Password sicure e gestori di password: una guida pratica

Creare password sicure è uno dei modi più economici ed efficaci per proteggere i tuoi account. Eppure la maggior parte di noi riutilizza ancora le stesse poche password su decine di siti. Questa guida spiega com'è una buona password, perché ogni account ne richiede una diversa e come un gestore di password ti sollevi dal peso di ricordarle.

Cosa rende una password sicura?

Una password sicura è difficile da indovinare, non viene usata altrove e non viene mai condivisa. Il fattore più importante non è la complessità, ma la lunghezza. Una password come "P@ssw0rd!" sembra complicata, ma è corta e segue schemi che tutti conoscono. Una frase lunga composta da parole non collegate tra loro è più sicura e più facile da ricordare.

Una regola pratica:

• Falla lunga. Punta ad almeno 14-16 caratteri, e più lunga per gli account importanti.
• Falla casuale. Evita date di nascita, nomi di animali, nomi di squadre o numeri di telefono: tutto ciò che le persone vicine a te potrebbero indovinare.
• Falla unica. Ogni account deve avere una password completamente diversa dalle altre.
• Evita trucchi prevedibili. Aggiungere "1" alla fine, sostituire lettere con cifre o usare sequenze come "123456" non inganna nessuno.

Il metodo della passphrase

Per le poche password che devi memorizzare (ad esempio la password principale del gestore e la tua email), una passphrase di quattro o cinque parole casuali funziona bene. Scegli le parole davvero a caso, non da una poesia o da una canzone. Usa dadi o un generatore integrato nel gestore di password, se puoi. Aggiungere un separatore e una o due cifre basta.

Perché non dovresti riutilizzare le password

Il rischio più grande per le password non è la debolezza, ma il riutilizzo. Quando un servizio subisce una violazione di dati, le coppie email e password trapelate vengono provate su altri siti. Se hai usato una stessa password in più posti, una sola fuga le mette tutte a rischio. Quindi i tuoi account social, email, bancari e di acquisto dovrebbero avere ciascuno la propria.

Il tuo account email è il più critico, perché la maggior parte dei servizi invia lì il link "ho dimenticato la password". Chi ottiene l'accesso alla tua email può spesso trovare il modo di entrare negli altri account. Dai alla tua email una password lunga e unica, e attiva la verifica in due passaggi.

Cos'è un gestore di password e perché aiuta?

Un gestore di password conserva tutte le tue password in un archivio cifrato e le inserisce quando servono. Ricordi una sola password principale forte e l'archivio si occupa del resto. Ecco cosa ottieni:

1. Generazione di password uniche. Crea una password lunga e casuale per ogni account, così non devi mai ricordarla.
2. Compilazione automatica. Inserisce le password solo sull'indirizzo corretto, il che funziona anche come avviso contro le false pagine di accesso. Se il gestore non propone di compilare, consideralo un campanello d'allarme.
3. Sincronizzazione. Accedi allo stesso archivio dal telefono, dal tablet e dal computer.
4. Segnalazioni di password deboli e riutilizzate. Molti gestori segnalano password deboli, vecchie o duplicate.
5. Note sicure. Codici di recupero, note private e dati delle carte possono stare nello stesso archivio.

Quale tipo scegliere?

| Opzione | Vantaggi | Da tenere d'occhio |
|---|---|---|
| Gestore integrato nel browser | Nessuna configurazione extra, facile da usare | Dipende molto dalla sicurezza del dispositivo e dell'account; lo spostamento dei dati tra browser può essere limitato |
| Gestore di password autonomo | Funziona su più piattaforme, offre funzioni extra | Non devi dimenticare la password principale e devi configurare le opzioni di recupero |
| Archivio offline (locale) | I dati restano solo sul tuo dispositivo | Backup e sincronizzazione sono sotto la tua responsabilità |

Qualunque scelta tu faccia, verifica che il prodotto sia aggiornato regolarmente e che spieghi come gestisce la cifratura.

Passare a un gestore di password passo dopo passo

Non devi cambiare tutte le password in un giorno. Prova questo ordine:

1. Scegli un gestore di password e imposta una password principale lunga e unica. Non usarla mai per altro.
2. Scrivi le informazioni di recupero (una chiave o un codice di recupero) su carta e conservale in un luogo sicuro. Se dimentichi la password principale, la maggior parte dei gestori non può aiutarti.
3. Attiva la verifica in due passaggi per il gestore stesso. Per confrontare le opzioni, consulta il nostro articolo sui metodi di verifica in due passaggi.
4. Sostituisci le password con quelle generate, partendo da email, banca, social media e acquisti.
5. Affronta gradualmente gli account più vecchi. Eliminare gli account che non usi più riduce anche la tua esposizione.

Errori comuni

• Conservare le password in note del browser, note del telefono o in un file di testo. Se il dispositivo viene compromesso, tutto è esposto.
• Inviare via email o messaggio le password a te stesso. Questi messaggi possono restare in un archivio per anni.
• Cambiare una password aggiungendo solo una cifra alla fine.
• Usare password da dizionario fatte di singole parole.
• Dare risposte vere alle domande di sicurezza. Dettagli come il cognome da nubile di tua madre si trovano spesso sui social. Usa invece risposte casuali memorizzate nel tuo archivio.
• Salvare le password su un dispositivo condiviso. Non usare "ricordami" sui computer pubblici.

Una password da sola non basta

Anche la password migliore può trapelare un giorno. Per questo devi aggiungere un secondo livello: la verifica in due passaggi. Un codice SMS è meglio di niente, ma un'app di autenticazione o una chiave di sicurezza è più resistente. Anche le passkey, che consentono l'accesso senza password, stanno diventando più comuni.

Se ti registri a un servizio solo per provarlo, o per una registrazione una tantum, non devi per forza fornire il tuo numero reale. Un numero virtuale ti permette di ricevere il codice di verifica senza condividere il tuo numero. Tieni presente che i numeri virtuali sono monouso, quindi se intendi conservare l'account, aggiungi un gestore di password, un'email di recupero e la verifica in due passaggi. Alcune piattaforme potrebbero limitare i numeri virtuali, e devi sempre rispettare i termini d'uso di ciascuna piattaforma. Puoi vedere le opzioni attuali nella nostra pagina dei prezzi.

Domande frequenti

Un gestore di password non è un singolo punto di rottura?

È una preoccupazione legittima. Per questo devi mantenere la password principale lunga, attivare la verifica in due passaggi e conservare le informazioni di recupero offline. Di solito è molto più sicuro che affidarsi a password deboli e riutilizzate.

Ogni quanto dovrei cambiare le password?

Non devi cambiare ogni password secondo un calendario. Una password forte e unica non deve cambiare a meno che tu non sospetti una fuga. Cambiala subito se un servizio segnala una violazione o noti attività insolite.

Scrivere le password su un quaderno è sicuro?

Un quaderno cartaceo chiuso a chiave in casa è fuori portata per la maggior parte degli attacchi online, ma può andare perso. Tenere su carta alcuni elementi critici, come la password principale e la chiave di recupero, è ragionevole. Tenere lì tutte le password è poco pratico.

Salvare le password nel browser basta?

È meglio che non salvarle affatto, ma dipende dalla sicurezza del tuo dispositivo e dell'account del browser. Imposta un blocco schermo e attiva la verifica in due passaggi sull'account. Se vuoi più funzioni, valuta un gestore autonomo.