

#### 8.4.4 allowCredentials vuoto

Come previsto, sono consentite tutte le forme di autenticazione con passkey: tramite Touch
ID, tramite codice QR, tramite dispositivi noti e tramite
[chiavi di sicurezza hardware](https://www.corbado.com/it/blog/migliori-chiavi-sicurezza-hardware-fido2-2025).

![macOS Chrome Empty AllowCredentials](https://www.corbado.com/website-assets/656e0e406ac7f571113f8cde_macos_14_1_chrome_119_empty_allow_Credentials_99a9202253.png)

### 8.5 macOS Ventura + Safari 16.6

#### 8.5.1 transports: \[internal, hybrid]

Come previsto, nessuna passkey locale corrisponde, quindi viene suggerito di scansionare
il codice QR e utilizzare la passkey su un altro dispositivo (poiché il sistema sa che
esiste una passkey per questo utente).

![macOS Safari Transports Internal Hybrid](https://www.corbado.com/website-assets/654c1ff330b66c728200c300_macos_safari_transports_hybrid_internal_fbfcf996eb.png)

#### 8.5.2 transports: \[internal]

In modo piuttosto confuso, il codice QR viene visualizzato anche qui, anche se consentiamo
solo credenziali interne. Non siamo riusciti a trovare una ragione valida per questo
comportamento.

![macOS Safari Transports Internal](https://www.corbado.com/website-assets/654c1ffc07913779f551177a_macos_safari_transports_internal_ea68c7e5a4.png)

#### 8.5.3 Nessuna proprietà transports impostata

Nessuna passkey locale corrisponde, quindi viene suggerito di scansionare il codice QR o
utilizzare una chiave di sicurezza hardware (ad es. YubiKey) / autenticatore
multipiattaforma / autenticatore roaming.

![macOS Safari No Transports](https://www.corbado.com/website-assets/654c20077178565661c7b9ae_macos_safari_no_transports_4ff6aa97f5.png)

#### 8.5.4 allowCredentials vuoto

Come previsto, la maggior parte delle forme di autenticazione con passkey sono consentite:
tramite Touch ID, tramite codice QR e tramite chiavi di sicurezza hardware. Per qualche
motivo i dispositivi noti non vengono visualizzati.

![macOS Safari Empty AllowCredentials](https://www.corbado.com/website-assets/656e0e5c1ebd36d824b3f8a4_macos_14_1_safari_17_1_empty_allow_Credentials_3f548fc22a.jpg)

### 8.6 iOS 17.1 + Chrome 119

#### 8.6.1 transports: \[internal, hybrid]

Come previsto, nessuna passkey locale corrisponde, quindi viene suggerito di scansionare
il codice QR e utilizzare la passkey su un altro dispositivo (poiché il sistema sa che
esiste una passkey per questo utente).

![iOS Chrome Transports Internal Hybrid](https://www.corbado.com/website-assets/654c20157279c6a5b35595fe_ios_chrome_transports_hybrid_internal_25b2bc95a9.png)

#### 8.6.2 transports: \[internal]

In modo piuttosto confuso, il codice QR viene visualizzato anche qui, anche se consentiamo
solo credenziali interne. Non siamo riusciti a trovare una ragione valida per questo
comportamento.

![iOS Chrome Transports Internal](https://www.corbado.com/website-assets/654c2021b48ed06061c7da4c_ios_chrome_transports_internal_9c90430238.png)

#### 8.6.3 Nessuna proprietà transports impostata

Nessuna passkey locale corrisponde, quindi viene suggerito di scansionare il codice QR o
utilizzare una chiave di sicurezza hardware (ad es. YubiKey) / autenticatore
multipiattaforma / autenticatore roaming.

![iOS Chrome No Transports](https://www.corbado.com/website-assets/654c2028347d6de2c424b8ea_ios_chrome_no_transports_800e1f28db.png)

#### 8.6.4 allowCredentials vuoto

Come previsto, la maggior parte delle forme di autenticazione con passkey sono consentite:
tramite Face ID, tramite codice QR e tramite chiavi di sicurezza hardware. Per qualche
motivo i dispositivi noti non vengono visualizzati.

![iOS Chrome Empty AllowCredentials](https://www.corbado.com/website-assets/656e0e736ac7f571113fcbc3_ios_17_1_chrome_119_empty_allow_Credentials_594c94ef33.jpg)

### 8.7 iOS 17.1 + Safari 17.1

#### 8.7.1 transports: \[internal, hybrid]

Come previsto, nessuna passkey locale corrisponde, quindi viene suggerito di scansionare
il codice QR e utilizzare la passkey su un altro dispositivo (poiché il sistema sa che
esiste una passkey per questo utente).

![iOS Safari Transports Internal Hybrid](https://www.corbado.com/website-assets/654c2031a6f031f3de7f37c2_ios_safari_transports_hybrid_internal_962be3dc05.png)

#### 8.7.2 transports: \[internal]

In modo piuttosto confuso, il codice QR viene visualizzato anche qui, anche se consentiamo
solo credenziali interne. Non siamo riusciti a trovare una ragione valida per questo
comportamento.

![iOS Safari Transports Internal](https://www.corbado.com/website-assets/654c20398e839fca2cd27610_ios_safari_transports_internal_2a5ed1c8ef.png)

#### 8.7.3 Nessuna proprietà transports impostata

Nessuna passkey locale corrisponde, quindi viene suggerito di scansionare il codice QR o
utilizzare una chiave di sicurezza hardware (ad es. YubiKey) / autenticatore
multipiattaforma / autenticatore roaming.

![iOS Safari No Transports](https://www.corbado.com/website-assets/654c20429a4ea0f5059a19d1_ios_safari_no_transports_62cc32cf45.png)

#### 8.7.4 allowCredentials vuoto

Come previsto, la maggior parte delle forme di autenticazione con passkey sono consentite:
tramite Face ID, tramite codice QR e tramite chiavi di sicurezza hardware. Per qualche
motivo i dispositivi noti non vengono visualizzati.

![iOS Safari Empty AllowCredentials](https://www.corbado.com/website-assets/656e0e912483530de38bce47_ios_17_1_safari_17_1_empty_allow_Credentials_2a9f57c8f5.jpg)

Di seguito, per i dispositivi Windows 10, abbiamo deciso di andare un livello oltre e
analizzare come si presenta il comportamento se il Bluetooth è disabilitato o non
disponibile su una macchina Windows 10 in generale. In particolare per i dispositivi
desktop più vecchi, questo è ancora uno scenario molto comune poiché questi dispositivi
spesso non hanno un modulo Bluetooth, rendendo impossibile l'autenticazione
multipiattaforma tramite codice QR e Bluetooth.

### 8.8 Windows 10 21H2 + Chrome 119

#### 8.8.1 Bluetooth Abilitato

**8.8.1.1 transports: \[internal, hybrid]**

Come previsto, nessuna passkey locale corrisponde, quindi viene suggerito di utilizzare la
passkey su un altro dispositivo (poiché il sistema sa che esiste una passkey per questo
utente - primo screenshot) o di scegliere di scansionare il codice QR (secondo
screenshot).

![Bluetooth Windows 10 21H2 Chrome Transports Internal Hybrid Stored Device](https://www.corbado.com/website-assets/655a41796c7b81432a8f8d0c_bluetooth_windows_10_21h2_chrome_transports_internal_hybrid_5ba8fc5778.png)

![Bluetooth Windows 10 21H2 Chrome Transports Internal Hybrid Selection](https://www.corbado.com/website-assets/655a420bfcb17d5a59e3b9b3_bluetooth_windows_10_21h2_chrome_transports_internal_hybrid_selection_cefe95683e.png)

**8.8.1.2 transports: \[internal]**

In modo piuttosto confuso, viene richiesto di inserire il codice PIN di Windows Hello (o
l'impronta digitale / scansione del volto se configurata sul dispositivo), anche se
abbiamo cambiato il [credential ID](https://www.corbado.com/blog/webauthn-user-id-userhandle) (quindi in realtà
non dovrebbe trovare la credenziale poiché non è specificata nella proprietà
[allowCredentials](https://www.corbado.com/glossary/allowcredentials)). Tuttavia, dopo aver inviato il codice PIN
di Windows Hello, viene generato un errore: "[NotAllowedError](https://www.corbado.com/blog/webauthn-errors):
L'operazione è scaduta o non è stata consentita. Vedi:
[https://www.w3.org/TR/webauthn-2/#sctn-privacy-considerations-client](https://www.w3.org/TR/webauthn-2/#sctn-privacy-considerations-client)".
Dal punto di vista dell'utente, questo è un comportamento piuttosto confuso ma ha senso
poiché potrebbe fornire informazioni sulle passkey dell'utente senza il suo consenso.

![Bluetooth Windows 10 21H2 Chrome Transports Internal](https://www.corbado.com/website-assets/655a418dd296ce49e7790542_bluetooth_windows_10_21h2_chrome_transports_internal_2f821c99c4.png)

**8.8.1.3 Nessuna proprietà transports impostata**

Nessuna passkey locale corrisponde, quindi viene suggerito di scansionare il codice QR o
utilizzare una chiave di sicurezza hardware (ad es. YubiKey) / autenticatore
multipiattaforma / autenticatore roaming.

![Bluetooth Windows 10 21H2 Chrome No Transports](https://www.corbado.com/website-assets/655a4198c91e9d877f8d18d2_bluetooth_windows_10_21h2_chrome_no_transports_8a81c90cb1.png)

**8.8.1.4 allowCredentials vuoto**

Come previsto, sono consentite tutte le forme di autenticazione con passkey: tramite
Windows Hello, tramite codice QR, tramite dispositivi noti e tramite chiavi di sicurezza
hardware.

![Bluetooth Windows 10 21H2 Chrome Empty AllowCredentials](https://www.corbado.com/website-assets/656e0ef2cb6b0e0081620646_bluetooth_windows_10_21h2_chrome_empty_allowcredentials_c9034b924b.png)

#### 8.8.2 Bluetooth Disabilitato

**8.8.2.1 transports: \[internal, hybrid]**

Questo è un messaggio davvero confuso per gli utenti, poiché non viene dichiarato
esplicitamente cosa dovrebbero fare e come possono autenticarsi. L'unica opzione che hanno
è fare clic su "Annulla", rendendo questo scenario un vicolo cieco.

![No Bluetooth Windows 10 21H2 Chrome Transports Internal Hybrid](https://www.corbado.com/website-assets/655a42691f4650d9c5f048eb_no_bluetooth_windows_10_21h2_chrome_transports_internal_hybrid_fe23b5d98c.png)

**8.8.2.2 transports: \[internal]**

Questo comportamento è lo stesso del caso in cui il Bluetooth è abilitato. È molto confuso
che all'utente venga richiesto di inserire il codice PIN di Windows Hello (o l'impronta
digitale / scansione del volto se configurata sul dispositivo), anche se abbiamo cambiato
il [credential ID](https://www.corbado.com/blog/webauthn-user-id-userhandle) (quindi in realtà non dovrebbe
trovare la credenziale poiché non è specificata nella proprietà allowCredentials).
Tuttavia, dopo aver inviato il codice PIN di Windows Hello, viene generato un errore:
"[NotAllowedError](https://www.corbado.com/blog/webauthn-errors): L'operazione è scaduta o non è stata
consentita. Vedi:
[https://www.w3.org/TR/webauthn-2/#sctn-privacy-considerations-client](https://www.w3.org/TR/webauthn-2/#sctn-privacy-considerations-client)".
Dal punto di vista dell'utente, questo è un comportamento piuttosto confuso ma ha senso
poiché potrebbe fornire informazioni sulle passkey dell'utente senza il suo consenso.

![No Bluetooth Windows 10 21H2 Chrome Transports Internal](https://www.corbado.com/website-assets/655a42782e4725cfe619d0bd_no_bluetooth_windows_10_21h2_chrome_transports_internal_2c0239090a.png)

**8.8.2.3 Nessuna proprietà transports impostata**

Nessuna passkey locale corrisponde, quindi l'unica opzione che hai è utilizzare una chiave
di sicurezza hardware (ad es. YubiKey) / autenticatore multipiattaforma / autenticatore
roaming.

![No Bluetooth Windows 10 21H2 Chrome No Transports](https://www.corbado.com/website-assets/655a428606a44b7254f3b15b_no_bluetooth_windows_10_21h2_chrome_no_transports_10b4b7be67.png)

**8.8.2.4 allowCredentials vuoto**

L'autenticazione con passkey è possibile solo tramite Windows Hello e chiavi di sicurezza
hardware.

![No Bluetooth Windows 10 21H2 Chrome Empty AllowCredentials](https://www.corbado.com/website-assets/656e0f12e540402d134edfe0_no_bluetooth_windows_10_21h2_chrome_empty_allowcredentials_8a51d98916.png)

### 8.9 Windows 10 21H2 + Edge 119

#### 8.9.1 Bluetooth Abilitato

**8.9.1.1 transports: \[internal, hybrid]**

Come previsto, nessuna passkey locale corrisponde, quindi viene suggerito di scansionare
il codice QR e utilizzare la passkey su un altro dispositivo (poiché il sistema sa che
esiste una passkey per questo utente).

![Bluetooth Windows 10 21H2 Edge Transports Internal Hybrid](https://www.corbado.com/website-assets/655a41d9ba4706dfb36cdc27_bluetooth_windows_10_21h2_edge_transports_internal_hybrid_ef0d00b7b7.png)

**8.9.1.2 transports: \[internal]**

In modo piuttosto confuso, viene richiesto di inserire il codice PIN di Windows Hello (o
l'impronta digitale / scansione del volto se configurata sul dispositivo), anche se
abbiamo cambiato il credential ID (quindi in realtà non dovrebbe trovare la credenziale
poiché non è specificata nella proprietà allowCredentials). Tuttavia, dopo aver inviato il
codice PIN di Windows Hello, viene generato un errore:
"[NotAllowedError](https://www.corbado.com/blog/webauthn-errors): L'operazione è scaduta o non è stata
consentita. Vedi:
[https://www.w3.org/TR/webauthn-2/#sctn-privacy-considerations-client](https://www.w3.org/TR/webauthn-2/#sctn-privacy-considerations-client)".
Dal punto di vista dell'utente, questo è un comportamento piuttosto confuso ma ha senso
poiché potrebbe fornire informazioni sulle passkey dell'utente senza il suo consenso.

![Bluetooth Windows 10 21H2 Edge Transports Internal ](https://www.corbado.com/website-assets/655a41e9c91e9d877f8d69fd_bluetooth_windows_10_21h2_edge_transports_internal_a9be35d4e9.png)

**8.9.1.3 Nessuna proprietà transports impostata**

Nessuna passkey locale corrisponde, quindi viene suggerito di scansionare il codice QR o
utilizzare una chiave di sicurezza hardware (ad es. YubiKey) / autenticatore
multipiattaforma / autenticatore roaming.

![Bluetooth Windows 10 21H2 Edge No Transports](https://www.corbado.com/website-assets/655a41faf4d3d4dd56d0a26c_bluetooth_windows_10_21h2_edge_no_transports_4e859da47f.png)

**8.9.1.4 allowCredentials vuoto**

Come previsto, sono consentite tutte le forme di autenticazione con passkey: tramite
Windows Hello, tramite codice QR e tramite chiavi di sicurezza hardware. Per qualche
motivo, i dispositivi noti non vengono visualizzati.

![Bluetooth Windows 10 21H2 Edge Empty AllowCredentials](https://www.corbado.com/website-assets/656e0f3b6d7434294c3a1609_bluetooth_windows_10_21h2_edge_empty_allowcredentials_b809409ee2.png)

#### 8.9.2 Bluetooth Disabilitato

**8.9.2.1 transports: \[internal, hybrid]**

Questo è un messaggio davvero confuso per gli utenti, poiché non viene dichiarato
esplicitamente cosa dovrebbero fare e come possono autenticarsi. L'unica opzione che hanno
è fare clic su "Annulla", rendendo questo scenario un vicolo cieco.

![No Bluetooth Windows 10 21H2 Edge Transports Internal Hybrid](https://www.corbado.com/website-assets/655a429627bb0b39f6ce94c8_no_bluetooth_windows_10_21h2_edge_transports_internal_hybrid_e2ae87605f.png)

**8.9.2.2 transports: \[internal]**

Questo comportamento è lo stesso del caso in cui il Bluetooth è abilitato. È molto confuso
che all'utente venga richiesto di inserire il codice PIN di Windows Hello (o l'impronta
digitale / scansione del volto se configurata sul dispositivo), anche se abbiamo cambiato
il credential ID (quindi in realtà non dovrebbe trovare la credenziale poiché non è
specificata nella proprietà allowCredentials). Tuttavia, dopo aver inviato il codice PIN
di Windows Hello, viene generato un errore: "NotAllowedError: L'operazione è scaduta o non
è stata consentita. Vedi:
[https://www.w3.org/TR/webauthn-2/#sctn-privacy-considerations-client](https://www.w3.org/TR/webauthn-2/#sctn-privacy-considerations-client)".
Dal punto di vista dell'utente, questo è un comportamento piuttosto confuso ma ha senso
poiché potrebbe fornire informazioni sulle passkey dell'utente senza il suo consenso.

![No Bluetooth Windows 10 21H2 Edge Transports Internal](https://www.corbado.com/website-assets/655a42a263c9530593b69e9d_no_bluetooth_windows_10_21h2_edge_transports_internal_d125e7e90b.png)

**8.9.2.3 Nessuna proprietà transports impostata**

Nessuna passkey locale corrisponde, quindi l'unica opzione che hai è utilizzare una chiave
di sicurezza hardware (ad es. YubiKey) / autenticatore multipiattaforma / autenticatore
roaming.

![No Bluetooth Windows 10 21H2 Edge No Transports](https://www.corbado.com/website-assets/655a42ae341c12df9fc8d407_no_bluetooth_windows_10_21h2_edge_no_transports_3eea0c1f8c.png)

**8.9.2.4 allowCredentials vuoto**

L'autenticazione con passkey è possibile solo tramite Windows Hello e chiavi di sicurezza
hardware.

![No Bluetooth Windows 10 21H2 Edge Empty AllowCredentials](https://www.corbado.com/website-assets/656e0f571d60cb40e25cf67b_no_bluetooth_windows_10_21h2_edge_empty_allowcredentials_9e62a2cb74.png)

### 8.10 Windows 10 22H2 + Chrome 119

#### 8.10.1 Bluetooth Abilitato

**8.10.1.1 transports: \[internal, hybrid]**

Come previsto, nessuna passkey locale corrisponde, quindi viene suggerito di scansionare
il codice QR e utilizzare la passkey su un altro dispositivo (poiché il sistema sa che
esiste una passkey per questo utente).

![Bluetooth Windows 10 22H2 Chrome Transports Internal Hybrid](https://www.corbado.com/website-assets/655a42cf056f1bc183bd3de9_bluetooth_windows_10_22h2_chrome_transports_internal_hybrid_7233c3d8c3.png)

**8.10.1.2 transports: \[internal]**

In modo piuttosto confuso, viene richiesto di inserire il codice PIN di Windows Hello (o
l'impronta digitale / scansione del volto se configurata sul dispositivo), anche se
abbiamo cambiato il credential ID (quindi in realtà non dovrebbe trovare la credenziale
poiché non è specificata nella proprietà allowCredentials). Tuttavia, dopo aver inviato il
codice PIN di Windows Hello, viene generato un errore: "NotAllowedError: L'operazione è
scaduta o non è stata consentita. Vedi:
[https://www.w3.org/TR/webauthn-2/#sctn-privacy-considerations-client](https://www.w3.org/TR/webauthn-2/#sctn-privacy-considerations-client)".
Dal punto di vista dell'utente, questo è un comportamento piuttosto confuso ma ha senso
poiché potrebbe fornire informazioni sulle passkey dell'utente senza il suo consenso.

![Bluetooth Windows 10 22H2 Chrome Transports Internal ](https://www.corbado.com/website-assets/655a42e631cdcff15a6b0005_bluetooth_windows_10_22h2_chrome_transports_internal_70cb5c42ca.png)

**8.10.1.3 Nessuna proprietà transports impostata**

Nessuna passkey locale corrisponde, quindi viene suggerito di scansionare il codice QR o
utilizzare una chiave di sicurezza hardware (ad es. YubiKey) / autenticatore
multipiattaforma / autenticatore roaming.

![Bluetooth Windows 10 22H2 Chrome No Transports](https://www.corbado.com/website-assets/655a42f5341c12df9fc94321_bluetooth_windows_10_22h2_chrome_no_transports_a1c084933a.png)

**8.10.1.4 allowCredentials vuoto**

Come previsto, sono consentite tutte le forme di autenticazione con passkey: tramite
Windows Hello, tramite codice QR e tramite chiavi di sicurezza hardware. Per qualche
motivo, i dispositivi noti non vengono visualizzati.

![Bluetooth Windows 10 22H2 Chrome Empy AllowCredentials](https://www.corbado.com/website-assets/656e0f6d1df07c2e45039298_bluetooth_windows_10_22h2_chrome_empty_allowcredentials_d14bf6b868.png)

#### 8.10.2 Bluetooth Disabilitato

**8.10.2.1 transports: \[internal, hybrid]**

Questo è un messaggio davvero confuso per gli utenti, poiché non viene dichiarato
esplicitamente cosa dovrebbero fare e come possono autenticarsi. L'unica opzione che hanno
è fare clic su "Annulla", rendendo questo scenario un vicolo cieco. Per qualche motivo,
parti della modale di Sicurezza di Windows sono visualizzate anche in tedesco (una seconda
lingua installata su questo dispositivo).

![No Bluetooth Windows 10 22H2 Chrome Transports Internal Hybrid](https://www.corbado.com/website-assets/655a4361fcb17d5a59e49689_no_bluetooth_windows_10_22h2_chrome_transports_internal_hybrid_46e4dd0f06.png)

**8.10.2.2 transports: \[internal]**

Questo comportamento è lo stesso del caso in cui il Bluetooth è abilitato. È molto confuso
che all'utente venga richiesto di inserire il codice PIN di Windows Hello (o l'impronta
digitale / scansione del volto se configurata sul dispositivo), anche se abbiamo cambiato
il credential ID (quindi in realtà non dovrebbe trovare la credenziale poiché non è
specificata nella proprietà allowCredentials). Tuttavia, dopo aver inviato il codice PIN
di Windows Hello, viene generato un errore: "NotAllowedError: L'operazione è scaduta o non
è stata consentita. Vedi:
[https://www.w3.org/TR/webauthn-2/#sctn-privacy-considerations-client](https://www.w3.org/TR/webauthn-2/#sctn-privacy-considerations-client)".
Dal punto di vista dell'utente, questo è un comportamento piuttosto confuso ma ha senso
poiché potrebbe fornire informazioni sulle passkey dell'utente senza il suo consenso.

![No Bluetooth Windows 10 22H2 Chrome Transports Internal ](https://www.corbado.com/website-assets/655a43754f327a0ea96c0f2f_no_bluetooth_windows_10_22h2_chrome_transports_internal_522e8d235f.png)

**8.10.2.3 Nessuna proprietà transports impostata**

Nessuna passkey locale corrisponde, quindi l'unica opzione che hai è utilizzare una chiave
di sicurezza hardware (ad es. YubiKey) / autenticatore multipiattaforma / autenticatore
roaming.

![No Bluetooth Windows 10 22H2 Chrome No Transports ](https://www.corbado.com/website-assets/655a439c6c7b81432a90cd09_no_bluetooth_windows_10_22h2_chrome_no_transports_64de3d513a.png)

**8.10.2.4 allowCredentials vuoto**

L'autenticazione con passkey è possibile solo tramite Windows Hello e chiavi di sicurezza
hardware.

![No Bluetooth Windows 10 22H2 Chrome Empy AllowCredentials](https://www.corbado.com/website-assets/656e0f96d01b45cb7af49bd0_no_bluetooth_windows_10_22h2_chrome_empty_allowcredentials_3e15754828.png)

### 8.11 Windows 10 22H2 + Edge 119

#### 8.11.1 Bluetooth Abilitato

**8.11.1.1 transports: \[internal, hybrid]**

Come previsto, nessuna passkey locale corrisponde, quindi viene suggerito di scansionare
il codice QR e utilizzare la passkey su un altro dispositivo (poiché il sistema sa che
esiste una passkey per questo utente).

![Bluetooth Windows 10 22H2 Edge Transports Internal Hybrid](https://www.corbado.com/website-assets/655a4304fcb17d5a59e4440a_bluetooth_windows_22h2_edge_transports_internal_hybrid_bda614e4bf.png)

**8.11.1.2 transports: \[internal]**

In modo piuttosto confuso, viene richiesto di inserire il codice PIN di Windows Hello (o
l'impronta digitale / scansione del volto se configurata sul dispositivo), anche se
abbiamo cambiato il credential ID (quindi in realtà non dovrebbe trovare la credenziale
poiché non è specificata nella proprietà allowCredentials). Tuttavia, dopo aver inviato il
codice PIN di Windows Hello, viene generato un errore: "NotAllowedError: L'operazione è
scaduta o non è stata consentita. Vedi:
[https://www.w3.org/TR/webauthn-2/#sctn-privacy-considerations-client](https://www.w3.org/TR/webauthn-2/#sctn-privacy-considerations-client)".
Dal punto di vista dell'utente, questo è un comportamento piuttosto confuso ma ha senso
poiché potrebbe fornire informazioni sulle passkey dell'utente senza il suo consenso.

![Bluetooth Windows 10 22H2 Edge Transports Internal ](https://www.corbado.com/website-assets/655a43410ef35b5c92083b17_bluetooth_windows_10_22h2_edge_transports_internal_38d6fb5bcd.png)

**8.11.1.3 Nessuna proprietà transports impostata**

Nessuna passkey locale corrisponde, quindi viene suggerito di scansionare il codice QR o
utilizzare una chiave di sicurezza hardware (ad es. YubiKey) / autenticatore
multipiattaforma / autenticatore roaming.

![Bluetooth Windows 10 22H2 Edge No Transports ](https://www.corbado.com/website-assets/655a4351056f1bc183bd7dad_bluetooth_windows_10_22h2_edge_no_transports_3c0dc6ae7d.png)

**8.11.1.4 allowCredentials vuoto**

Come previsto, sono consentite tutte le forme di autenticazione con passkey: tramite
Windows Hello, tramite codice QR e tramite chiavi di sicurezza hardware. Per qualche
motivo, i dispositivi noti non vengono visualizzati.

![Bluetooth Windows 10 22H2 Edge Empty AllowCredentials](https://www.corbado.com/website-assets/656e0fab2483530de38bce47_bluetooth_windows_10_22h2_edge_empty_allowcredentials_6f687e0ba4.png)

#### 8.11.2 Bluetooth Disabilitato

**8.11.2.1 transports: \[internal, hybrid]**

Questo è un messaggio davvero confuso per gli utenti, poiché non viene dichiarato
esplicitamente cosa dovrebbero fare e come possono autenticarsi. L'unica opzione che hanno
è fare clic su "Annulla", rendendo questo scenario un vicolo cieco.

![No Bluetooth Windows 10 22H2 Edge Transports Internal Hybrid](https://www.corbado.com/website-assets/655a43bb58ede3292022c780_no_bluetooth_windows_10_22h2_edge_transports_internal_hybrid_fde74a565b.png)

**8.11.2.2 transports: \[internal]**

Questo comportamento è lo stesso del caso in cui il Bluetooth è abilitato. È molto confuso
che all'utente venga richiesto di inserire il codice PIN di Windows Hello (o l'impronta
digitale / scansione del volto se configurata sul dispositivo), anche se abbiamo cambiato
il credential ID (quindi in realtà non dovrebbe trovare la credenziale poiché non è
specificata nella proprietà allowCredentials). Tuttavia, dopo aver inviato il codice PIN
di Windows Hello, viene generato un errore: "NotAllowedError: L'operazione è scaduta o non
è stata consentita. Vedi:
[https://www.w3.org/TR/webauthn-2/#sctn-privacy-considerations-client](https://www.w3.org/TR/webauthn-2/#sctn-privacy-considerations-client)".
Dal punto di vista dell'utente, questo è un comportamento piuttosto confuso ma ha senso
poiché potrebbe fornire informazioni sulle passkey dell'utente senza il suo consenso.

![No Bluetooth Windows 10 22H2 Edge Transports Internal](https://www.corbado.com/website-assets/655a43c99e315820aa7f52dd_no_bluetooth_windows_10_22h2_edge_transports_internal_8b67007e33.png)

**8.11.2.3 Nessuna proprietà transports impostata**

Nessuna passkey locale corrisponde, quindi l'unica opzione che hai è utilizzare una chiave
di sicurezza hardware (ad es. YubiKey) / autenticatore multipiattaforma / autenticatore
roaming.

![No Bluetooth Windows 10 22H2 Edge No Transports ](https://www.corbado.com/website-assets/655a43d487a5a72a403ed731_no_bluetooth_windows_10_22h2_edge_no_transports_68b9f0f7a2.png)

**8.11.2.4 allowCredentials vuoto**

L'autenticazione con passkey è possibile solo tramite Windows Hello e chiavi di sicurezza
hardware.

![No Bluetooth Windows 10 22H2 Edge Empty AllowCredentials](https://www.corbado.com/website-assets/656e0fc8ebf49396fbbf5852_no_bluetooth_windows_10_22h2_edge_empty_allowcredentials_deaa7e2395.png)

## 9. Raccomandazioni per gli Sviluppatori

### 9.1 Suggerimenti per l'Implementazione

- Utilizzare librerie e framework che astraggono alcune delle complessità della pura API
  WebAuthn.
- Considerare gli scenari di autenticazione multipiattaforma fin dall'inizio per garantire
  che un'ampia base di utenti possa beneficiare della vostra implementazione di passkey. A
  seconda delle vostre scelte di progettazione, potete anche offrire metodi di accesso
  alternativi in questi scenari.
- Sviluppare meccanismi di fallback per scenari in cui l'autenticazione multipiattaforma
  con passkey (trasporto ibrido) potrebbe non essere possibile a causa di limitazioni del
  dispositivo.
- La più grande decisione di progettazione è decidere se si desidera promuovere
  l'autenticazione passkey multipiattaforma tramite codice QR / Bluetooth (trasporto
  ibrido) e renderla un metodo prominente per l'autenticazione con passkey o utilizzare
  degli hint per non promuoverla attivamente. In quest'ultimo caso, si cerca sempre di
  utilizzare immediatamente le passkey memorizzate internamente e solo se non viene
  trovata alcuna passkey interna, viene visualizzato un codice QR per l'autenticazione
  multipiattaforma (trasporto ibrido). Questo deve essere definito nelle opzioni del
  vostro server WebAuthn nelle proprietà
  [excludeCredentials](https://www.corbado.com/glossary/excludecredentials) e allowCredentials. Nella proprietà
  [excludeCredentials](https://www.corbado.com/glossary/excludecredentials) del vostro server WebAuthn, potete
  vedere le informazioni di trasporto sulle credenziali già create. Nella proprietà
  allowCredentials, potete specificare il comportamento nel processo di accesso (vedi test
  [sopra](#8-test-reale-comportamento-delle-passkey-con-trasporto-ibrido)).
- Inoltre, non è possibile impedire completamente l'autenticazione passkey
  multipiattaforma (trasporto ibrido) (vedi i test sopra con transports: \[internal]),
  quindi è necessario essere preparati al fatto che i vostri utenti troveranno questo
  metodo e avranno domande. La comparsa di questa autenticazione multipiattaforma
  (trasporto ibrido) si verificherà in particolare se gli utenti iniziano a eliminare le
  passkey localmente.

### 9.2 Strategie Educative

- Creare guide e tutorial completi che accompagnino gli utenti attraverso il processo di
  autenticazione passkey multipiattaforma (trasporto ibrido).
- Utilizzare tooltip in-app e sezioni di aiuto contestuale per guidare gli utenti durante
  la loro prima esperienza di autenticazione passkey multipiattaforma (trasporto ibrido).
- Fornire sezioni [FAQ](https://www.corbado.com/faq) e di risoluzione dei problemi sul vostro sito web o
  all'interno dell'applicazione.

### 9.3 Considerazioni sull'Accesso Temporaneo

- Implementare sessioni a tempo per gli accessi con passkey tramite codice QR o Bluetooth
  per garantire che l'accesso sia solo temporaneo e sicuro.
- Assicurarsi che l'autenticazione passkey multipiattaforma (trasporto ibrido) non
  comprometta alcun protocollo di sicurezza esistente, mantenendo l'integrità dei dati
  dell'utente.
- Considerare le implicazioni sulla privacy e garantire che qualsiasi accesso temporaneo
  concesso tramite l'autenticazione passkey multipiattaforma (trasporto ibrido) sia
  registrato e monitorato secondo le migliori pratiche di sicurezza.

## 10. Conclusione: Passkey con Codice QR / Bluetooth

L'autenticazione passkey multipiattaforma tramite codice QR / Bluetooth (trasporto ibrido)
offre un equilibrio tra sicurezza e UX. Tuttavia, è un processo completamente nuovo per la
maggior parte degli utenti e potrebbe causare molte situazioni confuse, quindi è
necessario riflettere attentamente se si desidera promuoverlo.

Speriamo di aver fatto un po' di luce sull'argomento dell'autenticazione passkey
multipiattaforma (trasporto ibrido) tramite codice QR / Bluetooth, spiegando come
configurare le [cose](https://www.corbado.com/blog/webauthn-pubkeycredparams-credentialpublickey) e come si
presenta il comportamento su diverse combinazioni di dispositivo / browser. Se avete
domande, non esitate a contattarci tramite la nostra
[community di passkeys](https://bit.ly/passkeys-community) o iscrivetevi al nostro
[Substack sulle passkeys](https://passkeys.substack.com/). Rendiamo Internet un posto più
sicuro diffondendo le passkey.