Come creare una password sicura (e ricordarla)

Per anni ci hanno detto di usare maiuscole, numeri e simboli e di cambiare password ogni tre mesi. Oggi le linee guida più aggiornate dicono altro. Questa guida spiega come creare una password sicura, ricordabile e adatta al 2026: perché la lunghezza conta più della complessità, come costruire una frase robusta, quando cambiare davvero password e come controllare in modo privato se una password è già stata esposta.

Informazioni generali sulla sicurezza informatica personale.

Che cosa dicono le linee guida attuali

Il NIST statunitense, la cui guida sull'identità digitale è un riferimento internazionale (SP 800-63B, ora nella revisione 4), indica alcuni principi che ribaltano le vecchie abitudini:

• lunghezza minima: almeno 15 caratteri per le password usate da sole, almeno 8 quando fanno parte di un'autenticazione a più fattori;
• nessuna regola di composizione imposta (come "almeno un simbolo");
• nessun cambio periodico obbligatorio: la password va cambiata solo se c'è evidenza di compromissione;
• blocco delle password note: i servizi dovrebbero rifiutare password comuni o già comparse in violazioni.

Non sono leggi italiane, ma indicano la direzione condivisa dagli esperti: password lunghe, uniche, senza rituali inutili.

Come creare una password sicura: lunghezza e unicità

Una password è forte quando un attaccante non può indovinarla in tempi ragionevoli. I due fattori che contano:

1. Lunghezza e imprevedibilità: tre o quattro parole casuali sono più forti di una parola breve con simboli.
2. Unicità: una password forte riusata su più siti è debole, perché basta una violazione per esporla ovunque.

Per questo la regola d'oro è: una password diversa per ogni account. Se sembra impossibile, serve un gestore di password.

Il metodo della frase (passphrase)

Funziona così:

1. Scegli quattro o cinque parole non collegate tra loro e non prese da citazioni famose. Meglio estrarle a caso, anche con un generatore del gestore.
2. Uniscile con un separatore (spazio, trattino) o scrivile in sequenza.
3. Aggiungi un dettaglio personale che non sia pubblico, se vuoi.

Un esempio di struttura (non usarlo!): ciliegia-motore-lampione-nuvola-nove. È lunga, facile da visualizzare e difficile da indovinare.

Cosa evitare:

• nomi di familiari, animali, squadre del cuore;
• date di nascita e anniversari;
• tastiere in sequenza (qwerty, 123456);
• parole comuni seguite da un numero (Estate2026!);
• la stessa base con una piccola variazione per ogni sito.

Per quali account usare la password più lunga

Se vuoi dare priorità, parti da questi:

1. Email principale: da lì si recuperano gli altri account.
2. Gestore di password: la password principale è la chiave di tutto.
3. Banca e pagamenti.
4. Account cloud e Apple/Google/Microsoft.
5. Social e shopping.

Per tutti gli altri basta una password casuale generata dal gestore, che non dovrai ricordare.

Quando cambiare password

Non serve cambiarla ogni 90 giorni "per sicurezza". Cambia password quando:

• il servizio comunica una violazione di dati: vedi cosa fare dopo un data breach;
• hai il sospetto che il tuo dispositivo sia stato infettato (e cambia le password da un dispositivo pulito);
• hai condiviso la password con qualcuno e non vuoi più farlo;
• scopri di averla riusata altrove;
• il controllo ti segnala che è comparsa in un elenco di password esposte.

In breve: si cambia per un motivo, non per calendario. Nei casi di violazione, conta anche quando l'hai cambiata rispetto alla data dell'evento: lo approfondiamo in email in un data breach: sei ancora a rischio?.

Come controllare se una password è già stata esposta

Esiste un modo privato di verificare una password. Pwned Passwords, il servizio di Have I Been Pwned, usa la tecnica k-anonymity: la password viene trasformata in un'impronta (hash SHA-1) sul tuo dispositivo, al servizio vengono inviati solo i primi cinque caratteri dell'impronta e il confronto finale avviene da te. La password non viene mai trasmessa.

Il controllo password di VINDICIS funziona con lo stesso principio. Come leggere il risultato:

• trovata: non usarla mai più e, se la usi da qualche parte, cambiala subito;
• non trovata: non significa che sia forte, solo che non risulta nell'archivio.

L'autenticazione a due fattori: la rete di sicurezza

Anche la password migliore può essere rubata, per esempio da un malware o da una pagina di phishing. Il secondo fattore (un'app di autenticazione, una passkey o una chiave di sicurezza) è il paracadute. Se non l'hai ancora attivata, la guida autenticazione a due fattori: come attivarla ti accompagna.

Le linee guida NIST ricordano anche che le password in sé non sono resistenti al phishing; standard come WebAuthn/FIDO2 (le passkey) offrono quella resistenza. Quando un servizio ti propone le passkey, accettarle è quasi sempre una buona idea.

Se una password è già finita in giro

Non c'è modo di "ritirare" una password rubata: si cambia e basta. Cambiare tutte le password insieme è però irrealistico, quindi procedi per ondate.

1. Prima ondata (oggi): email principale, banca, gestore di password. Tre password nuove, lunghe e uniche. Controllale con il controllo password prima di adottarle.
2. Seconda ondata (questa settimana): social, cloud, shopping con carta salvata. Lascia che sia il gestore a generarle e a ricordarle.
3. Terza ondata (nel mese): tutto il resto, partendo dagli account che il gestore segnala come deboli o riutilizzati.

Quando ricevi un avviso su una nuova violazione, apri l'elenco delle violazioni note per capire cosa è stato esposto: se c'era la password, cambia quella dell'account interessato e di ogni altro dove l'hai riusata. Se invece contava solo l'indirizzo email, non devi cambiare nulla, ma conviene attivare il secondo fattore.

Se lavori per conto tuo, applica la stessa logica a posta aziendale, gestionale e banca, e ripetila ogni volta che un collaboratore lascia l'attività. La pagina per PMI e partite IVA spiega come controllare periodicamente fino a 10 indirizzi email aziendali.

Domande frequenti

Una password lunga senza simboli è sicura?

Sì, se è davvero lunga e imprevedibile e non è usata altrove. Una frase di quattro o cinque parole casuali è più forte di una parola corta con simboli.

Devo cambiare le password ogni tre mesi?

No. Le linee guida più recenti sconsigliano i cambi periodici obbligatori e raccomandano di cambiare password solo in caso di compromissione o sospetto.

È sicuro usare lo stesso schema con una piccola variazione per ogni sito?

No. Chi scopre una password prova per prime le sue variazioni più ovvie. Ogni account deve avere una password indipendente.

Posso salvare le password in un file o su un foglio?

Un foglio custodito in un luogo sicuro può essere meglio del riuso di una password, ma un gestore è più pratico e protegge meglio. Se usi la carta, non scrivere accanto il nome del sito e l'utente completo.

Il controllo delle password invia la mia password a qualcuno?

No. Con la k-anonymity al servizio vengono inviati solo i primi cinque caratteri dell'impronta calcolata sul tuo dispositivo. La verifica finale avviene localmente.