Una chiave di sicurezza hardware è un piccolo dispositivo (USB/NFC) che custodisce chiavi crittografiche in un chip inestraibile e firma le richieste di autenticazione premendo un tasto. È la forma più forte di secondo fattore e il modo più robusto di usare le passkey.
Perché batte tutto il resto: resiste al phishing (la firma FIDO2/WebAuthn è legata al dominio vero – su un sito clone non parte), non c'è un segreto condiviso da rubare dal server, e nulla lascia il dispositivo. A differenza dei codici TOTP (che un sito-esca può farsi digitare) o degli SMS (intercettabili), la chiave hardware chiude gli attacchi AiTM che oggi bucano l'MFA debole.
I nomi: YubiKey (lo standard), Nitrokey/SoloKeys (aperte, per chi vuole ispezionare il firmware). Oltre a FIDO2 fanno spesso anche OATH-TOTP, PGP e smartcard. La regola d'oro pratica: due chiavi, una in uso e una di backup in cassaforte – perché una chiave hardware persa senza recupero è un lockout, e il phishing-resistant non serve se poi il recovery è via SMS.