Ogni anno, i ricercatori di sicurezza pubblicano la lista delle password più utilizzate. Ogni anno, "123456" e "password" sono ancora ai primi posti. Nel frattempo, le violazioni di dati espongono miliardi di credenziali ogni anno. Il divario tra ciò che le persone sanno di dover fare e ciò che effettivamente fanno con le proprie password resta enorme.
Questa guida copre tutto ciò che devi sapere sulla creazione e gestione di password sicure nel 2026, incluse le alternative più recenti che potrebbero un giorno sostituire completamente le password.
Perché le password contano ancora
Nonostante i progressi nella biometria e nelle passkey, le password restano il metodo di autenticazione principale per la stragrande maggioranza dei servizi online. La tua email, il conto bancario, lo storage cloud, i social media e gli strumenti di lavoro dipendono tutti dalle password. Una password debole o riutilizzata è spesso l'unico punto di vulnerabilità che porta alla compromissione di un account.
Le conseguenze possono essere gravi: furto d'identità, perdite finanziarie, esposizione di comunicazioni private e, in contesti professionali, violazioni che coinvolgono un'intera organizzazione.
Anatomia di una password sicura
Una password sicura ha tre qualità essenziali:
- Lunghezza. È il fattore più importante in assoluto. Ogni carattere aggiuntivo moltiplica esponenzialmente il numero di combinazioni possibili. Una password di 16 caratteri è astronomicamente più difficile da violare rispetto a una di 8.
- Casualità. La password non dovrebbe contenere parole del dizionario, nomi, date o schemi prevedibili. La vera casualità è ciò che rende impraticabili gli attacchi a forza bruta.
- Unicità. Ogni account dovrebbe avere la propria password. Riutilizzare le password significa che una violazione su un servizio compromette ogni servizio che condivide quella password.
| Tipo di password | Esempio | Tempo per decifrarla |
|---|---|---|
| 6 cifre | 481937 | Istantaneo |
| Parola comune | sunshine | Istantaneo |
| Parola + numero | Monkey12 | Secondi |
| 12 caratteri misti | kP7$mN2@xL9q | Secoli |
| 16 caratteri casuali | vB8#nR4&jF6!wQ1% | Milioni di anni |
| Passphrase di 5 parole | correct horse battery staple green | Secoli |
Anche le passphrase funzionano. Una sequenza di 4-6 parole casuali e non correlate (come "marmo tromba oceano bicicletta") può essere sia sicura che facile da ricordare. La lunghezza compensa l'uso di parole del dizionario, a patto che le parole siano scelte veramente a caso.
Gli errori più comuni
- Riutilizzare le password. Se un servizio subisce una violazione, gli aggressori proveranno quella password su ogni altro servizio (questo si chiama credential stuffing).
- Informazioni personali. Il nome del tuo animale domestico, la data di nascita o l'indirizzo di casa sono facili da trovare sui social media per un attaccante.
- Sostituzioni semplici. Sostituire "a" con "@" o "o" con "0" non inganna gli strumenti di cracking moderni. Testano queste variazioni automaticamente.
- Password corte. Qualsiasi password sotto i 12 caratteri è sempre più vulnerabile con l'aumento della potenza di calcolo.
- Schemi sulla tastiera. "qwerty", "asdfgh" e "zxcvbn" sono tra le prime combinazioni provate dagli aggressori.
Password manager: la soluzione pratica
Nessuno può memorizzare decine di password uniche, casuali e di 16 caratteri. È qui che entrano in gioco i password manager. Un password manager memorizza tutte le tue password in un archivio crittografato protetto da una singola password principale.
Vantaggi dell'uso di un password manager:
- Genera password forti e casuali per ogni account
- Compila automaticamente i moduli di login senza dover digitare le password
- Si sincronizza su tutti i tuoi dispositivi
- Ti avvisa se una password memorizzata compare in una violazione nota
- Conserva note sicure, carte di credito e altri dati sensibili
Le opzioni più popolari includono Bitwarden (open-source, livello gratuito disponibile), 1Password e i manager integrati in iOS e Android. L'importante è sceglierne uno e usarlo costantemente.
Autenticazione a due fattori (2FA)
Una password sicura è la tua prima linea di difesa. L'autenticazione a due fattori è la seconda. Con la 2FA attivata, per accedere servono sia la password che un secondo fattore, tipicamente un codice da un'app di autenticazione o una chiave di sicurezza fisica.
Anche se un aggressore ottiene la tua password, non può accedere al tuo account senza il secondo fattore. Attiva la 2FA su ogni account che la supporta, specialmente email, banca e storage cloud.
Preferisci le app di autenticazione agli SMS. La 2FA via SMS è meglio di niente, ma può essere aggirata da attacchi di SIM-swapping. Le app di autenticazione (come Aegis, Ente Auth o Google Authenticator) e le chiavi di sicurezza hardware (come YubiKey) sono significativamente più sicure.
Passkey: il futuro dell'autenticazione
Le passkey sono una tecnologia più recente supportata da Apple, Google e Microsoft che potrebbe un giorno sostituire completamente le password. Una passkey è una credenziale crittografica memorizzata sul tuo dispositivo. Quando accedi, il tuo dispositivo dimostra la tua identità usando la crittografia a chiave pubblica — nessuna password viene trasmessa o memorizzata sul server.
Le passkey non possono essere oggetto di phishing (sono legate al sito specifico), non possono essere riutilizzate tra i servizi e non devono essere memorizzate. Nel 2026, il supporto alle passkey sta crescendo rapidamente e molti servizi principali le offrono come opzione.
Sei già stato coinvolto in una violazione?
La tua email e le tue password potrebbero già circolare nei database di violazioni. Servizi come Have I Been Pwned ti permettono di verificare se il tuo indirizzo email compare in violazioni note. Se è così, cambia immediatamente le password degli account interessati e assicurati di non riutilizzare quelle password altrove.
Un piano d'azione semplice
- Installa un password manager e inizia a memorizzare le tue password al suo interno
- Cambia prima le password più critiche (email, banca, storage cloud)
- Rendi ogni password di almeno 14 caratteri, casuale e unica
- Attiva la 2FA su ogni account che la offre
- Configura le passkey dove disponibili
- Controlla Have I Been Pwned periodicamente
Per approfondire
ToolK.io offre strumenti gratuiti per generare password sicure e verificarne la robustezza, oltre a tutorial che ti guidano passo dopo passo nella protezione dei tuoi account.