Chi apre il sito di un casinò su iPhone e cerca un pulsante “Accedi con Face ID” spesso resta deluso: non c’è. Non è una dimenticanza degli sviluppatori né una scelta commerciale. È un limite tecnico preciso che separa le app native dalle web app, e capirlo aiuta a valutare con occhi diversi ciò che un operatore promette. In questa analisi smonto l’idea che una PWA possa comportarsi esattamente come un’app scaricata dallo store, partendo dal caso concreto di Cashed Casino e dalla sua architettura mobile.
Partiamo dal punto che genera più confusione. Su iOS, Face ID e Touch ID non sono funzioni aperte a qualsiasi contenuto web. Apple le espone agli sviluppatori tramite framework riservati alle app native, quelli che girano dentro un binario firmato e distribuito tramite App Store o TestFlight. Una pagina web, anche quando è installata sulla schermata Home e gira a schermo intero senza la barra di Safari, resta un contesto web gestito da WebKit. Non ha accesso a LocalAuthentication, il framework che governa il riconoscimento biometrico, e non può richiamare direttamente il Secure Enclave.
Questo vale per qualsiasi PWA, non solo per il gambling. Cashed Casino si basa su una Progressive Web App, quindi eredita esattamente gli stessi vincoli di un sito di notizie o di un e-commerce costruito con la stessa tecnologia. La conseguenza pratica è che nessuna web app Cashed Casino può mostrare il prompt di Face ID identico a quello di un’app bancaria nativa. Chi sostiene il contrario, o non ha mai provato a implementarlo, o sta confondendo l’autenticazione biometrica del sistema con qualcosa di diverso.
C’è poi un secondo livello di complicazione. Anche volendo aggirare il problema con soluzioni ibride, Apple e Google ammettono solo operatori con concessione ADM/AAMS nei rispettivi store per le categorie di gioco d’azzardo regolamentate. Un operatore con licenza Curaçao come Cashed Entertainment Ltd non rientra in questa categoria per il pubblico italiano, e questo spiega perché la strada del’app nativa non sia percorribile. Cashed Casino non è presente su Google Play e App Store, e la PWA è la risposta coerente a quel vincolo normativo.
La domanda che segue è ovvia: quindi nessuna biometria? Non proprio. Esiste lo standard WebAuthn, supportato da Safari e Google Chrome, che consente l’autenticazione tramite passkey. Il punto è che WebAuthn non chiama Face ID come farebbe un’app nativa. Delega al sistema operativo la verifica dell’utente, ma lo fa attraverso un’API web che il browser media. Il risultato visivo può somigliare a un riconoscimento del volto, ma il percorso sottostante è diverso.
La differenza tecnica chiave, quella che raramente viene spiegata, è questa: una PWA casinò non può implementare il riconoscimento biometrico tramite API native come Face ID o Touch ID su iOS, ma solo tramite WebAuthn, che richiede una registrazione separata delle credenziali e non è integrato con il portachiavi iCloud. In pratica l’utente deve creare una passkey dedicata per quel sito, e quella credenziale non viaggia nel portachiavi sincronizzato tra i dispositivi Apple. Se cambia telefono, la passkey va registrata di nuovo. È un dettaglio che sembra minore e che invece pesa moltissimo sull’esperienza al primo prelievo, quando l’utente si aspetta la fluidità di un’app bancaria e si trova a rifare un passaggio.
Su Android la situazione è simile con lievi differenze: Google Chrome supporta WebAuthn e le passkey, ma anche lì la credenziale è legata al gestore di password dell’utente o a Google Password Manager, non a un’API biometrica diretta. Il riconoscimento dell’impronta o del volto è mediato dal sistema, non invocato dalla pagina. Il risultato è funzionale, ma non identico a quello di un’app nativa.
Al netto della sigla tecnica, l’utente finale nota la differenza in pochi minuti. La web app Cashed Casino si installa tramite “Aggiungi alla schermata Home” dal browser Safari o Google Chrome, e da quel momento si apre a schermo intero come un’app. L’interfaccia mobile è curata, i tempi di caricamento sono rapidi, ma alcuni comportamenti tradiscono la natura web. Il primo è il login: senza passkey registrata, si torna a username e password, con eventuale codice via SMS o email. Non c’è il tocco del dito che sblocca tutto in un secondo.
Il secondo è l’assenza di notifiche push native. Una PWA può ricevere notifiche push tramite il browser, ma su iOS questo funziona solo dopo l’installazione sulla schermata Home e con limitazioni che Apple ha introdotto gradualmente. Non è la stessa cosa delle notifiche di sistema di un’app nativa, che arrivano anche a browser chiuso e con una gestione delle priorità diversa. Per un casinò che vuole richiamare l’utente su una promozione o su un prelievo in sospeso, la differenza si sente.
Il terzo è la gestione della sessione. Le PWA tendono a mantenere lo stato nel browser, e questo significa che una pulizia della cache o un cambio di dispositivo può richiedere un nuovo accesso. Niente di drammatico, ma lontano dall’esperienza “apri e sei già dentro” che un’app nativa con biometria garantisce.
Qui bisogna essere onesti e sfatare un altro mito: la PWA non è intrinsecamente meno sicura di un’app nativa. Anzi, in alcuni scenari è più sicura, perché non richiede il download di un APK da fonti terze. Gli APK non ufficiali comportano rischi di sicurezza informatica concreti: codice modificato, permessi eccessivi, impossibilità di verifica della firma. Chi cerca un file “Cashed Casino APK” sui forum si espone a frodi che con una PWA semplicemente non esistono, perché non c’è nulla da scaricare oltre al contenuto servito dal dominio ufficiale.
Il rovescio della medaglia è che la PWA dipende interamente dalla sicurezza del browser e del dominio. Se il sito è raggiunto tramite HTTPS e la licenza Curaçao di Cashed Entertainment Ltd impone determinati standard, il livello è adeguato per l’uso ricreativo. Ma l’autenticazione biometrica mediata da WebAuthn non gode della stessa integrazione hardware di un’app nativa, e questo va messo nel conto. Il riconoscimento biometrico tramite WebAuthn è crittograficamente solido, ma la catena di fiducia passa per il browser e per il gestore di credenziali, non direttamente per il Secure Enclave come nel caso nativo.
Un altro elemento da considerare è la verifica dell’identità. Le lamentele su Trustpilot riguardano spesso lunghe attese per la verifica KYC, e questo è un problema trasversale a prescindere dalla piattaforma. La PWA non peggiora il KYC, ma l’assenza di un’app nativa rende meno immediato il caricamento di documenti da fotocamera con guida passo passo. Su questo le app native hanno ancora un vantaggio di usabilità, anche se la distanza si sta riducendo.
Per capire il divario conviene immaginare cosa farebbe un’app nativa. Al primo accesso chiederebbe il consenso a usare Face ID, salverebbe un token nel portachiavi iCloud e al secondo avvio basterebbe uno sguardo. La PWA non può fare questo: deve chiedere una registrazione separata della passkey, e quella passkey non si sincronizza con iCloud. Se l’utente ha un iPhone e un iPad, dovrà registrarla due volte. Se cambia dispositivo, di nuovo. È un attrito reale, non teorico, e chi gestisce l’assistenza lo sa.
L’assistenza clienti risponde in inglese, e questo aggiunge un livello di complessità per l’utente italiano che si trova a dover spiegare un problema di passkey o di verifica in una lingua che non è la sua. Non è un difetto della PWA in sé, ma è parte del pacchetto esperienza. Un operatore con app nativa e supporto in italiano avrebbe un vantaggio percepito, anche a parità di sicurezza effettiva.
Il confronto con il sito desktop aiuta a ridimensionare le aspettative. Su desktop la PWA si comporta come una scheda del browser ben ottimizzata, e nessuno si aspetta la biometria. Su smartphone l’utente si aspetta di più, perché è abituato alle app bancarie e ai wallet. La web app Cashed Casino fa quello che può: interfaccia mobile curata, accesso rapido, nessun download. Ma il confronto con un’app nativa va fatto con onestà, riconoscendo che la biometria nativa non è disponibile e che WebAuthn è l’unica alternativa, con i suoi compromessi.
C’è poi la questione del deposito minimo, fissato a 30 €, che nulla ha a che vedere con la tecnologia ma che incide sulla percezione di semplicità. Un utente che deve registrarsi, verificare l’identità, impostare una passkey e poi depositare con PostePay o Satispay si trova davanti a una sequenza più lunga di quella di un’app nativa con biometria già configurata. La somma di questi passaggi spiega perché molti preferiscano comunque il sito desktop per le operazioni importanti e la PWA per le consultazioni rapide.
La conclusione pratica, se così si può chiamare, è che la PWA è la scelta giusta per un operatore con licenza Curaçao che non può accedere a Google Play e App Store, ma non è una copia esatta di un’app nativa. Chi cerca Face ID su una web app Cashed Casino non lo troverà, e nessun aggiornamento futuro potrà cambiarlo finché Apple non aprirà le API biometriche al web. La strada sensata è usare WebAuthn come strumento di sicurezza aggiuntiva, accettando la registrazione separata delle credenziali e l’assenza di sincronizzazione con iCloud. Matteo Ferraro, analista di gioco online, lo ripete spesso: la vera domanda non è se la PWA sia meglio dell’app nativa, ma se l’operatore gestisca con trasparenza i limiti della propria architettura. Su questo, un utente informato può orientarsi meglio di chi si fida delle promesse di marketing.