Creare una password sicura: abbastanza forte da reggere, abbastanza semplice da ricordare
Una password sicura non deve essere un ammasso di simboli che si dimentica dopo cinque minuti. Con il metodo della storia si costruiscono password solide che restano in mente, e per tutti gli altri account c'è una risposta migliore.
Creare una password sicura suona come un compito noioso: digitare un guazzabuglio di lettere, cifre e simboli che dopo cinque minuti non si ricorda più. Non stupisce che la maggior parte delle persone finisca su Estate2026! o sul nome del cane. Si può fare in un altro modo. Questo articolo mostra che cosa rende davvero sicura una password nel 2026, quali errori si ripetono più spesso e come costruire, con un metodo semplice, password solide che restano comunque in testa.
Che cosa rende davvero sicura una password nel 2026
Per molto tempo è valsa la regola di mescolare quanti più tipi di carattere possibile, magari con sostituzioni come la a in @ o la o in 0. Quella regola è superata, e organismi ufficiali come il NIST statunitense e il BSI tedesco hanno adeguato da tempo le proprie raccomandazioni. Il motivo: una sostituzione come P@ssw0rd! non è sicurezza, è uno schema noto. Proprio questi trucchi compaiono in ogni elenco di attacco che i criminali provano quando forzano le password.
Quello che conta davvero sta in tre parole:
Lunghezza. Ogni carattere in più moltiplica il numero di possibilità che un attaccante dovrebbe provare. Una password da 16 a 20 caratteri è praticamente inattaccabile con la potenza di calcolo odierna, anche se è fatta solo di lettere e cifre. Una password corta con otto simboli criptici è invece, sulla carta, molto più debole di quanto sembri.
Casualità. Una password vale quanto la casualità che contiene. Le persone sono pessimi generatori di casualità: scegliamo senza accorgercene schemi che conosciamo, nomi, anni, file di tasti. Una password davvero casuale non si indovina, perché non segue nessun sistema riconoscibile, nemmeno il proprio.
Unicità. Ogni servizio ha bisogno della sua password. Appena se ne riutilizza una, basta una sola fuga di dati presso un qualsiasi fornitore perché i criminali la provino in automatico su tutti gli altri account, una pratica nota come credential stuffing che accade milioni di volte al giorno.
Chi rispetta queste tre regole ha risolto il problema delle password alla radice. La sfida vera è un'altra: come si ricorda qualcosa di lungo e casuale?
I 5 errori più frequenti con le password
Prima della soluzione conviene guardare che cosa va storto più spesso nella pratica. Questi cinque schemi compaiono in cima a praticamente ogni statistica sulle password trapelate:
1. Sequenze di tasti. qwerty, 123456 o asdfgh sembrano casuali al proprio occhio, ma stanno in cima a ogni elenco che gli attaccanti provano per primo. Sono tra i primi candidati di qualsiasi attacco automatizzato proprio perché sono diffusissimi.
2. Nome più anno. Giulia1987 o Rossi2026 sembrano personali e quindi sicuri, ed è esattamente per questo che sono facili da indovinare. Anni di nascita, nomi di figli o di animali domestici e l'anno in corso si ricavano spesso già dai profili social, senza alcuna competenza tecnica.
3. Riutilizzo della stessa password. Probabilmente l'errore più costoso: una password per la posta, il negozio online e i social insieme. Una sola fuga di dati presso uno di questi fornitori apre allora tutte le porte in una volta.
4. Parole di dizionario nude e crude. Parole singole come Primavera o Password123 cadono in pochi secondi con un attacco a dizionario, per quanto lunghe siano, finché sono fatte di mattoni linguistici prevedibili.
5. Regole di sostituzione prevedibili. Chi trasforma Estate in 3st4t3! pensa alla sicurezza, ma segue uno schema che ogni software di attacco ha in archivio da tempo. Sostituire un carattere non rende forte una password debole, la rende solo un pochino più lenta da forzare.
Tutti e cinque gli errori hanno una radice comune: nascono perché le persone si inventano le password invece di estrarle a sorte. È qui che entra il metodo che segue.
Il metodo della storia, passo per passo
Il nostro cervello è pessimo con le sequenze di caratteri ed eccellente con immagini e storie, soprattutto se sono assurde. Gli psicologi lo chiamano effetto di superiorità dell'immagine. Il metodo della storia sfrutta esattamente questo: invece di memorizzare una sequenza si memorizza un'immagine strana, e da quell'immagine si ricava una password solida seguendo una ricetta fissa e semplice.
Un esempio rende la cosa concreta. La storia 😢🦄💡🛁, "L'unicorno triste ha un'idea nella vasca", diventa con la ricetta:
Tr1st3=Un1c0rn0!Id34%V4sc4-2284A1C1379617
La derivazione funziona così: si prendono le quattro parole chiave della storia (umore, personaggio, azione, luogo), si sostituiscono alcune lettere con cifre di aspetto simile (la a diventa 4, la e diventa 3, la i diventa 1, la o diventa 0), si separano le parole con simboli e alla fine si aggiunge una sequenza casuale di cifre. Il risultato è lungo, sembra casuale perché lo è, e resta comunque ricostruibile a partire dall'immagine memorizzata.
Il difetto delle storie inventate da soli: le persone pensano a storie prevedibili, l'animale preferito, l'hobby, l'ultima vacanza. Così la casualità sparisce, e con lei la sicurezza. La storia va quindi estratta a sorte, non scelta.
Il metodo della storia è pensato di proposito per le poche password che si devono davvero tenere a mente, prima di tutto la password principale del proprio gestore di password. Per tutto il resto c'è una risposta migliore.
Un gestore di password per tutti gli altri account
Una persona ha in media ben più di cento account online, dalla posta al servizio di streaming fino al negozio online. Inventare una storia diversa per ciascuno non è né necessario né praticabile. Qui subentra un gestore di password: genera per ogni servizio una password lunga, casuale e unica e la ricorda al posto tuo, così a te resta da sapere una sola password principale.
Tre opzioni collaudate e consigliabili:
Bitwarden è gratuito, open source e verificabile in modo indipendente, un fattore di fiducia importante per uno strumento che gestisce tutte le tue password. Per la maggior parte degli usi privati la versione gratuita basta del tutto.
Proton Pass arriva dal fornitore dietro Proton Mail e punta in particolare sulla protezione dei dati e sulla cifratura end to end, con un buon livello gratuito e un legame stretto con il resto dell'ecosistema Proton.
1Password è a pagamento, in cambio è particolarmente comodo da usare ed è un classico, soprattutto per famiglie e gruppi di lavoro che vogliono condividere password in sicurezza.
La divisione dei compiti è chiara: una password principale solida, costruita con il metodo della storia, protegge il gestore di password, e il gestore protegge tutto il resto. Dove è possibile si aggiunge l'autenticazione a due fattori, che rende inutile da sola una password rubata. Se gestisci anche un sito WordPress, vale la pena leggere il nostro articolo sulla sicurezza delle password in WordPress, che tratta la protezione contro la forza bruta, le policy di password per tutti i ruoli e l'autenticazione a due fattori dal punto di vista di chi gestisce il sito.
La lista di controllo finale
- Almeno 16 caratteri, casualità vera al posto di schemi inventati.
- Una password propria e unica per ogni servizio.
- Costruisci con il metodo della storia le poche password che devono restare in testa, sempre con un'immagine estratta a sorte.
- Affida tutti gli altri account a un gestore di password.
- Dove è disponibile, attiva anche l'autenticazione a due fattori.
Come trattiamo la sicurezza da noi
La nostra pagina sulla sicurezza porta il contatto di sicurezza pubblicato, i tempi di risposta promessi e la politica di divulgazione coordinata. Tutti i plugin sono sotto GPLv2 o successiva e i dati restano sull'installazione del cliente.
Domande frequenti
Quanto deve essere lunga come minimo una password sicura?
Almeno 16 caratteri, meglio di più. Oltre alla lunghezza è decisivo che la password sia composta a caso e non sia in uso presso nessun altro servizio. Una password corta con sostituzioni come «P@ssw0rd!» sembra complessa, ma cade lo stesso in fretta, perché proprio quegli schemi stanno in ogni elenco di attacco.
Il metodo della storia è davvero più sicuro di una password normale?
È soprattutto più sicuro di quello che le persone si inventano da sole. Il punto decisivo è che la storia venga estratta a sorte e non scelta, altrimenti la prevedibilità rientra dalla finestra. Estratta a sorte e abbastanza lunga, la ricetta produce una password con casualità vera che resta comunque in memoria.
Serve comunque un gestore di password?
Sì. Il metodo della storia è pensato per le poche password che si devono per forza ricordare da soli, prima di tutto la password principale. Per tutti gli altri account un gestore come Bitwarden, Proton Pass o 1Password resta la risposta migliore, perché crea e amministra in automatico una password casuale lunga per ogni servizio.
