Il Conditional Access rende l'autenticazione adattiva: invece di "credenziali giuste = accesso", la decisione dipende dal contesto e dal rischio valutati in tempo reale. Le stesse credenziali possono dare accesso pieno, accesso limitato, richiesta di MFA aggiuntiva (step-up), o rifiuto – a seconda dei segnali.
I segnali tipici: da dove arriva la richiesta (geografia, IP, rete aziendale vs pubblica), lo stato del dispositivo (è gestito? aggiornato? conforme alle policy?), l'orario, il comportamento anomalo (login da due continenti in un'ora – il "viaggio impossibile"), la sensibilità di ciò a cui si accede. Esempio: dal PC aziendale in ufficio → accesso diretto; dallo stesso account da un dispositivo sconosciuto in un altro paese → MFA obbligatoria o blocco.
È un pilastro operativo di Zero Trust e ZTNA: la fiducia non è binaria né permanente, si calcola a ogni richiesta. Nell'enterprise è funzione delle piattaforme identità (Entra ID, Okta); nel piccolo, i mattoni della stessa idea sono l'UEBA che nota le anomalie, i reverse proxy con forward auth che valutano il contesto, e le regole di conditional access dei self-hosted auth (Authelia/Authentik). Il principio: l'accesso giusto dipende da chi, cosa, dove, quando – non solo dalla password.