Gestori di password: che cosa risolvono, quando gli strumenti online gratuiti falliscono
Il gestore di password è l'unico software di sicurezza che quasi tutti gli esperti considerano utile. Non ti renderà immune alle violazioni, ma elimina le due abitudini che causano più danni: riutilizzare le password fra siti diversi e conservarle in luoghi facili da leggere. Per molte persone un gestore serio è meglio di niente; per altre, quello sbagliato è solo un altro account cloud che non controllano.
Questa guida spiega da che cosa ti protegge un gestore, in che modo la violazione di una cassaforte cifrata differisce da una fuga in chiaro e perché la password principale è insieme l'anello più forte e più debole. Spieghiamo anche quando uno strumento online gratuito è il posto sbagliato per delle credenziali, e quando un foglio di calcolo, un'app nativa o un professionista sono la scommessa più sicura. siteb.biz è una directory indipendente di strumenti del browser, non un produttore; questo è un orientamento, non una raccomandazione.
Che cosa ferma davvero un gestore di password#
La protezione principale non riguarda la violazione del fornitore della cassaforte; riguarda gli attacchi quotidiani che riescono perché le persone riutilizzano le password o ne scelgono di deboli. Quando ogni account ha una password unica e casuale, una violazione presso un servizio non consente di accedere a un altro. Un gestore inoltre compila le credenziali solo sul sito a cui appartengono, il che rende più difficili alcuni attacchi di phishing, ed elimina la tentazione di tenere le password in bozze di email, fogli di calcolo o note del telefono.
- Riempimento credenziali: gli attaccanti prendono una password trapelata da un sito e la provano su decine di altri.
- Password deboli o prevedibili: il gestore genera stringhe che non memorizzeresti mai.
- Phishing con domini sosia: la maggior parte dei gestori rifiuta di compilare le credenziali sul sito sbagliato.
- Password conservate in bella vista: bozze di email, fogli di calcolo e foglietti adesivi.
- Perdita del dispositivo: la tua cassaforte si può ripristinare su un nuovo telefono o computer, purché tu conosca la password principale.
Casseforti cifrate e fughe in chiaro#
Non tutte le violazioni sono uguali. Se un servizio conserva la tua password in chiaro, chiunque rubi l'archivio può leggerla subito. Se ne conserva solo un'impronta, l'attaccante deve romperla, e una password lunga e unica di solito sopravvive. Un gestore aggiunge un altro strato: la tua cassaforte viene cifrata sul tuo dispositivo prima di partire, quindi il fornitore conserva in genere solo testo cifrato. Anche se quel testo cifrato viene rubato, all'attaccante serve comunque la tua password principale per aprirlo. È una differenza reale, ma non è invulnerabilità.
| Scenario | Che cosa ottiene l'attaccante | Che cosa lo ferma |
|---|---|---|
| Fuga in chiaro | La tua password reale, leggibile subito | Nulla; cambiala immediatamente |
| Fuga di impronte | Un'impronta cifrata da rompere | Una password lunga e casuale e un hash lento |
| Furto di una cassaforte cifrata | Testo cifrato senza la chiave di decifratura | La tua password principale e le impostazioni di derivazione della chiave |
| Password principale indovinata | Accesso completo alla cassaforte decifrata | Lunghezza, casualità e il non averla riutilizzata altrove |
Alcuni gestori sono stati criticati per un numero di iterazioni predefinito troppo basso; controlla le impostazioni di sicurezza se la cosa ti preoccupa.
Il problema della password principale#
La cifratura più robusta del mondo diventa inutile se la tua password principale è corta, personale o riutilizzata. Poiché il fornitore della cassaforte non la conosce, non può reimpostarla per te. È esattamente il punto: la chiave è solo tua. Significa anche che se la dimentichi, i dati sono persi. Le migliori password principali sono lunghe frasi d'accesso — cinque o sei parole casuali, oppure una lunga sequenza di caratteri che sai digitare senza errori. Per questo compito lo strumento online gratuito giusto è un generatore di frasi d'accesso che gira interamente nel tuo browser; qualsiasi cosa invii candidati a un server sta imparando la tua futura password principale.
- Usa almeno 16 caratteri; 20 o più sono meglio se riesci a digitarli con costanza.
- Non riutilizzare mai la password principale altrove, nemmeno come risposta di sicurezza.
- Evita nomi, date di nascita, nomi di animali e citazioni preferite che compaiono online.
- Generala con uno strumento di frasi d'accesso che gira nel browser e non carica il risultato.
- Esercitati a digitarla per diversi giorni prima di affidarti a essa; la memoria muscolare conta.
Il piano di recupero da scrivere prima che serva#
La maggior parte delle persone pensa al recupero solo dopo essersi bloccata fuori. Scrivi il piano su carta prima che accada. Conserva il foglio in un luogo sicuro: un cassetto chiuso a chiave, una cassaforte o presso una persona di fiducia, a seconda del tuo modello di minaccia. Non tenere l'unica copia accanto al computer. Il foglio non dovrebbe contenere la password principale, a meno che tu non abbia deciso consapevolmente che il rischio di dimenticarla superi quello che qualcun altro la trovi. Per la maggior parte delle persone basta un buon indizio.
| Elemento da annotare | Perché conta | Dove conservarlo |
|---|---|---|
| Nome del fornitore della cassaforte ed email di accesso | Non puoi recuperare ciò che non riesci a trovare | Su carta e in un indirizzo email secondario |
| Metodo di autenticazione a due fattori | Perdere l'autenticatore può bloccarti fuori | Codici di riserva in una busta sigillata |
| Contatto di emergenza o per la successione | Se sei impossibilitato, qualcuno deve poter accedere agli account | Con il tuo testamento o presso un parente di fiducia |
| Indizio della password principale | Risveglia la memoria senza rivelare la frase | Su carta, separato dal dispositivo |
| Chiave di recupero o file di esportazione | Consente di passare a un altro gestore o di ripristinare l'accesso | Chiavetta USB cifrata o cassetta di sicurezza |
Una traccia su carta non è antiquata; è offline, duratura e più difficile da rubare a distanza di una nota nel cloud.
Quando un gestore di password è la scelta sbagliata#
Ci sono situazioni in cui un gestore aggiunge attrito senza aggiungere sicurezza. Se non riesci a ricordare una password principale robusta e non hai un posto sicuro per un indizio, prima o poi ti bloccherai fuori da solo. Se dei familiari devono accedere agli account quando tu non puoi, un foglio di calcolo condiviso in un luogo sicuro può risultare più pratico, benché meno sicuro sotto altri aspetti. Le imprese regolamentate hanno a volte bisogno di registri di controllo e amministrazione centralizzata che i gestori consumer non offrono. In quei casi uno strumento online gratuito è il posto sbagliato per la tua cassaforte; la risposta giusta può essere un prodotto aziendale, un portachiavi di sistema o un professionista.
- Non hai né un piano di recupero né un contatto di fiducia che custodisca una copia.
- Condividi credenziali con familiari che non useranno la stessa applicazione.
- Il tuo datore di lavoro o l'autorità di vigilanza richiede registrazione, deposito o amministrazione centralizzata.
- Ti serve l'accesso su dispositivi che non possono eseguire il gestore o la sua sincronizzazione.
- Non riesci a memorizzare o a digitare in modo affidabile una lunga password principale.
Scegliere fra i quattro tipi più comuni#
Gli strumenti consumer per la gestione delle password si dividono in quattro categorie, e la migliore dipende da quanto controllo vuoi e da quanto sei disposto a spendere. I gestori integrati nel browser sono comodi ma legati a un solo ecosistema. I portachiavi di sistema sono meglio integrati e cifrati, ma restano limitati. I gestori cloud si sincronizzano fra dispositivi e aggiungono la condivisione, al prezzo di fidarsi di un terzo. Le soluzioni auto-ospitate danno controllo totale, ma anche piena responsabilità su backup e aggiornamenti.
| Tipo | Costo tipico | Compromesso |
|---|---|---|
| Integrato nel browser | 0 € | Comodo, ma legato a un account del browser e difficile da esportare |
| Portachiavi di sistema | 0 € (incluso con il dispositivo) | Molto integrato, ma con condivisione e recupero limitati |
| Gestore cloud | 0-60 €/anno (piano gratuito o funzioni a pagamento) | Sincronizzazione e condivisione fra dispositivi, ma ti fidi della sicurezza del fornitore |
| Cassaforte auto-ospitata | 0-200 €/anno (hardware, hosting e il tuo tempo) | Controllo totale, ma sei l'unico responsabile di backup e aggiornamenti |
Sono orientamenti generali, non consulenza legale, finanziaria o di sicurezza regolamentata; consulta un professionista se tratti dati organizzativi sensibili.
Una breve lista per l'avvio#
- Scegli il tipo di cassaforte adatto alle tue esigenze di recupero e al tuo budget.
- Genera una lunga frase d'accesso principale con uno strumento del browser che funzioni in locale.
- Attiva l'autenticazione a due fattori sull'account della cassaforte e conserva i codici di riserva.
- Aggiungi prima qualche account a basso rischio, poi migra gradualmente gli altri.
- Scrivi il foglio di recupero e conservalo offline prima di eliminare i vecchi elenchi di password.
Non trattare l'avvio come un evento unico; rivedi il tuo kit di recupero almeno una volta all'anno.
Domande frequenti
L'azienda che produce il gestore può vedere le mie password?
In un servizio ben progettato, no. Il fornitore conserva solo dati cifrati e non riceve mai la tua password principale in forma utilizzabile; la decifratura avviene sul tuo dispositivo. Si parla spesso di architettura a conoscenza zero. Non è però magia. Stai comunque confidando che codice, meccanismo di aggiornamento e crittografia siano implementati correttamente. Un fornitore disonesto o compromesso potrebbe, in teoria, distribuire un aggiornamento malevolo che catturi la tua password principale mentre la digiti. Per questo molti preferiscono gestori a codice aperto o verificati in modo indipendente, e per questo conviene tenere l'applicazione aggiornata.
Che cosa devo fare se il mio gestore di password segnala una violazione?
Prima di tutto scopri se i dati rubati fossero file di cassaforte cifrati o informazioni di account in chiaro. Se è stato preso solo testo cifrato, cambia la password principale per precauzione e rivedi le impostazioni di autenticazione a due fattori; i vecchi file resteranno protetti dalla password principale precedente, a meno che non fosse debole. Se sono stati esposti dati in chiaro come indirizzi email o URL, tieni d'occhio i tentativi di phishing mirato e valuta di cambiare le password più sensibili. Se avevi riutilizzato la password principale altrove, cambia subito quelle copie: quel riutilizzo è ora il vero pericolo.
Un generatore di password online gratuito è sicuro?
Dipende da che cosa fa con i dati. Un generatore che gira interamente nel tuo browser e non carica mai il risultato può essere perfettamente sicuro per creare password occasionali. Il rischio nasce quando uno strumento invia la password generata a un server, la registra nelle statistiche o gira su un sito di cui non ti fidi. Per le password quotidiane, un generatore locale nel browser è ragionevole. Per la password principale, usa un generatore di frasi d'accesso anch'esso locale, e non incollare mai il risultato in un modulo online solo per provarlo. In caso di dubbio, genera le password offline.
strumenti online gratuitipro e contro dei gestori di passwordviolazione di una cassaforte cifrata spiegatacome scegliere una password principalepiano di recupero di un gestore di passwordgeneratore di frasi d'accesso o di password
