--- url: 'https://www.corbado.com/it/blog/provider-passkey' title: 'Provider di passkey: tipi diversi, AAGUID e adozione' description: 'Scopri la differenza tra provider di passkey di prima e terza parte, i provider di autenticazione passkey e il ruolo dell''AAGUID nella gestione delle passkey.' lang: 'it' author: 'Vincent Delitz' date: '2025-12-17T17:23:00.780Z' lastModified: '2026-08-29T06:04:30.433Z' keywords: 'provider di passkey, provider di autenticazione passkey, AAGUID, gestore di password, gestione passkey, prima parte, terza parte' category: 'WebAuthn Know-How' --- # Provider di passkey: tipi diversi, AAGUID e adozione ## Key Facts - Esistono due categorie principali: i **provider di passkey di prima/terza parte** (lato client, sul dispositivo) e i **provider di autenticazione passkey** (lato server, come Corbado, che si integrano nelle app). - I **provider di passkey di prima parte** sono sistemi nativi del sistema operativo come Portachiavi di iCloud e Google Password Manager; i provider di terza parte sono gestori di password che si integrano tramite le API della piattaforma. - Ogni provider di passkey è dotato di un **AAGUID** (Authenticator Attestation Globally Unique Identifier) univoco incorporato nei dati delle credenziali, che consente alle parti soggette a limitazioni (relying party) di identificare ed etichettare le passkey nelle impostazioni dell'account. - L'opzione WebAuthn **excludeCredentials** impedisce agli utenti di registrare più passkey per lo stesso provider, riducendo la confusione e migliorando la UX della gestione dell'account. - A partire da marzo 2024, alcune piattaforme non supportano l'**attestation** (attestazione), il che significa che i valori AAGUID su tali piattaforme non possono essere verificati crittograficamente e dovrebbero essere utilizzati con cautela. ## 1. Introduzione Quando si utilizzano le passkey o si lavora nel campo della loro [implementazione](https://www.corbado.com/it/blog/passkeys-cheat-sheet), un componente diventa piuttosto importante: il **provider di passkey**. Tuttavia, anche se è una parte cruciale nell'ecosistema delle passkey, molte persone hanno solo una comprensione sommaria dei provider di passkey o non conoscono la differenza tra un **provider di passkey di prima parte**, un **provider di passkey di terza parte** e un **provider di autenticazione passkey**. Questo post del blog si propone di fare luce sull'argomento. Che tu sia uno sviluppatore di software, un product manager o semplicemente un curioso delle ultime novità in materia di [sicurezza](https://www.corbado.com/it/faq/exchange-criptovalute-passkey) web, è essenziale comprendere il ruolo e i tipi di provider di passkey. Demistificando questo argomento, cerchiamo di fornire alle persone le conoscenze per comprendere le passkey con [sicurezza](https://www.corbado.com/it/faq/exchange-criptovalute-passkey). ## 2. Cos'è un provider di passkey? Un provider di passkey svolge un ruolo fondamentale nell'ecosistema dell'[autenticazione](https://www.corbado.com/it/blog/test-password-manager-terze-parti-per-passkey-app-native) basata su passkey, fungendo da ponte tra i dispositivi degli utenti e l'accesso sicuro e continuo alle parti soggette a limitazioni (relying party o servizi online). Ma cos'è esattamente un provider di passkey, soprattutto dal momento che non esiste una definizione ufficiale e si trovano diverse interpretazioni online? La seguente definizione riflette la nostra comprensione e non ha la pretesa di essere l'unica definizione accurata. Un provider di passkey è essenzialmente un'entità che consente la creazione, la gestione e l'uso delle passkey. Attraverso la nostra ricerca, abbiamo identificato due categorie principali sotto le quali possono essere classificati i provider di passkey: **provider di passkey di prima/terza parte e provider di autenticazione passkey.** ### 2.1 Provider di passkey di prima e terza parte Questa categoria include entità in grado di generare una passkey sul lato client (sul dispositivo dell'utente). Quando viene creata una passkey tramite queste piattaforme, essa viene gestita e memorizzata in modo sicuro, spesso nel cloud del produttore di un sistema operativo (ad es., Portachiavi di iCloud, [Google Password Manager](https://www.corbado.com/blog/how-to-use-google-password-manager)) o in un gestore di password di terza parte (ad es., [KeePassXC](https://www.corbado.com/blog/keepassxc-passkeys), [1Password](https://www.corbado.com/blog/1password-passkeys-best-practices-analysis), [Dashlane](https://www.corbado.com/blog/dashlane-passkeys) – vedi sotto per maggiori dettagli). I sistemi operativi che consentono la creazione e la gestione nativa delle passkey sono considerati **provider di passkey di prima parte**. Al contrario, i gestori di password di terza parte che si integrano con la piattaforma tramite le API sono definiti **provider di passkey di terza parte.** Un provider di passkey di prima o terza parte possiede gli stessi [AAGUID](https://www.corbado.com/glossary/aaguid) (Authenticator [Attestation](https://www.corbado.com/glossary/attestation) Globally Unique Identifiers), che aiutano a migliorare l'esperienza utente (ad es. nelle impostazioni dell'account per distinguere più facilmente le passkey). A volte potrebbero avere [AAGUID](https://www.corbado.com/glossary/aaguid) multipli, che appartengono tutti allo stesso provider di passkey di prima o terza parte. ![Panoramica dei provider di passkey su iOS](https://www.corbado.com/website-assets/66020491f8cbcc407a429682_passkey_provider_ios_overview_3c920aab61.jpg) Provider di passkey su un dispositivo [iOS 17](https://www.corbado.com/blog/apple-passkeys-integration).4 ![Panoramica dei provider di passkey su Android](https://www.corbado.com/website-assets/660204a496780a14617298af_passkey_provider_android_overview_4ab35ad218.jpg) Provider di passkey su un dispositivo [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android) 14 ![API Credential Manager per i provider di passkey](https://www.corbado.com/website-assets/660204bcc78ddc305c676c26_passkey_provider_android_credential_manager_api_a0cec0e7a8.jpg) L'API Credential Manager di [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android) ### 2.2 Provider di autenticazione passkey La seconda categoria comprende i provider di [autenticazione](https://www.corbado.com/it/blog/test-password-manager-terze-parti-per-passkey-app-native) che gli [sviluppatori](https://www.corbado.com/it/blog/passkeys-cheat-sheet) possono integrare nelle loro applicazioni per gestire tutti gli aspetti della gestione delle passkey. Si tratta quindi di provider che operano maggiormente sul lato server (rispetto al lato client menzionato sopra). Questa definizione includerebbe anche soluzioni come Corbado, che offrono soluzioni di [autenticazione](https://www.corbado.com/it/blog/test-password-manager-terze-parti-per-passkey-app-native) incentrate sulle passkey a siti web e app. Di conseguenza, questi provider di passkey dovrebbero essere descritti più accuratamente come **provider di autenticazione passkey**, differenziandoli dai suddetti provider di passkey di prima e terza parte. Nelle prossime sezioni di questo post del blog, utilizzeremo il termine "provider di passkey" per riferirci ai provider di passkey di prima e terza parte, in conformità con la nostra definizione. ## 3. Identificare i provider di passkey tramite l'AAGUID Mentre gli utenti iniziano ad adottare le passkey per varie [relying party](https://www.corbado.com/glossary/relying-party), gestirle in modo efficace emerge come una sfida significativa. Questo vale anche per gli utenti che utilizzano più passkey per un singolo account, poiché differenziare queste passkey a scopo di modifica o eliminazione può essere complesso per una [relying party](https://www.corbado.com/glossary/relying-party). Nonostante la convenienza e la [sicurezza](https://www.corbado.com/it/faq/exchange-criptovalute-passkey) che le passkey offrono, c'è un potenziale problema se un utente perde una delle sue passkey. Fortunatamente, può comunque accedere al proprio account sulla [relying party](https://www.corbado.com/glossary/relying-party) utilizzando [passkey alternative](https://www.corbado.com/blog/best-ping-identity-alternatives). Per aiutare gli utenti a identificare passkey specifiche, alcune risorse suggeriscono di associare metadati, come le date di creazione e di ultimo utilizzo, a una passkey nelle impostazioni dell'account. Inoltre, si consiglia di utilizzare [user agent](https://www.corbado.com/blog/client-hints-user-agent-chrome-safari-firefox) o client hint per nominare e categorizzare automaticamente le passkey al momento della creazione. Tuttavia, le [app native](https://www.corbado.com/it/blog/webauthn-relying-party-id-rpid-passkey) [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android) o [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios), così come i provider di passkey di terza parte, potrebbero non utilizzare [user agent](https://www.corbado.com/blog/client-hints-user-agent-chrome-safari-firefox) o non aggiungere informazioni che indichino che una passkey è stata generata da un provider di passkey di terza parte. Questa limitazione evidenzia la necessità di metodi migliorati per aiutare gli utenti a gestire le loro passkey in modo efficiente, indipendentemente dalla piattaforma o dal provider. ![Attestazione AAGUID della chiave pubblica del provider di passkey](https://www.corbado.com/website-assets/660204cff8362ee32c3721b1_passkey_provider_aaguid_public_key_attestation_914fbbe16c.jpg) Tratto dalle [specifiche WebAuthn del W3C](https://www.w3.org/TR/webauthn-2/#attestation-object) Per facilitare questa gestione delle passkey, gli [sviluppatori](https://www.corbado.com/it/blog/passkeys-cheat-sheet) possono usufruire dell'[AAGUID](https://www.corbado.com/glossary/aaguid) (Authenticator [Attestation](https://www.corbado.com/glossary/attestation) Globally Unique Identifier). L'AAGUID è un identificatore univoco assegnato al modello dell'autenticatore, non alla sua istanza specifica. È incorporato nei dati dell'autenticatore delle credenziali a chiave pubblica, offrendo alle relying party un modo per identificare il provider di passkey. Questa funzionalità è cruciale per aiutare gli utenti e le relying party a orientarsi nel panorama delle passkey, garantendo che ogni passkey possa essere associata in modo accurato alla sua fonte di creazione. ![Impostazioni dell'account del provider di passkey](https://www.corbado.com/website-assets/6602067c72dd23f23af8230b_passkey_provider_account_settings_7d63a12f19.jpg) Ad esempio, se una passkey viene creata utilizzando [Google Password Manager](https://www.corbado.com/blog/how-to-use-google-password-manager) su un dispositivo Android, la relying party può ricevere un AAGUID specifico per [Google Password Manager](https://www.corbado.com/blog/how-to-use-google-password-manager). Facendo riferimento a questo AAGUID, la relying party può quindi etichettare la passkey di conseguenza, semplificando la gestione e l'identificazione per l'utente. Inoltre, le relying party possono impedire la creazione di più passkey per lo stesso provider di passkey utilizzando l'opzione [server WebAuthn](https://www.corbado.com/it/blog/implementazione-server-webauthn) `excludeCredentials`. Questo migliora ulteriormente la UX delle passkey poiché ogni provider di passkey avrà solo una passkey, evitando così la confusione dell'utente. ```json { "attestation": "none", "authenticatorSelection": { "residentKey": "preferred", "userVerification": "preferred" }, "challenge": "6V61d0VM5bNTPxWSsrv7YKz0o4awe0ryoDh1V44RPRn6-mBQwv98BTRws6nMrBhEggGn7-tk1bl3YNSwc0oZpA", "excludeCredentials": [ { "id": "1kBn2dmhv5JhuFxqeco1khCBCUBLlWYqZmFtdDujH5pM", "transports": ["internal"], "type": "public-key" } ], "extensions": { "credProps": true }, "pubKeyCredParams": [ { "alg": -7, "type": "public-key" }, { "alg": -257, "type": "public-key" } ], "rp": { "id": "Passkey Demo", "name": "passkeys.eu" }, "user": { "displayName": "Test Name", "id": "ZG1sdVkyVnxe3SFJsYzNR", "name": "Test Name" } } ``` Per determinare il provider di passkey utilizzando un AAGUID, le relying party possono fare riferimento a un [repository di AAGUID basato sulla community](https://github.com/passkeydeveloper/passkey-authenticator-aaguids/blob/main/aaguid.json). Questo repository fornisce le mappature necessarie per identificare il provider di passkey tramite il nome e, potenzialmente, tramite un'icona, contribuendo a fornire un'interfaccia utente più intuitiva per la gestione delle passkey. Tuttavia, è importante notare che alcuni provider di passkey potrebbero utilizzare intenzionalmente un AAGUID generico ("00000000-0000-0000-0000-0000000000000"), che rappresenta un provider sconosciuto o generico. ![Estensione per Chrome del provider di passkey su Windows 11](https://www.corbado.com/website-assets/6602050796780a146172f1b5_passkey_provider_windows_11_chrome_extension_ac55618f99.jpg) Il recupero dell'AAGUID è semplice con la maggior parte delle librerie WebAuthn. Per esempio, quando si utilizza SimpleWebAuthn sul lato server, gli [sviluppatori](https://www.corbado.com/it/blog/passkeys-cheat-sheet) possono estrarre l'AAGUID dalle informazioni di registrazione per abbinarlo a un provider noto, migliorando la capacità dell'utente di gestire le proprie passkey con maggiore facilità (tratto dall'articolo di Google ["Determinare il provider di passkey con AAGUID"](https://web.dev/articles/webauthn-aaguid)). ```js // Import a list of AAGUIDs from a JSON file import aaguids from "./aaguids.json" with { type: "json" }; // ... // Use SimpleWebAuthn handy function to verify the registration request. const { verified, registrationInfo } = await verifyRegistrationResponse({ response: credential, expectedChallenge, expectedOrigin, expectedRPID, requireUserVerification: false, }); // ... const { aaguid } = registrationInfo; const provider_name = aaguids[aaguid]?.name || "Unknown"; ``` Sebbene gli AAGUID offrano un potente strumento per la gestione delle passkey, dovrebbero essere usati con cautela. L'integrità di un AAGUID dipende dal processo di [attestation](https://www.corbado.com/glossary/attestation), che convalida l'autenticità del provider di passkey. Senza una firma di attestation valida, gli AAGUID potrebbero potenzialmente essere manipolati. A partire da marzo 2024, vale la pena notare che le passkey su alcune piattaforme non supportano l'attestation, evidenziando la necessità di un'attenta considerazione nel loro utilizzo. Di seguito, trovi un elenco non esaustivo di provider di passkey di prima e terza parte per app Android, app [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios) e app web che utilizzano versioni del sistema operativo e browser molto comuni: ## 4. Elenco dei provider di passkey per Android, iOS e Web Di seguito, trovi alcuni dei popup dei provider di passkey di terza parte per creare/salvare una passkey: ![Panoramica dei provider di passkey](https://www.corbado.com/website-assets/6602059469184035155c39b2_passkey_provider_overview_d3a9d2aa0d.jpg) ### 4.1 1Password ![Provider di passkey 1Password](https://www.corbado.com/website-assets/6602051872dd23f23af6efeb_passkey_provider_1password_182419eac7.jpg) Vedi l'analisi completa di [1Password](https://www.corbado.com/blog/1password-passkeys-best-practices-analysis) qui. ### 4.2 Bitwarden ![Provider di passkey Bitwarden](https://www.corbado.com/website-assets/66020543d45df446d808f8be_passkey_provider_bitwarden_c2ad9ace74.jpg) ### 4.3 Dashlane ![Provider di passkey Dashlane](https://www.corbado.com/website-assets/6602054e5d90ccaee46a7102_passkey_provider_dashlane_a8e2592763.jpg) Vedi l'analisi completa di [Dashlane](https://www.corbado.com/blog/dashlane-passkeys) qui. ### 4.4 Enpass ![Provider di passkey Enpass](https://www.corbado.com/website-assets/6602055372dd23f23af729dc_passkey_provider_enpass_d2badd92a3.jpg) ### 4.5 KeePassXC Vedi l'analisi completa di [KeePassXC](https://www.corbado.com/blog/keepassxc-passkeys) qui. ### 4.6 Keeper ![Provider di passkey Keeper](https://www.corbado.com/website-assets/660205613aec28be45cef73a_passkey_provider_keeper_64f5049903.jpg) ### 4.7 NordPass ![Provider di passkey NordPass](https://www.corbado.com/website-assets/66020569e448465f8587856b_passkey_provider_nordpass_0787926c6e.jpg) ### 4.8 Proton ![Provider di passkey Proton](https://www.corbado.com/website-assets/66020579babefde183f29464_passkey_provider_proton_5b7d529cdc.jpg) ## 5. Conclusione Fondamentale per la distribuzione e la gestione delle passkey è il ruolo dei provider di passkey, entità che non solo facilitano la creazione e la gestione delle passkey, ma ne garantiscono anche la perfetta integrazione su diverse piattaforme e dispositivi. L'obiettivo di questo post del blog era comprendere cos'è un provider di passkey, inclusa la distinzione tra provider di prima e terza parte, nonché il ruolo fondamentale dell'AAGUID (Authenticator Attestation Globally Unique Identifier). L'uso degli AAGUID, come discusso, offre una soluzione promettente, consentendo un'identificazione e una gestione più semplice delle passkey. Inoltre, abbiamo analizzato quali provider di passkey di prima e terza parte esistono attualmente per Android, [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios) e Windows, aiutando anche gli utenti a trovare un provider di passkey di terza parte adatto o il loro dispositivo preferito. Per sviluppatori e product manager, le informazioni sui provider di passkey e sulla loro gestione non solo guidano l'[implementazione](https://www.corbado.com/it/blog/passkeys-cheat-sheet) tecnica dell'autenticazione passkey, ma si allineano anche all'obiettivo più ampio di migliorare l'esperienza e la sicurezza dell'utente.