# Google Ads: passkey obbligatoria dal 19 agosto

> 19 agosto 2026: Google Ads chiede la passkey per le azioni sensibili. Una chiave nuova può richiedere 7 giorni, quindi la data vera è il 12.

Source: https://cittago.com/it/blog/google-ads-passkey-19-august-2026/  
Publisher: Cittago — a digital studio in Cluj-Napoca, est. 2011  
Published: 2026-08-06  
Language: it

---

Apri Google Ads e guarda con quale indirizzo sei entrato. Se finisce con @gmail.com, @libero.it o @virgilio.it, questa notizia ti riguarda due volte: per la passkey che diventa obbligatoria il 19 agosto, e per una restrizione parallela che tocca proprio gli indirizzi gratuiti.

**Cosa cambia.** Dal 19 agosto 2026 alcune operazioni dentro l'account Google Ads — aggiungere un utente, cambiare i permessi di qualcuno, collegare l'account a un altro, modificare i dati di pagamento — richiedono una passkey. Non una password, non un codice via SMS.

**Perché non riguarda tutti.** Se nessuno tocca la struttura dell'account, le campagne continuano a girare. Se cambi agenzia, cambi carta o dai accesso a un collaboratore, ti fermi lì.

**Cosa ti porti a casa.** Il calcolo che quasi nessuno ha fatto: una chiave nuova può richiedere fino a sette giorni per attivarsi, quindi la data che conta non è il 19 agosto.

- Cosa succede agli account intestati a un indirizzo gratuito, e perché in Italia sono tanti.
- Le quattro operazioni esatte che si bloccano, per capire in dieci secondi se ti riguarda.
- Cosa chiedere a chi ti gestisce l'account prima di ferragosto.
- Perché la password dell'account non si può più passare su WhatsApp, e cosa la sostituisce.

Partiamo dalla parte di cui si è parlato meno, perché in Italia è quella che pesa di più.

## Gli indirizzi email gratuiti perdono un pezzo di potere

In parallelo alla passkey, Google sta testando una seconda restrizione: gli account a cui si accede da **indirizzi email gratuiti** — @gmail.com, @yahoo.com e simili — non possono più completare le azioni sensibili. L'utente va spostato su un dominio aziendale. L'ho letto su [Search Engine Roundtable del 6 agosto](https://www.seroundtable.com/google-ads-free-email-account-security-41827.html); Google la descrive in una pagina di assistenza separata da quella sulla passkey.

Il resto non cambia: report, modifiche ordinarie alle campagne, tutto come prima, in base al livello di accesso. Si bloccano solo le operazioni della lista qui sotto.

Per ora è un **pilota**, non una regola generale. La documentazione Google è esplicita: *„This update is currently being piloted for a subset of advertisers. You will receive an email notification if your account is enrolled.”* Quindi non tutti la vedono adesso. Ma spostare un account da un indirizzo personale a uno aziendale non è un'operazione da fare di corsa, con la carta scaduta e le campagne ferme.

Perché in Italia conta più che altrove: la ditta individuale e la PMI sotto i dieci dipendenti hanno spessissimo l'account intestato all'indirizzo personale del titolare, o a quello del ragazzo che l'ha aperto quattro anni fa. Lo vediamo ogni volta che prendiamo in gestione un account. Dell'economia di quegli account abbiamo scritto in [quanto costa un clic a Firenze](https://cittago.com/it/blog/google-ads-cluj-cifre-2026/).

## Che cos'è una passkey

**Definizione:** una passkey è una chiave di accesso personale, custodita nel telefono o nel computer e sbloccata con l'impronta, il volto o il codice dello schermo, che sostituisce la password quando Google deve avere la certezza che sei tu.

La documentazione Google Ads lo dice senza giri di parole: la chiave è *sempre personale* ed è una credenziale crittografica unica, legata al dispositivo di una persona e al suo profilo biometrico. *Non può essere inviata a un gruppo.*

## Le quattro operazioni che si bloccano

- **Aggiungere un nuovo utente** all'account.
- **Cambiare i permessi** di chi ha già accesso.
- **Accettare un nuovo collegamento con un account amministratore** (MCC) o modificare quelli esistenti.
- **Modificare i dati di pagamento** — carta, fatturazione, intestazione.

Sono esattamente i momenti in cui cambi qualcuno. E arrivano quasi sempre impacchettati nella fretta: lasci l'agenzia, ti scade la carta, ti serve l'accesso per un collaboratore entro domani.

## La data che conta è il 12, non il 19

Una passkey nuova non è utilizzabile subito. La documentazione Google Ads descrive tre soglie di attesa: un giorno o due perché la chiave si associ a Google Ads; 48 ore consigliate prima di usarla per attività sensibili; e un **periodo di sicurezza che può arrivare a sette giorni**. La stessa cifra circola nella stampa di settore, detta più brutalmente: una chiave nuova può richiedere fino a sette giorni prima di funzionare davvero.

*La parte dorata non è lavoro: è attesa. Per questo il giorno in cui inizi conta più del giorno della scadenza.*

E c'è un dettaglio di calendario che vale la pena vedere intero: il **17 agosto** entra anche il cambio di offerta di cui abbiamo scritto due settimane fa, nell'[articolo sul CPA target](https://cittago.com/it/blog/google-ads-target-cpa-august-2026/). Due scadenze Google nella stessa settimana, su due piani diversi dello stesso account. Se hai intenzione di aprire Google Ads una volta sola questo mese, quella è la settimana.

## Come si crea, in dieci minuti

1. Entra nell'account Google con cui accedi a Google Ads — non dentro Google Ads, ma nelle impostazioni di sicurezza dell'account Google.
2. Cerca „passkey” o „chiavi di accesso” e creane una sul dispositivo che usi di solito.
3. Conferma con impronta, volto o codice dello schermo. Non devi inventarti niente di nuovo.
4. Ripeti sul secondo dispositivo. È il passaggio che salta la maggior parte delle persone ed è il più importante: una sola chiave su un solo telefono significa che il telefono perso è l'account bloccato.
5. Segna in agenda la data fra sette giorni. Fino ad allora non dare per scontato che funzioni: verifica.
6. Già che ci sei, guarda chi altro ha accesso all'account. Salta fuori sempre qualche indirizzo che non ti aspettavi.

*Questa è la schermata che ti fermerà, se la passkey non c'è. Non spiega nulla e non offre alternative.*

## I domini email consentiti, la cosa più utile che puoi fare oggi

Google Ads ha da tempo una funzione chiamata *domini email consentiti*: imposti il dominio dell'azienda e l'account non può più essere invitato su indirizzi esterni. La documentazione lo spiega senza ambiguità — se imposti „esempio.it” come dominio consentito, puoi invitare utente@esempio.it ma non utente@gmail.com.

È la misura di igiene più economica di tutto Google Ads, si imposta una volta, e non la usa quasi nessuno.

## La scadenza già passata: le API, dal 5 agosto

C'è una seconda modifica, separata, già in vigore. Dal **5 agosto 2026** le API di Google Ads richiedono una passkey quando si generano credenziali nuove — più precisamente token OAuth 2.0 di aggiornamento. L'annuncio è sul blog per sviluppatori di Google del 27 luglio.

Sembra roba da programmatori, ma la conseguenza è concreta: qualsiasi strumento collegato al tuo account — una dashboard, un connettore di report, uno script che sincronizza il magazzino — prima o poi rifà la connessione. E quando la rifà, chiede una passkey alla persona che l'aveva autorizzata. Se quella persona non lavora più con te, hai un problema piccolo con la sveglia.

Dal 1° agosto usiamo due strumenti nostri che leggono in automatico i dati di Search Console e di Analytics, e su quelli costruiamo i report mensili. Verificato oggi, nel codice: entrambi si autenticano con un **account di servizio**, firmando un token JWT con la propria chiave, non con l'autorizzazione di una persona. I flussi su account di servizio *non* rientrano nell'obbligo del 5 agosto. Quindi da noi, sul fronte reportistica, non cade niente — e la domanda da girare al fornitore del tuo strumento è esattamente questa: la connessione passa da un account di servizio o dall'autorizzazione di una persona?

C'è poi una constatazione meno comoda. Quando gestiamo l'account di un cliente, l'accesso ce lo dà lui, sul nostro indirizzo. La passkey però è della persona: non possiamo crearla noi al posto del titolare, per quanto lui vorrebbe togliersi il pensiero. Quello che possiamo fare — e facciamo, da oggi, sugli account che seguiamo — è controllare chi ha accesso e con quale indirizzo, e dire al titolare di crearsi la chiave adesso, non il 18 agosto.

## Cosa NON fa una passkey

- **Non protegge il budget** da una campagna fatta male. È una misura di accesso, non di performance.
- **Non impedisce a chi ha già accesso legittimo** di combinare guai nell'account.
- **Non sostituisce la password** al momento del login.
- **Non si trasferisce fra persone.** Se la persona se ne va, se ne va anche la sua chiave: è un problema di procedura, non di tecnologia.
- **Non risolve** il problema di fondo degli account aziendali intestati a indirizzi personali. Per quello serve la funzione dei domini consentiti.

## Cosa non dicono questi annunci

**Primo:** la data del 19 agosto arriva dalla stampa di settore — un sito tedesco che segue la vicenda dall'inizio e un resoconto in inglese — non da una pagina ufficiale Google che possa citare con il link. La mail originale, quella che vedi qui sotto, diceva 15 luglio. Se Google sposta ancora, aggiorniamo la pagina.

*La mail partita a maggio parlava del 15 luglio. La data si è spostata, il testo della mail no: per questo in tanti l'hanno letta, rimandata e dimenticata.*

**Secondo:** la restrizione sugli indirizzi gratuiti è un pilota. Non so quanto sia grande il lotto di inserzionisti coinvolti né se diventerà regola per tutti.

**Terzo:** non ho un dato su quanti account aziendali italiani siano intestati a indirizzi gratuiti. Nessuno lo pubblica e non ho intenzione di stimarlo a occhio. Quello che posso dire è cosa vediamo quando prendiamo in gestione un account, che è un'osservazione, non una statistica.

## Glossario

## Le date, con la fonte di ciascuna

## Dove sei tu, in tre soglie

**Soglia 1 — account su indirizzo personale e nessuna passkey.** Sei nella posizione più esposta. Nell'ordine: crea la chiave oggi, controlla chi ha accesso, poi pianifica lo spostamento su un indirizzo aziendale. Non tutto lo stesso giorno, e non il 18 agosto.

**Soglia 2 — account sul dominio aziendale, ma senza passkey.** Hai un solo compito: dieci minuti più una settimana di attesa. Fallo oggi e segna in agenda la verifica.

**Soglia 3 — passkey su due dispositivi e domini consentiti impostati.** Il 19 agosto non ti tocca. Guarda solo gli strumenti collegati via API e chiedi ai fornitori su che tipo di autorizzazione girano.

Se sei alla soglia 1 e l'account te lo tiene qualcun altro da anni, è un buon momento per guardare come funziona quel rapporto. Noi facciamo [gestione account Google Ads](https://cittago.com/it/services/google-ads/) per aziende in Italia e in Romania, e la prima cosa che verifichiamo quando subentriamo è esattamente questa: chi ha accesso, con quali indirizzi, e di chi è davvero l'account.

## Dieci domande sulla passkey, con risposta breve

Ultimo aggiornamento: 6 agosto 2026. La data del 19 agosto 2026 per le azioni sensibili è ripresa dalla stampa di settore (conversion-traffic.de, decantery.com); la mail originale di Google, riprodotta nell'articolo, annunciava il 15 luglio. L'obbligo per le API è entrato in vigore il 5 agosto 2026, secondo l'annuncio del 27 luglio sul blog Google Ads per sviluppatori. La restrizione sugli indirizzi gratuiti è, alla data di pubblicazione, un pilota. Aggiorniamo la pagina a ogni cambio di data o di stato.

*Cosa cambia, operazione per operazione*

| Operazione | Fino a oggi | Dal 19 agosto 2026 |
| --- | --- | --- |
| Accesso all'account | Password (più verifica in due passaggi) | Invariato |
| Modifiche alle campagne | Nessuna verifica aggiuntiva | Invariate |
| Aggiunta utente / cambio permessi | Si faceva dall'account, diretto | Richiede passkey |
| Collegamento a un account amministratore | Si accettava con un clic | Richiede passkey |
| Dati di pagamento | Si cambiavano dall'account | Richiede passkey |

*I termini degli annunci, in italiano*

| Termine | Cosa significa nel tuo account |
| --- | --- |
| Passkey / chiave di accesso | Una chiave custodita nel telefono o nel portatile, sbloccata con impronta o codice dello schermo. Non ha forma di testo, quindi non si può inviare a nessuno. |
| Azione sensibile | Aggiungere un utente, cambiare i permessi, collegare l'account a un amministratore, modificare i dati di pagamento. |
| Account MCC | L'account amministratore da cui un'agenzia gestisce più clienti. Collegarsi rientra fra le azioni sensibili. |
| Dominio email gratuito | @gmail.com, @libero.it, @virgilio.it e simili. Il contrario è un indirizzo sul dominio della tua azienda. |
| Token OAuth di aggiornamento | Il pezzo di autorizzazione con cui uno strumento esterno resta connesso al tuo account. Quando se ne genera uno nuovo, dal 5 agosto serve la passkey. |
| Account di servizio | Un account tecnico, senza una persona dietro, usato dalle automazioni. Non rientra nell'obbligo della passkey. |

*Cronologia della vicenda*

| Data | Cosa è successo | Dove l'ho letto |
| --- | --- | --- |
| 8 maggio 2026 | Google invia agli inserzionisti la mail „Create Passkey now” | ppc.land |
| 15 luglio 2026 | La scadenza annunciata inizialmente nella mail | la mail di Google (immagine sopra) |
| 27 luglio 2026 | Google annuncia l'obbligo di passkey per le API | blog Google Ads per sviluppatori |
| 5 agosto 2026 | Entra in vigore l'obbligo per i nuovi token OAuth | stampa di settore, sull'annuncio Google |
| 6 agosto 2026 | Emerge la restrizione sugli indirizzi gratuiti | Search Engine Roundtable |
| **19 agosto 2026** | **Passkey obbligatoria per le azioni sensibili** | conversion-traffic.de, decantery.com |

## Domande e risposte

**L'account Google Ads è intestato al commercialista. Chi deve creare la passkey?**

La persona che compie l'azione sensibile. Se il collegamento all'account amministratore lo accetta il commercialista, la chiave serve a lui; se lo accetti tu, serve a te. È anche l'occasione per chiarire di chi è l'account: la proprietà dovrebbe stare in azienda, non da chi lo amministra.

**Ho già la verifica in due passaggi via SMS. Non basta?**

No, sono due cose diverse. La verifica in due passaggi protegge il login; la passkey serve al momento dell'azione sensibile e il codice SMS non la sostituisce. La differenza pratica è che un codice si può leggere a voce a qualcuno, una passkey no.

**Le campagne si fermano se non faccio niente entro il 19 agosto?**

No. Le campagne continuano a girare e il login resta invariato. Si bloccano soltanto quattro operazioni: aggiungere un utente, cambiare i permessi, collegare l'account a un amministratore e modificare i dati di pagamento.

**Posso usare una chiave fisica di sicurezza invece del telefono?**

Sì, purché sia compatibile FIDO2. È una buona soluzione se non vuoi legare l'accesso a un telefono. Vale comunque la regola dei due dispositivi: una chiave sola è un punto singolo di rottura.

**E Google Ads Editor o gli strumenti di terze parti collegati all'account?**

Rientrano nella modifica del 5 agosto 2026, che riguarda la generazione di credenziali nuove. La connessione già attiva non si rompe; si rifà quando l'applicazione rigenera l'autorizzazione. Se il fornitore usa un account di servizio, l'obbligo non si applica.

**Vale anche in Italia o solo negli Stati Uniti?**

È una modifica della piattaforma, non una regola locale, quindi vale anche in Italia. La restrizione sugli indirizzi email gratuiti è invece un pilota su un gruppo di inserzionisti, e su quello Google non ha pubblicato una ripartizione per paese.

**Quanto costa mettersi in regola?**

Nulla in denaro. Costa dieci minuti di lavoro e fino a sette giorni di attesa, che è la parte che le persone sottovalutano. Lo spostamento su un dominio aziendale ha un costo solo se non hai già dominio e casella.

**Cambio agenzia a settembre. Cosa devo preparare adesso?**

La passkey, prima di tutto: il passaggio di consegne è fatto quasi solo di azioni sensibili — revoca di accessi, nuovo collegamento all'account amministratore, a volte il cambio dei dati di pagamento. Poi la lista degli utenti attuali e il dominio consentito impostato.

**Come faccio a sapere se il mio account è nel pilota sugli indirizzi gratuiti?**

Dalla notifica: Google manda una mail e mostra un messaggio nell'interfaccia se la funzione è attiva sul tuo account. In assenza di notifica, dai per scontato di non essere incluso, ma trattalo come un rinvio e non come un'esenzione.

**Ho perso il telefono su cui avevo la passkey. Che succede?**

Non puoi più completare azioni sensibili finché non recuperi l'accesso all'account Google, e quel percorso può durare giorni. È il motivo per cui la seconda chiave, su un secondo dispositivo, non è un lusso.

---

Cittago · https://cittago.com · digital marketing, SEO, AI search, Google Ads and web development for small and medium companies in Romania, Italy and the EU.