Una passkey non è una password più comoda, è un meccanismo diverso alla radice: quando la crei, il tuo dispositivo genera una coppia di chiavi crittografiche (due numeri matematicamente collegati: uno pubblico, che va al sito, e uno privato, che non esce mai dal tuo telefono o computer). Per accedere, il sito manda una specie di "domanda" cifrata con la chiave pubblica, e solo il tuo dispositivo — sbloccato con impronta, volto o PIN locale — può rispondere correttamente usando la chiave privata.
La differenza pratica con la password è enorme: non c'è nessun segreto condiviso da intercettare o rubare con il phishing, perché la chiave privata resta sul dispositivo (spesso dentro un chip dedicato, il "secure enclave") e la passkey è agganciata al dominio esatto del sito — non funziona su un clone, anche identico. Lo standard sotto il cofano si chiama WebAuthn/FIDO2, e oggi i principali browser e sistemi operativi lo supportano di base.