Password salvate nel browser: sono davvero sicure?
Salvare le password nel browser è comodo, ma quanto è sicuro? Pro e contro, come funzionano gli infostealer e come proteggerti con poche impostazioni.
6 min di lettura
Indice
- Cosa fa davvero il browser quando salva una password
- Il rischio reale: il malware che legge l'archivio
- Browser o gestore di password dedicato?
- Sette impostazioni per ridurre il rischio
- Cosa fare se sospetti che le password siano state rubate
- Il dubbio più comune: meglio non salvare niente?
- Come verificare cosa hai già salvato
- E se le password sono già in circolazione?
- Domande frequenti
Chrome, Edge, Safari e Firefox ti propongono di salvare le password. È comodo, ma è anche sicuro? La risposta dipende da cosa vuoi evitare. Le password salvate nel browser sono molto meglio di una password debole riusata ovunque, ma hanno un limite preciso: se il computer viene infettato da un malware, il browser è il primo posto dove guardare. Qui trovi un confronto onesto e le impostazioni che riducono il rischio.
Informazioni generali sulla sicurezza informatica personale.
Cosa fa davvero il browser quando salva una password
Quando accetti di salvare una password, il browser la conserva in un archivio locale, che di norma è protetto in qualche forma dal tuo account di sistema operativo. Molti browser permettono inoltre di sincronizzare le password sul tuo account (Google, Microsoft, Apple, Mozilla), così le ritrovi su tutti i dispositivi.
Il vantaggio è evidente: se ti ricordi una sola password principale, puoi avere credenziali lunghe e diverse per ogni sito. Un browser aggiornato di norma segnala anche le password deboli, riutilizzate o apparse in violazioni note.
Il rischio reale: il malware che legge l'archivio
Il problema non è che il browser "perda" le password da solo. È che il computer sia compromesso. Gli infostealer (ne parliamo in cos'è un infostealer) sono programmi che, una volta in esecuzione sul tuo dispositivo, cercano proprio i dati dei browser: password, cookie di sessione, dati di compilazione automatica. Le analisi tecniche pubblicate in Italia descrivono questi programmi come capaci di prendere di mira l'archivio delle credenziali del browser e di inviare quanto raccolto a un server degli aggressori.
L'ENISA, nel suo rapporto sul panorama delle minacce 2025, include gli infostealer tra le minacce costanti del periodo, usate per il furto di credenziali, il dirottamento delle sessioni e l'intermediazione di accessi. Quindi, se un infostealer entra, la domanda non è "quanto è sicuro il browser" ma "quante cose ho lasciato a disposizione in quel posto".
Browser o gestore di password dedicato?
Non c'è una risposta unica, ma questo schema aiuta.
| Gestore del browser | Gestore dedicato (es. Bitwarden, KeePassXC) | |
|---|---|---|
| Comodità | Altissima, già integrato | Richiede installazione e abitudine |
| Password principale | Spesso legata al blocco del computer | Una password principale solo tua |
| Isolamento | Condivide il profilo del browser | Archivio separato |
| Protezione contro malware | Limitata se il PC è infetto | Maggiore se non lasci il database sbloccato; non assoluta |
| Funzioni extra | Poche | Passkey, note, condivisione, audit |
Un gestore dedicato non rende immuni da un PC infetto (un malware potrebbe catturare ciò che digiti o l'archivio sbloccato), ma sposta le password fuori dal luogo che i malware controllano per primo e ti dà la possibilità di bloccare il database quando non lo usi. Se vuoi scegliere, leggi password manager gratis: come scegliere uno sicuro.
Sette impostazioni per ridurre il rischio
- Blocca sempre il computer con una password o un PIN robusto. Se qualcuno ha accesso fisico al PC sbloccato, ha accesso al browser.
- Proteggi il tuo account del browser (Google, Microsoft, Apple) con una password unica e con autenticazione a due fattori.
- Non salvare nel browser le credenziali più delicate (banca, email principale, amministrazione del sito aziendale) se hai alternative più robuste.
- Controlla periodicamente le password riutilizzate o compromesse: il browser spesso ha uno strumento dedicato; puoi usare anche il controllo password di VINDICIS per verificare una singola password senza inviarla.
- Aggiorna browser e sistema operativo appena possibile.
- Non installare software craccato né eseguire comandi richiesti da pagine web: sono due dei canali di infezione più documentati.
- Rivedi le estensioni: rimuovi quelle che non usi; un'estensione dannosa può accedere ai dati di navigazione.
Cosa fare se sospetti che le password siano state rubate
Se hai motivo di pensare che il computer sia stato infettato (per esempio avvisi di accesso strani, password cambiate, oppure un programma di dubbia provenienza):
- smetti di usare quel PC per operazioni sensibili;
- da un altro dispositivo pulito cambia le password, a partire da email e banca;
- esci da tutte le sessioni attive;
- pulisci il PC (scansione, eventuale reinstallazione);
- controlla i movimenti bancari.
La procedura completa è in come capire se il PC è infetto. Una volta pulito il dispositivo, tutte le password che erano salvate nel browser vanno considerate "bruciate" e sostituite.
Il dubbio più comune: meglio non salvare niente?
No. L'alternativa "non salvo nulla" porta quasi sempre a scegliere password semplici o ripetute, che sono molto peggio. Il consiglio realistico è: salva sì, ma con criterio. Usa password lunghe e uniche, proteggi l'account con il secondo fattore, tieni il computer pulito e, per ciò che conta davvero, passa a un gestore dedicato.
Come verificare cosa hai già salvato
Un buon momento per fare ordine è adesso. Apri l'elenco delle password salvate nel tuo browser e fai tre controlli:
- Quante sono? Spesso sono centinaia, molte di servizi che non usi più. Elimina quelle inutili.
- Quali sono riutilizzate? Il browser ti segnala quelle duplicate o deboli: cambia per prime quelle di posta, banca e pagamenti.
- Quali compaiono in violazioni? Usa il controllo password per le più importanti e verifica con l'elenco delle violazioni note quali dati sono stati esposti nei casi più rilevanti.
E se le password sono già in circolazione?
Se un infostealer ha già colpito un tuo dispositivo in passato, le credenziali potrebbero essere state raccolte senza che tu lo sapessi. Con la scansione gratuita puoi vedere se il tuo indirizzo email compare in violazioni note o in casi di infezione noti. Il risultato è una fotografia: non dice se il PC è infetto adesso, ma segnala se in passato le tue credenziali sono finite in raccolte note. Con l'abbonamento mensile il controllo si ripete ogni mese e, se compare un problema grave nuovo, ricevi un avviso immediato.
Domande frequenti
Le password salvate in Chrome sono cifrate?
Il browser protegge l'archivio con meccanismi legati all'account di sistema, ma questo non basta se sul computer gira un malware con gli stessi permessi dell'utente. I dettagli tecnici cambiano da versione a versione, quindi non va considerato un guscio impenetrabile.
È più sicuro il gestore password di Chrome o di Safari?
Dipende dal modello di minaccia. Tutti sono una scelta ragionevole rispetto al riuso delle password. Per i dati più importanti un gestore dedicato offre isolamento e funzioni extra.
Cosa succede se qualcuno accede al mio account Google o Apple?
Se le password sono sincronizzate sull'account, chi lo controlla può raggiungerle. Per questo è essenziale proteggere l'account con una password unica e l'autenticazione a due fattori.
Devo cancellare tutte le password dal browser?
Non è obbligatorio. Cancella quelle delle credenziali critiche se le sposti in un gestore dedicato, e tieni solo ciò che sei disposto a rischiare. In caso di infezione, cambiale tutte.
Le passkey sono più sicure delle password nel browser?
Le passkey sono credenziali crittografiche legate a un sito specifico, progettate per resistere al phishing e per non avere un segreto condiviso conservato sul server. Quando disponibili, sono una scelta migliore della password.
Informazioni generali a scopo divulgativo, non consulenza legale. VINDICIS è un software di autovalutazione: nessuno strumento può garantire che i tuoi dati siano al sicuro o che vengano cancellati.