Google Ads: passkey obbligatoria dal 19 agosto
Apri Google Ads e guarda con quale indirizzo sei entrato. Se finisce con @gmail.com, @libero.it o @virgilio.it, questa notizia ti riguarda due volte: per la passkey che diventa obbligatoria il 19 agosto, e per una restrizione parallela che tocca proprio gli indirizzi gratuiti.
Cosa cambia. Dal 19 agosto 2026 alcune operazioni dentro l'account Google Ads — aggiungere un utente, cambiare i permessi di qualcuno, collegare l'account a un altro, modificare i dati di pagamento — richiedono una passkey. Non una password, non un codice via SMS.
Perché non riguarda tutti. Se nessuno tocca la struttura dell'account, le campagne continuano a girare. Se cambi agenzia, cambi carta o dai accesso a un collaboratore, ti fermi lì.
Cosa ti porti a casa. Il calcolo che quasi nessuno ha fatto: una chiave nuova può richiedere fino a sette giorni per attivarsi, quindi la data che conta non è il 19 agosto.
- Cosa succede agli account intestati a un indirizzo gratuito, e perché in Italia sono tanti.
- Le quattro operazioni esatte che si bloccano, per capire in dieci secondi se ti riguarda.
- Cosa chiedere a chi ti gestisce l'account prima di ferragosto.
- Perché la password dell'account non si può più passare su WhatsApp, e cosa la sostituisce.
Partiamo dalla parte di cui si è parlato meno, perché in Italia è quella che pesa di più.
Gli indirizzi email gratuiti perdono un pezzo di potere
In parallelo alla passkey, Google sta testando una seconda restrizione: gli account a cui si accede da indirizzi email gratuiti — @gmail.com, @yahoo.com e simili — non possono più completare le azioni sensibili. L'utente va spostato su un dominio aziendale. L'ho letto su Search Engine Roundtable del 6 agosto; Google la descrive in una pagina di assistenza separata da quella sulla passkey.
Il resto non cambia: report, modifiche ordinarie alle campagne, tutto come prima, in base al livello di accesso. Si bloccano solo le operazioni della lista qui sotto.
Per ora è un pilota, non una regola generale. La documentazione Google è esplicita: „This update is currently being piloted for a subset of advertisers. You will receive an email notification if your account is enrolled.” Quindi non tutti la vedono adesso. Ma spostare un account da un indirizzo personale a uno aziendale non è un'operazione da fare di corsa, con la carta scaduta e le campagne ferme.
Perché in Italia conta più che altrove: la ditta individuale e la PMI sotto i dieci dipendenti hanno spessissimo l'account intestato all'indirizzo personale del titolare, o a quello del ragazzo che l'ha aperto quattro anni fa. Lo vediamo ogni volta che prendiamo in gestione un account. Dell'economia di quegli account abbiamo scritto in quanto costa un clic a Firenze.
Che cos'è una passkey
Definizione: una passkey è una chiave di accesso personale, custodita nel telefono o nel computer e sbloccata con l'impronta, il volto o il codice dello schermo, che sostituisce la password quando Google deve avere la certezza che sei tu.
La documentazione Google Ads lo dice senza giri di parole: la chiave è sempre personale ed è una credenziale crittografica unica, legata al dispositivo di una persona e al suo profilo biometrico. Non può essere inviata a un gruppo.
Le quattro operazioni che si bloccano
- Aggiungere un nuovo utente all'account.
- Cambiare i permessi di chi ha già accesso.
- Accettare un nuovo collegamento con un account amministratore (MCC) o modificare quelli esistenti.
- Modificare i dati di pagamento — carta, fatturazione, intestazione.
Sono esattamente i momenti in cui cambi qualcuno. E arrivano quasi sempre impacchettati nella fretta: lasci l'agenzia, ti scade la carta, ti serve l'accesso per un collaboratore entro domani.
| Operazione | Fino a oggi | Dal 19 agosto 2026 |
|---|---|---|
| Accesso all'account | Password (più verifica in due passaggi) | Invariato |
| Modifiche alle campagne | Nessuna verifica aggiuntiva | Invariate |
| Aggiunta utente / cambio permessi | Si faceva dall'account, diretto | Richiede passkey |
| Collegamento a un account amministratore | Si accettava con un clic | Richiede passkey |
| Dati di pagamento | Si cambiavano dall'account | Richiede passkey |
La data che conta è il 12, non il 19
Una passkey nuova non è utilizzabile subito. La documentazione Google Ads descrive tre soglie di attesa: un giorno o due perché la chiave si associ a Google Ads; 48 ore consigliate prima di usarla per attività sensibili; e un periodo di sicurezza che può arrivare a sette giorni. La stessa cifra circola nella stampa di settore, detta più brutalmente: una chiave nuova può richiedere fino a sette giorni prima di funzionare davvero.
E c'è un dettaglio di calendario che vale la pena vedere intero: il 17 agosto entra anche il cambio di offerta di cui abbiamo scritto due settimane fa, nell'articolo sul CPA target. Due scadenze Google nella stessa settimana, su due piani diversi dello stesso account. Se hai intenzione di aprire Google Ads una volta sola questo mese, quella è la settimana.
Come si crea, in dieci minuti
- Entra nell'account Google con cui accedi a Google Ads — non dentro Google Ads, ma nelle impostazioni di sicurezza dell'account Google.
- Cerca „passkey” o „chiavi di accesso” e creane una sul dispositivo che usi di solito.
- Conferma con impronta, volto o codice dello schermo. Non devi inventarti niente di nuovo.
- Ripeti sul secondo dispositivo. È il passaggio che salta la maggior parte delle persone ed è il più importante: una sola chiave su un solo telefono significa che il telefono perso è l'account bloccato.
- Segna in agenda la data fra sette giorni. Fino ad allora non dare per scontato che funzioni: verifica.
- Già che ci sei, guarda chi altro ha accesso all'account. Salta fuori sempre qualche indirizzo che non ti aspettavi.
I domini email consentiti, la cosa più utile che puoi fare oggi
Google Ads ha da tempo una funzione chiamata domini email consentiti: imposti il dominio dell'azienda e l'account non può più essere invitato su indirizzi esterni. La documentazione lo spiega senza ambiguità — se imposti „esempio.it” come dominio consentito, puoi invitare [email protected] ma non [email protected].
È la misura di igiene più economica di tutto Google Ads, si imposta una volta, e non la usa quasi nessuno.
La scadenza già passata: le API, dal 5 agosto
C'è una seconda modifica, separata, già in vigore. Dal 5 agosto 2026 le API di Google Ads richiedono una passkey quando si generano credenziali nuove — più precisamente token OAuth 2.0 di aggiornamento. L'annuncio è sul blog per sviluppatori di Google del 27 luglio.
Sembra roba da programmatori, ma la conseguenza è concreta: qualsiasi strumento collegato al tuo account — una dashboard, un connettore di report, uno script che sincronizza il magazzino — prima o poi rifà la connessione. E quando la rifà, chiede una passkey alla persona che l'aveva autorizzata. Se quella persona non lavora più con te, hai un problema piccolo con la sveglia.
Dal 1° agosto usiamo due strumenti nostri che leggono in automatico i dati di Search Console e di Analytics, e su quelli costruiamo i report mensili. Verificato oggi, nel codice: entrambi si autenticano con un account di servizio, firmando un token JWT con la propria chiave, non con l'autorizzazione di una persona. I flussi su account di servizio non rientrano nell'obbligo del 5 agosto. Quindi da noi, sul fronte reportistica, non cade niente — e la domanda da girare al fornitore del tuo strumento è esattamente questa: la connessione passa da un account di servizio o dall'autorizzazione di una persona?
C'è poi una constatazione meno comoda. Quando gestiamo l'account di un cliente, l'accesso ce lo dà lui, sul nostro indirizzo. La passkey però è della persona: non possiamo crearla noi al posto del titolare, per quanto lui vorrebbe togliersi il pensiero. Quello che possiamo fare — e facciamo, da oggi, sugli account che seguiamo — è controllare chi ha accesso e con quale indirizzo, e dire al titolare di crearsi la chiave adesso, non il 18 agosto.
Cosa NON fa una passkey
- Non protegge il budget da una campagna fatta male. È una misura di accesso, non di performance.
- Non impedisce a chi ha già accesso legittimo di combinare guai nell'account.
- Non sostituisce la password al momento del login.
- Non si trasferisce fra persone. Se la persona se ne va, se ne va anche la sua chiave: è un problema di procedura, non di tecnologia.
- Non risolve il problema di fondo degli account aziendali intestati a indirizzi personali. Per quello serve la funzione dei domini consentiti.
Cosa non dicono questi annunci
Primo: la data del 19 agosto arriva dalla stampa di settore — un sito tedesco che segue la vicenda dall'inizio e un resoconto in inglese — non da una pagina ufficiale Google che possa citare con il link. La mail originale, quella che vedi qui sotto, diceva 15 luglio. Se Google sposta ancora, aggiorniamo la pagina.
Secondo: la restrizione sugli indirizzi gratuiti è un pilota. Non so quanto sia grande il lotto di inserzionisti coinvolti né se diventerà regola per tutti.
Terzo: non ho un dato su quanti account aziendali italiani siano intestati a indirizzi gratuiti. Nessuno lo pubblica e non ho intenzione di stimarlo a occhio. Quello che posso dire è cosa vediamo quando prendiamo in gestione un account, che è un'osservazione, non una statistica.
Glossario
| Termine | Cosa significa nel tuo account |
|---|---|
| Passkey / chiave di accesso | Una chiave custodita nel telefono o nel portatile, sbloccata con impronta o codice dello schermo. Non ha forma di testo, quindi non si può inviare a nessuno. |
| Azione sensibile | Aggiungere un utente, cambiare i permessi, collegare l'account a un amministratore, modificare i dati di pagamento. |
| Account MCC | L'account amministratore da cui un'agenzia gestisce più clienti. Collegarsi rientra fra le azioni sensibili. |
| Dominio email gratuito | @gmail.com, @libero.it, @virgilio.it e simili. Il contrario è un indirizzo sul dominio della tua azienda. |
| Token OAuth di aggiornamento | Il pezzo di autorizzazione con cui uno strumento esterno resta connesso al tuo account. Quando se ne genera uno nuovo, dal 5 agosto serve la passkey. |
| Account di servizio | Un account tecnico, senza una persona dietro, usato dalle automazioni. Non rientra nell'obbligo della passkey. |
Le date, con la fonte di ciascuna
| Data | Cosa è successo | Dove l'ho letto |
|---|---|---|
| 8 maggio 2026 | Google invia agli inserzionisti la mail „Create Passkey now” | ppc.land |
| 15 luglio 2026 | La scadenza annunciata inizialmente nella mail | la mail di Google (immagine sopra) |
| 27 luglio 2026 | Google annuncia l'obbligo di passkey per le API | blog Google Ads per sviluppatori |
| 5 agosto 2026 | Entra in vigore l'obbligo per i nuovi token OAuth | stampa di settore, sull'annuncio Google |
| 6 agosto 2026 | Emerge la restrizione sugli indirizzi gratuiti | Search Engine Roundtable |
| 19 agosto 2026 | Passkey obbligatoria per le azioni sensibili | conversion-traffic.de, decantery.com |
Dove sei tu, in tre soglie
Soglia 1 — account su indirizzo personale e nessuna passkey. Sei nella posizione più esposta. Nell'ordine: crea la chiave oggi, controlla chi ha accesso, poi pianifica lo spostamento su un indirizzo aziendale. Non tutto lo stesso giorno, e non il 18 agosto.
Soglia 2 — account sul dominio aziendale, ma senza passkey. Hai un solo compito: dieci minuti più una settimana di attesa. Fallo oggi e segna in agenda la verifica.
Soglia 3 — passkey su due dispositivi e domini consentiti impostati. Il 19 agosto non ti tocca. Guarda solo gli strumenti collegati via API e chiedi ai fornitori su che tipo di autorizzazione girano.
Se sei alla soglia 1 e l'account te lo tiene qualcun altro da anni, è un buon momento per guardare come funziona quel rapporto. Noi facciamo gestione account Google Ads per aziende in Italia e in Romania, e la prima cosa che verifichiamo quando subentriamo è esattamente questa: chi ha accesso, con quali indirizzi, e di chi è davvero l'account.
Dieci domande sulla passkey, con risposta breve
L'account è intestato al commercialista. Chi deve creare la passkey?
La persona che compie l'azione sensibile. Se il collegamento all'account amministratore lo accetta il commercialista, la chiave serve a lui; se lo accetti tu, serve a te.
È l'occasione buona per chiarire una cosa che spesso resta vaga: di chi è l'account. La proprietà dovrebbe stare in azienda, non da chi lo amministra.
Ho già la verifica in due passaggi via SMS. Non basta?
No, sono due cose diverse. La verifica in due passaggi protegge il login; la passkey serve al momento dell'azione sensibile, e il codice SMS non la sostituisce.
La differenza pratica: un codice si può leggere a voce a qualcuno, una passkey no.
Le campagne si fermano se non faccio niente?
No. Le campagne girano, il login resta uguale. Si bloccano soltanto le quattro operazioni della lista.
Il rischio non è oggi: è il giorno in cui ti servirà una di quelle operazioni con urgenza e scoprirai di dover aspettare ancora sette giorni.
Posso usare una chiave fisica di sicurezza invece del telefono?
Sì, purché sia compatibile FIDO2. È una buona soluzione se non vuoi legare l'accesso a un telefono che si può scaricare o smarrire.
Vale comunque la regola dei due dispositivi: una chiave sola è un punto singolo di rottura.
E Google Ads Editor o gli strumenti di terze parti?
Rientrano nella modifica del 5 agosto, che riguarda la generazione di credenziali nuove. La connessione già attiva non si rompe; si rifà quando l'applicazione rigenera l'autorizzazione.
Chiedi al fornitore se usa un account di servizio: in quel caso non ti riguarda.
Vale anche in Italia o solo negli Stati Uniti?
È una modifica della piattaforma, non una regola locale, quindi vale anche in Italia. La restrizione sugli indirizzi gratuiti è invece un pilota su un gruppo di inserzionisti, e su quello Google non ha pubblicato una ripartizione per paese.
Quanto costa mettersi in regola?
Nulla in denaro. Costa dieci minuti di lavoro e fino a sette giorni di attesa, che è la parte che le persone sottovalutano.
Lo spostamento su un dominio aziendale ha un costo solo se non hai già un dominio e una casella: in quel caso è la spesa di posta elettronica che avresti dovuto avere comunque.
Cambio agenzia a settembre. Cosa devo preparare adesso?
La passkey, prima di tutto: il passaggio di consegne è fatto quasi solo di azioni sensibili — revoca di accessi, nuovo collegamento all'amministratore, a volte il cambio dei dati di pagamento.
Poi la lista degli utenti attuali, così sai cosa revocare, e il dominio consentito impostato, così il prossimo accesso entra su un indirizzo aziendale.
Come faccio a sapere se il mio account è nel pilota degli indirizzi gratuiti?
Dalla notifica. Google manda una mail e mostra un messaggio nell'interfaccia se la funzione è attiva sul tuo account.
In assenza di notifica, dai per scontato di non essere incluso — ma trattalo come un rinvio, non come un'esenzione.
Ho perso il telefono con la passkey. Che succede?
Non puoi più completare azioni sensibili finché non recuperi l'accesso all'account Google, e quel percorso può durare giorni.
È il motivo per cui la seconda chiave, su un secondo dispositivo, non è un lusso.
Ultimo aggiornamento: 6 agosto 2026. La data del 19 agosto 2026 per le azioni sensibili è ripresa dalla stampa di settore (conversion-traffic.de, decantery.com); la mail originale di Google, riprodotta nell'articolo, annunciava il 15 luglio. L'obbligo per le API è entrato in vigore il 5 agosto 2026, secondo l'annuncio del 27 luglio sul blog Google Ads per sviluppatori. La restrizione sugli indirizzi gratuiti è, alla data di pubblicazione, un pilota. Aggiorniamo la pagina a ogni cambio di data o di stato.
