L'accesso senza password è un metodo di autenticazione che consente a un utente di provare la propria identità senza digitare una password memorizzata. Invece, il sistema verifica il possesso di qualcosa che l'utente ha o controlla, come un codice temporaneo monouso, un magic link, un'approvazione push o una chiave vincolata al dispositivo. L'obiettivo è ridurre il furto di password, il riutilizzo e il rischio di phishing, rendendo al tempo stesso l'accesso più semplice per gli utenti.
In termini di sicurezza, i flussi senza password funzionano solo se il segreto rimane sotto il controllo del server fino a quando viene verificato. Se un OTP o un link di accesso viene esposto in una risposta API visibile al client, intercettato dai log o non associato alla sessione o al dispositivo corretto, il progetto può essere trasformato in un takeover dell'account. I difensori dovrebbero mantenere le risposte minime, usare tempi di scadenza brevi, associare i codici a una richiesta specifica, imporre limiti di frequenza ed evitare di far trapelare dati di autenticazione nell'output di debug o nei trace. L'accesso senza password è comodo, ma la sua sicurezza dipende da un controllo rigoroso su dove viaggia il segreto di verifica.