Come creare password sicure (e gestirle)

La maggior parte degli account violati non cade per attacchi sofisticati, ma per password deboli, riciclate o finite in qualche fuga di dati. Una buona password è la prima barriera tra te e i guai, eppure quasi nessuno la imposta come si deve.

In questo articolo ti spiego come creare password sicure e, soprattutto, come gestirle senza dover ricordare decine di codici: cosa rende davvero forte una password, perché ti serve un password manager, a cosa serve la 2FA e gli errori più comuni.

Cosa rende sicura una password, in parole semplici

Una password sicura è lunga, casuale e usata su un solo account. La sua forza non dipende dai simboli strani, ma dalla quantità di combinazioni possibili: più è lunga e imprevedibile, più tempo servirebbe a un attaccante per indovinarla.

In pratica Estate2024! sembra complessa ma è debolissima, perché segue uno schema prevedibile. Una sequenza casuale di 16 caratteri, invece, è praticamente impossibile da forzare con le tecniche attuali.

Le regole di una password forte

• Lunghezza prima di tutto. Punta ad almeno 14-16 caratteri.
• Casualità. Niente nomi, date di nascita, squadre del cuore o parole comuni.
• Unica per ogni servizio. Una password riciclata espone tutti gli account collegati.
• Niente schemi prevedibili. Sostituire a con @ non aumenta davvero la sicurezza.

Un metodo umano per le poche password che devi ricordare a memoria (come quella del password manager) è la passphrase: quattro o cinque parole casuali messe insieme, ad esempio tavolo-nuvola-radio-limone. Lunga, facile da ricordare, difficilissima da indovinare.

Perché ti serve un password manager

Nessuno può ricordare 80 password lunghe e casuali. Ecco perché il vero salto di qualità è usare un password manager: un'app che genera, salva e compila per te password forti e diverse per ogni sito.

Tu devi ricordare una sola password master robusta, il resto lo fa il programma. Vantaggi concreti:

• Genera password casuali al volo.
• Avvisa se una password è stata coinvolta in una fuga di dati.
• Compila i login automaticamente, riducendo anche il rischio phishing.
• Sincronizza tra computer e telefono.

Strumenti diffusi e affidabili includono Bitwarden, 1Password e KeePass. Anche i password manager integrati nei browser e nei sistemi operativi sono molto meglio di niente.

Aggiungi la verifica in due passaggi (2FA)

Anche la password più forte può essere rubata. La 2FA (autenticazione a due fattori) aggiunge un secondo controllo: oltre alla password, serve un codice temporaneo o una conferma sul telefono.

Ordine di preferenza:

1. Chiavi di sicurezza fisiche (FIDO2/passkey) — il massimo della protezione.
2. App di autenticazione (Google Authenticator, Authy, Aegis) che generano codici a tempo.
3. SMS — meglio di niente, ma vulnerabile, da usare solo se non c'è altro.

Attiva la 2FA almeno su email, banca, social e password manager. L'email in particolare è la chiave di tutto: chi ci entra può resettare le altre password.

Le passkey: il futuro senza password

Le passkey stanno sostituendo le password tradizionali. Si basano sulla crittografia a chiave pubblica e ti fanno accedere con l'impronta o il volto, senza nulla da digitare e quindi nulla da rubare via phishing. Sempre più servizi le supportano: quando le trovi, attivale.

Checklist password

• Uso un password manager con una master password forte.
• Ogni account ha una password diversa e casuale.
• Ho attivato la 2FA su email, banca e account critici.
• Ho controllato se le mie email compaiono in fughe di dati note.
• Ho rimosso le vecchie password riciclate.
• Uso le passkey dove disponibili.

Errori comuni da evitare

• Riusare la stessa password ovunque: un solo data breach le compromette tutte.
• Cambiare password ogni mese senza motivo: porta solo a varianti deboli e prevedibili.
• Salvare le password in un file di testo o nelle note non protette.
• Inviare password via email o chat.
• Fidarsi dei "suggerimenti di sicurezza" con risposte facili da scoprire sui social.

Le password deboli sono spesso il primo anello sfruttato in attacchi più ampi: per capire il contesto, leggi cos'è la cybersecurity e come riconoscere il phishing.

In sintesi

Una password sicura è lunga, casuale e unica. Per gestirne tante senza impazzire usa un password manager, attiva la 2FA sugli account importanti e passa alle passkey quando puoi. Sono pochi minuti di configurazione che ti evitano problemi enormi.

Se gestisci un sito o un'attività e vuoi mettere in sicurezza account, accessi e dati dei tuoi utenti, dai un'occhiata ai miei servizi.