PIN di YubiKey: cos'è e come configurarlo con Yubico Authenticator
⚠️ YubiKey Manager GUI non ha più il supporto ufficiale
Yubico ha ritirato l'interfaccia grafica di YubiKey Manager nel 2025. L'alternativa ufficiale consigliata è Yubico Authenticator. Questa guida è stata aggiornata con le istruzioni corrette per l'app attuale.
Il PIN di YubiKey è il codice che protegge l'accesso alle credenziali archiviate nella tua chiave di sicurezza. Non è la password dei tuoi account — è la password della chiave stessa. Senza di esso, alcuni servizi non ti permetteranno di autenticarti anche se hai la YubiKey in mano.
Cos'è il PIN di YubiKey?
Quando registri la tua YubiKey in un servizio come Gmail o Bitwarden, la chiave salva una credenziale nella sua memoria. Il PIN di FIDO2 protegge l'accesso a quelle credenziali — funge da secondo livello di sicurezza sulla chiave stessa.
Il sistema te lo chiede in due situazioni: quando registri la chiave per la prima volta in un servizio che lo richiede, e quando il servizio richiede una verifica aggiuntiva prima di autenticarti.
La maggior parte delle YubiKey non arrivano con PIN di fabbrica
Questo sorprende molte persone: la maggior parte delle chiavi di sicurezza, inclusa la maggior parte delle YubiKey, vengono vendute senza alcun PIN configurato. Basta un tocco per autenticarti — senza PIN, senza impronta digitale, senza nulla di più. Solo la linea Enhanced PIN di Yubico richiede un PIN di fabbrica; il resto del catalogo, inclusa la YubiKey 5 NFC standard, viene commercializzato senza di esso.
Questo ha una conseguenza diretta: chiunque abbia la chiave in mano è, agli occhi del servizio, il proprietario legittimo. FIDO2 distingue tra due livelli di verifica — la "presenza dell'utente" (basta toccare la chiave) e la "verifica dell'utente" (è necessario dimostrare chi sei, con PIN o impronta). Entrambi i livelli hanno lo stesso sigillo di certificazione, ma solo il secondo rende la tua chiave un vero fattore di autenticazione, non solo "qualcosa che possiedi".
Cosa succede se non lo configuri?
Dipende dal servizio. Molti funzionano senza PIN — semplicemente inserisci la chiave, tocchi il contatto dorato e fatto. Ma alcuni servizi — specialmente ambienti aziendali e certi gestori di password — lo richiedono obbligatoriamente. Se provi a registrare la chiave senza PIN configurato, il processo fallisce.
ℹ️ Meglio configurarlo fin dall'inizio
Non aspettare che un servizio te lo richieda. Configurare il PIN prima di registrare la chiave in nessun posto è la pratica consigliata — e richiede meno di un minuto.
Come configurare il PIN passo dopo passo
Il PIN si configura da Yubico Authenticator, l'app ufficiale di Yubico per gestire la chiave dal computer.
Disponibile su yubico.com/products/yubico-authenticator. Compatibile con Windows, macOS e Linux.
Yubico Authenticator rileva la chiave automaticamente e mostra il modello nel pannello sinistro.
Nel pannello di destra vedrai la sezione MANAGE con l'opzione Set PIN — FIDO PIN protection.
Scegli un PIN che ricordi. Può includere lettere e numeri. Annotalo in un luogo sicuro — nel tuo gestore di password o su carta conservata in un luogo fisico.
⚠️ Limite di tentativi — critico
Se inserisci il PIN errato 8 volte consecutive, il modulo FIDO2 si blocca in modo permanente. Non c'è nessun modo per recuperarlo senza eseguire un Factory reset, che elimina tutte le credenziali registrate. Salva il PIN fin dall'inizio.
Perché a volte non ti chiedono il PIN anche se lo hai impostato?
Configurare il PIN non garantisce che un servizio te lo chieda. La decisione non è tua — è del sito stesso. Al momento dell'accesso, il servizio invia un parametro chiamato userVerification con uno di tre valori possibili: con "discouraged" non viene richiesto il PIN anche se lo hai; con "preferred" (il caso più comune) viene chiesto solo se ne hai configurato uno; solo "required" lo rende davvero obbligatorio.
In pratica, ciò significa che se non hai configurato alcun PIN, nemmeno il valore "preferred" te lo chiederà. E anche se hai il PIN, un servizio con "discouraged" non te lo richiederà. Esiste un modo per aggirare questo — lo spieghiamo subito sotto.
alwaysUV: come forzare il PIN sempre
Se vuoi che la tua YubiKey richieda il PIN sempre, senza dipendere da quello che decide ogni servizio, esiste un'opzione chiamata alwaysUV (verifica utente sempre attiva). Quando è attivata, la chiave richiede il PIN in tutti i casi — anche se il servizio invia "discouraged".
🔑 Attivare alwaysUV dal terminale
Su una YubiKey 5 standard è necessario attivarlo manualmente con lo strumento da riga di comando ykman:
ykman fido info — verifica lo stato attuale
ykman fido config toggle-always-uv — attiva o disattiva l'opzione
Nella serie Bio e nella linea Enhanced PIN di Yubico, alwaysUV viene attivato di fabbrica. Tieni presente che nelle versioni precedenti di Windows (10 22H2 e prime versioni di 11) questa combinazione poteva causare uno scambio continuo tra la richiesta del tocco e quella del PIN — un problema già risolto da Windows 11 23H3.
TI POTREBBE INTERESSARE
La prima cosa che devi fare quando ricevi una YubiKey
Quale PIN scegliere?
Il PIN di FIDO2 può avere tra 4 e 63 caratteri. Può includere lettere, numeri e caratteri speciali — non è solo numerico come il PIN di una carta bancaria.
Scegli qualcosa che puoi ricordare ma che non sia ovvio. Non usare lo stesso PIN della tua password di email né una sequenza semplice come 1234. Un PIN di 8-12 caratteri con lettere e numeri è sufficientemente sicuro per l'uso quotidiano.
Cosa succede se dimentichi il PIN?
Se superi il limite di tentativi o semplicemente non ricordi il PIN, l'unica soluzione è eseguire un Factory reset da Yubico Authenticator — Home → Factory reset. Ciò ripristina la chiave ai valori di fabbrica ed elimina tutte le credenziali FIDO2 registrate.
Dopo il reset dovrai registrare nuovamente la chiave in tutti i servizi dove l'avevi configurata. Per questo è così importante salvare il PIN fin dall'inizio.
⚠️ Senza PIN salvato, il reset è inevitabile
Un Factory reset non è la fine del mondo — la chiave continua a funzionare dopo — ma dovrai ripetere il processo di registrazione in ogni servizio. Salva il PIN nel tuo gestore di password adesso.
PIN di FIDO2 vs altri PIN della YubiKey
La YubiKey ha diversi moduli indipendenti, ognuno con il proprio PIN. Per l'utente base conta solo quello di FIDO2 — gli altri sono per usi avanzati o aziendali.
| Modulo | A cosa serve | Ne hai bisogno? |
|---|---|---|
| FIDO2 | Passkeys, autenticazione in Gmail, GitHub, Bitwarden, ecc. | ✅ Sì — utente base |
| PIV | Certificati digitali, smart card, accesso aziendale | ⚠️ Solo uso professionale |
| OTP | Password monouso al tocco del contatto dorato | ❌ Raro nell'uso quotidiano |
Domande frequenti
Il PIN di YubiKey è la stessa cosa della mia password?
No. Sono cose completamente diverse. La tua password protegge l'accesso al tuo account in un servizio. Il PIN di YubiKey protegge l'accesso alle credenziali archiviate dentro la chiave. Puoi cambiarne uno senza influire sull'altro.
Quanti tentativi ho prima del blocco?
8 tentativi falliti consecutivi bloccano il modulo FIDO2 in modo permanente. Non c'è modo di sbloccarlo senza eseguire un Factory reset, che elimina tutte le credenziali registrate. Un tentativo corretto reimposta il contatore a zero.
Posso cambiare il PIN dopo averlo configurato?
Sì. In Yubico Authenticator → Passkeys → Set PIN puoi cambiare il PIN in qualsiasi momento. Avrai bisogno di inserire il PIN attuale per poterlo cambiare.
Tutti i modelli di YubiKey hanno il PIN di FIDO2?
Sì, tutti i modelli compatibili con FIDO2 — YubiKey 5 NFC, YubiKey 5C NFC, Security Key NFC e Security Key C NFC — supportano il PIN di FIDO2. I modelli più vecchi con solo U2F non lo supportano.
Perché un servizio non mi chiede il PIN se l'ho già configurato?
Perché la decisione di richiederlo dipende dal servizio stesso, non dalla tua chiave. Se il servizio invia il valore "discouraged", non te lo chiederà anche se hai il PIN — a meno che non attivi alwaysUV nella tua YubiKey per forzarlo sempre.
TI POTREBBE INTERESSARE
Cos'è il 2FA e come proteggere i tuoi account con YubiKey?
