Microsoft dice addio alle password: i nuovi account saranno passwordless per impostazione predefinita
Microsoft ha compiuto un ulteriore passo verso l’autenticazione moderna eliminando le password come impostazione predefinita per i nuovi account. Una scelta che segna una svolta concreta nella strategia dell’azienda in tema di sicurezza e accessibilità, puntando su soluzioni più robuste come Windows Hello, app di autenticazione e chiavi FIDO2.
Il passaggio a un approccio passwordless riduce drasticamente i rischi legati al phishing, alle violazioni per forza bruta e al riutilizzo delle credenziali. In concreto, i nuovi account Microsoft saranno impostati per autenticarsi tramite sistemi alternativi come Windows Hello (riconoscimento facciale, impronta digitale o PIN locale), Microsoft Authenticator (notifiche push su dispositivo mobile) o chiavi fisiche FIDO2. Nessuna password tradizionale sarà richiesta né durante la creazione dell’account né nei successivi accessi. Per chi gestisce infrastrutture IT o sistemi integrati con Azure Active Directory, è il momento ideale per rivedere le policy di provisioning, assicurarsi che tutti i dispositivi siano conformi ai requisiti di sicurezza hardware come il supporto TPM, e adottare strumenti come Conditional Access per mantenere coerenza, controllo granulare e sicurezza su larga scala.
Gli amministratori avanzati dovrebbero già testare le integrazioni con Microsoft Authenticator, gestire i dispositivi abilitati TPM e configurare fallback biometrici affidabili per evitare attriti nella user experience. È consigliabile inoltre monitorare costantemente l’attività d’accesso attraverso Microsoft Entra per intercettare comportamenti anomali che potrebbero indicare tentativi di compromissione.
Nella migrazione di ambienti legacy, uno degli aspetti più sottovalutati è la gestione del supporto per applicazioni meno recenti non compatibili con metodi moderni. In questi casi, l’uso dei token temporanei e delle sessioni di accesso pre-autenticate può rappresentare una transizione efficace senza compromettere la sicurezza globale del tenant.
Non bisogna infine trascurare l’aspetto della formazione utente. Anche in ambienti con utenti esperti, introdurre strumenti passwordless richiede una comunicazione tecnica chiara, una fase di onboarding supervisionata e un supporto continuo per garantire l'adozione completa. Chi lavora già con ecosistemi Microsoft 365 ha tutti gli strumenti per attivare un'architettura zero trust senza compromettere l’operatività quotidiana.