Android permette di trasferire password e passkey tra gestori compatibili sullo stesso dispositivo senza passare da un file CSV in chiaro. La funzione, annunciata da Google il 10 settembre 2026, parte dall'app che vuoi usare come destinazione e lascia ad Android il coordinamento tra i due provider.
Il vantaggio è concreto: il vecchio metodo esportava le credenziali in un file leggibile, da spostare e poi cancellare manualmente. Il nuovo percorso riduce proprio quel passaggio esposto. Non è però una bacchetta magica: servono provider compatibili e il contenuto importato può cambiare da una coppia di app all'altra.
Cosa cambia nella migrazione su Android
La Credential Transfer API è l'infrastruttura con cui Android coordina lo scambio tra un provider sorgente e uno di destinazione. Il trasferimento avviene sullo stesso dispositivo e riguarda password e passkey quando entrambi i gestori supportano i relativi tipi di credenziali.
In pratica, non devi più creare per forza un documento intermedio con tutte le password. Android individua i provider compatibili installati, mentre l'app di destinazione resta il punto di partenza del percorso.
Google ha presentato il flusso il 10 settembre 2026 indicando come provider iniziali Google Password Manager, 1Password, Bitwarden Password Manager e Dashlane. La lista rappresenta il perimetro iniziale annunciato per l'esperienza consumer, non una promessa di compatibilità con ogni gestore.
Come funziona il trasferimento
Il percorso previsto è breve, ma non completamente automatico:
- Apri il gestore di password che vuoi usare come destinazione.
- Scegli l'opzione per importare o copiare i dati.
- Android mostra i provider sorgente compatibili presenti sul dispositivo.
- Seleziona la sorgente e controlla i dati richiesti per il trasferimento.
- Autorizza l'operazione; il provider sorgente può richiedere autenticazione biometrica o PIN.
- Torni all'app di destinazione, che riceve i dati importati.
Il modello è simile a consegnare una chiave direttamente a un altro portachiavi, invece di lasciarla su un foglio appoggiato sulla scrivania. La documentazione Android descrive il framework come progettato per non esporre le credenziali grezze ad Android o alle app non autenticate. È una distinzione importante: il beneficio riguarda il percorso di trasferimento, non una garanzia assoluta su ogni app o su ogni dato conservato.
Perché è meglio del vecchio CSV
Il CSV resta il ripiego per i gestori che non partecipano al trasferimento diretto. Nel vecchio flusso, le password vengono esportate in un file locale non cifrato: chiunque, o qualunque app, riesca ad accedere a quel file può potenzialmente leggerle. Dopo l'importazione, il file deve essere individuato e cancellato.
| Aspetto | Trasferimento diretto Android | Migrazione tramite CSV |
| Percorso | Scambio tra provider coordinato da Android sullo stesso dispositivo | Esportazione in un file locale e importazione manuale |
| Esposizione delle password | Progettato per evitare il passaggio da un file di credenziali in chiaro | Il file contiene credenziali leggibili |
| Requisito principale | Il provider sorgente e quello di destinazione devono supportare il flusso | Il gestore di destinazione deve accettare il formato o l'importazione manuale |
| Passkey | Trasferibili quando il tipo è supportato da entrambi i provider | Il CSV tradizionale non rappresenta in modo affidabile le passkey |
| Impegno richiesto | Scelta della destinazione, selezione della sorgente, revisione e autorizzazione | Esportazione, gestione del file, importazione e cancellazione sicura |
Il vecchio percorso non sparisce: rimane più compatibile con i gestori che non hanno implementato l'API, ma espone un passaggio delicato che il trasferimento diretto evita.
I limiti della compatibilità
L'API Android definisce, oltre a password e passkey, categorie come indirizzi, carte di pagamento, note sicure, file, segreti TOTP, chiavi SSH, chiavi API e campi personalizzati. Questo elenco descrive i tipi previsti dal formato di scambio, il FIDO Credential Exchange Format; non significa che ogni gestore supporti ogni categoria.
La domanda utile, quindi, non è soltanto “il mio gestore è compatibile?”. È: quali elementi trasferisce esattamente questa coppia di gestori? Le passkey possono dipendere dal supporto di entrambe le app. Lo stesso vale per allegati, campi personalizzati, vault personali e organizzativi, note, carte e codici TOTP.
Una migrazione riuscita può perciò richiedere un controllo finale account per account. Le password principali possono essere presenti mentre alcuni elementi accessori restano fuori o vengono mappati in modo diverso. Meglio scoprirlo prima di eliminare il gestore precedente.
Versione di Android e disponibilità tecnica
La documentazione della Credential Transfer API indica Android 8, API 26, o versioni successive. La distribuzione della funzione è stata inoltre riportata come integrata in Google Play Services, senza la necessità di un aggiornamento completo del sistema operativo.
Il requisito Android, da solo, non trasforma ogni telefono e ogni app in una coppia compatibile: il provider sorgente e quello di destinazione devono implementare il flusso e gestire i tipi di credenziali interessati.
Cosa controllare prima di iniziare
Prima di abbandonare il vecchio gestore, conviene fare questo controllo pratico:
- verifica che il gestore di destinazione offra un'opzione di importazione o copia tramite Android;
- controlla che il gestore sorgente compaia tra i provider selezionabili;
- considera separatamente password, passkey, allegati, note, carte, TOTP e campi personalizzati;
- se usi vault personali e organizzativi, controlla che siano trattati entrambi;
- conserva il vecchio gestore finché non hai verificato gli account più importanti;
- se devi ricorrere a un CSV, trattalo come un file di password in chiaro e cancellalo appena conclusa l'importazione.
Il risultato è un passaggio più ordinato e meno esposto rispetto alla vecchia esportazione, ma la parte decisiva resta la compatibilità tra le due app. Android rende più sicuro il ponte: non può garantire che ogni bagaglio arrivi dall'altra parte.
