Come gestire le password. Guida completa

Aggiungi Cryptoverso tra le tue fonti preferite su Google

Ogni giorno miliardi di credenziali vengono scambiate nei mercati neri del dark web. Eppure la risposta media dell’utente è ancora quella di ricorrere a password semplici, riutilizzate decine di volte su servizi diversi.

Il problema non è la mancanza di consapevolezza. Quasi tutti sanno che “password123” è una pessima scelta, ma la difficoltà pratica di gestire decine di credenziali uniche e complesse. Qui entra in gioco la cultura della sicurezza informatica personale.

⚠ Dati allarmanti

Le dieci password più usate al mondo includono ancora varianti di “123456”, “password” e “qwerty”. Il riutilizzo delle credenziali è la causa principale del fenomeno del credential stuffing, attacchi in cui hacker provano le stesse combinazioni su centinaia di siti diversi.

Come le password vengono rubate

Per capire perché ogni buona pratica è importante, è necessario conoscere le tecniche che gli attaccanti usano quotidianamente. Si tratta di attacchi automatizzati, scalabili e già in esecuzione proprio adesso.

📊 Dimensione del problema

Secondo le stime del settore, oltre 15 miliardi di credenziali circolano attualmente nei marketplace del dark web. La probabilità statistica che almeno una tua vecchia password sia già presente in qualche dump è concreta, specialmente se hai account online da più di cinque anni.

Perché il browser non basta

Chrome, Firefox, Safari o Brave offrono gestori di password integrati comodi, ma presentano limiti di sicurezza strutturali: le credenziali sono legate all’account Google o Apple, non sempre cifrate localmente in modo robusto, e soprattutto sono il primo bersaglio dei malware dedicati al furto di password da browser. Un gestore dedicato con vault cifrato separato offre una superficie d’attacco molto più piccola.

Anatomia di una password robusta

Una password sicura non deve essere per forza incomprensibile. Deve essere lunga, unica e imprevedibile. Questi tre attributi, combinati insieme, rendono un attacco brute-force computazionalmente impossibile in tempi ragionevoli.

Le regole fondamentali

• Lunghezza minima di 14–16 caratteri (idealmente 20+)
• Combinazione di lettere maiuscole, minuscole, numeri e simboli
• Nessuna parola presente in un dizionario o legata a dati personali
• Password univoca per ogni account. Mai riutilizzarla
• Generata casualmente, non inventata “a mano”
• Aggiornata immediatamente in caso di violazione del servizio

Cosa evitare assolutamente

• Date di nascita, nomi di animali domestici o famigliari
• Sequenze di tastiera come “qwerty” o “asdf1234”
• La stessa password con un numero aggiuntivo (es. “Pippo1” → “Pippo2”)
• Password salvate in file di testo non cifrati o in foglietti fisici
• Credenziali condivise via email o messaggi non cifrati

«Una password non deve essere memorabile. Deve essere sicura. Esistono gli strumenti per ricordargliela al posto tuo.»— Principio base della gestione moderna delle credenziali

La tecnica della passphrase

Un’alternativa valida per le password che devi ricordare a memoria (come la master password del gestore) è la passphrase: una sequenza di quattro o cinque parole casuali non correlate tra loro. Facile da ricordare, computazionalmente robusta.

# Esempio di passphrase robusta
corvo.satellite.lampada.treno.oceano

# Entropia stimata: ~65 bit (NIST SP 800-63B)
# Tempo di crack (brute-force moderno): secoli

I gestori di password: perché ne hai bisogno

Un gestore di password (o password manager) è un’applicazione che genera, memorizza e inserisce automaticamente le tue credenziali. Funziona come un caveau digitale cifrato: tu ricordi una sola password maestra, lui si occupa di tutto il resto.

La logica è semplice ma rivoluzionaria nella pratica: non dovendo più ricordare le password, puoi permetterti di averne di assolutamente casuali e uniche per ogni servizio. È la soluzione al problema che dicevamo all’inizio.

Come funziona tecnicamente

I gestori moderni utilizzano cifratura end-to-end con algoritmi come AES-256. La tua master password non viene mai trasmessa ai server: serve solo localmente per derivare la chiave di decifratura. I provider, in un modello zero-knowledge, non possono vedere le tue credenziali nemmeno volendo.

I principali player del mercato

Il mercato offre diverse soluzioni mature. Le più diffuse sono 1Password, Bitwarden, Dashlane e Keeper. Ognuna ha punti di forza diversi: 1Password è rinomata per l’esperienza utente e le funzionalità enterprise; Bitwarden è open source e offre un piano gratuito generoso; Dashlane integra una VPN; Keeper punta sulla sicurezza enterprise.

Per quanto mi riguarda, essendo già da tempo utilizzatore di Proton VPN, la mia scelta è caduta su Proton Pass.

Proton Pass

Sviluppato dal team svizzero di Proton AG, gli stessi di ProtonMail e Proton VPN, Proton Pass nasce con un DNA molto preciso: la privacy non come funzione aggiuntiva, ma come principio architetturale irrinunciabile.

A differenza di molti concorrenti, Proton Pass cifra tutto: non solo le password, ma anche i metadati delle voci, URL dei siti, nomi degli account, note. Anche le piccole informazioni che di solito vengono trattate come innocue possono, aggregate, rivelare molto su di te.

La giurisdizione svizzera è un valore aggiunto. In un’era in cui l’Europa punta all’indipendenza dalle altre superpotenze, la scelta di un fornitore di servizi europeo va ritenuto come un tassello in più sulla sicurezza.

🇨🇭 Giurisdizione Svizzera

Proton AG ha sede a Ginevra, Svizzera, una delle giurisdizioni con le leggi sulla privacy più solide al mondo. Non è soggetta alla sorveglianza di massa statunitense (FISA, Patriot Act) né alla direttiva europea sulla data retention nella stessa misura di provider di altri paesi.

Architettura di sicurezza

Proton Pass utilizza cifratura AES-256 per i dati a riposo e un protocollo sicuro basato su SRP (Secure Remote Password) per l’autenticazione, che impedisce alla password maestra di essere trasmessa al server anche in forma hash. Il modello è genuinamente zero-knowledge: Proton non può tecnicamente accedere ai tuoi dati, indipendentemente da qualsiasi richiesta esterna.

Il codice delle app è open source e sottoposto a audit indipendenti, il che significa che chiunque può verificare che le implementazioni corrispondano alle dichiarazioni di sicurezza.

Funzionalità principali

Piani e prezzi

Funzionalità	Gratuito	Plus (~3€/mese)	Proton Unlimited
Password illimitate	Sì	Sì	Sì
Email alias	10 alias	Illimitati	Illimitati
Autenticatore 2FA	No	Sì	Sì
Dark web monitoring	No	Sì	Sì
Proton Sentinel	No	Sì	Sì
Vault multipli	1 vault	Illimitati	Illimitati
Incluso in bundle	—	Solo Pass	Mail + VPN + Drive + Calendar

💡 Usa il mio reflink

Per iscriverti, accedi tramite questo link e crea il tuo account proton.

Pro e contro di Proton Pass

• Privacy estrema: cifra anche i metadati, non solo le password
• Open source e sottoposto a audit di sicurezza indipendenti
• Giurisdizione svizzera con leggi sulla privacy solide
• Email alias integrati: funzione rara e potentissima
• Piano gratuito con password illimitate (raro nel settore)
• Integrazione nativa con l’ecosistema Proton (Mail, VPN, Drive)
• Autenticatore TOTP integrato nel piano Plus

• Supporto clienti senza live chat: solo email e ticket (risposte più lente)
• Manca ancora la funzione di emergency access (accesso di emergenza a un contatto fidato)
• Più costoso di Bitwarden per chi ha bisogno delle sole funzionalità base
• Alcune funzionalità avanzate ancora in evoluzione rispetto a competitor più maturi

Migrare a Proton Pass: guida pratica

Se stai già usando un altro gestore o vuoi iniziare da zero, il processo è meno complicato di quanto sembri.

Importare da un gestore esistente

Proton Pass supporta l’importazione diretta da 1Password, Bitwarden, LastPass, Dashlane, Keeper e dal gestore integrato di Chrome e Firefox. Il processo avviene tramite un file di esportazione (tipicamente CSV o JSON) che viene letto localmente, cifrato e caricato nel vault.

⚠ Attenzione durante la migrazione

Il file di esportazione contiene le tue password in chiaro. Dopo l’importazione, eliminalo immediatamente in modo sicuro (svuota anche il cestino) e assicurati di non averlo salvato in cloud non cifrato come Google Drive o Dropbox.

Configurare la sicurezza dell’account

• Scegli una master password forte come passphrase (vedi sezione 2)
• Abilita subito l’autenticazione a due fattori sull’account Proton
• Attiva Proton Sentinel se disponibile nel tuo piano
• Configura l’autofill su tutti i dispositivi e i browser che usi
• Esplora la funzione alias: usala per le registrazioni future
• Esegui il controllo salute delle password e aggiorna quelle deboli

Buone abitudini quotidiane

Avere un gestore di password non è il punto d’arrivo ma il punto di partenza. La sicurezza si costruisce giorno dopo giorno: generare una nuova password unica ogni volta che crei un account, aggiornare tempestivamente le credenziali quando un servizio notifica una violazione, usare gli alias email per limitare l’esposizione della tua casella principale.

Il dark web monitoring di Proton Pass, presente nel piano Plus, analizza continuamente le violazioni note e ti avvisa se le tue credenziali compaiono in qualche dump di dati. È un sistema di allarme precoce che puoi abilitare e dimenticare, sapendo che lavora per te in background.

How-To: come installare e configurare Proton Pass

Come importare le password da un altro gestore o dal browser

Esporta dal gestore attuale

Dal tuo gestore attuale (o dal browser), cerca la funzione di esportazione. Il formato standard è CSV. In Chrome: Impostazioni → Riempimento automatico → Password → icona ⋮ → Esporta password. In Bitwarden: Strumenti → Esporta vault → formato JSON.

Importa in Proton Pass

Apri Proton Pass → menu → Importa → seleziona la sorgente (Chrome, Bitwarden, 1Password, LastPass, Dashlane, Keeper, ecc.). Carica il file: l’importazione avviene localmente sul dispositivo, il file non transita mai in chiaro sui server Proton.

Elimina il file di esportazione immediatamente

Il file CSV/JSON contiene tutte le tue password in chiaro. Dopo l’importazione: eliminalo dalla cartella Download, svuota il cestino, controlla che non sia stato sincronizzato su nessun cloud (Google Drive, iCloud, Dropbox).

⚠ Operazione critica: non saltare questo passaggio

Disabilita il salvataggio password nel browser

Ora che usi un gestore dedicato, il gestore del browser è ridondante e meno sicuro. Disabilitalo: in Chrome Impostazioni → Riempimento automatico → Password → disattiva “Proponi di salvare le password”. Ripeti per ogni browser installato.

Come generare e usare una password sicura con Proton Pass

Registrati su un nuovo sito

Quando arrivi al campo “crea password” su un nuovo servizio, clicca sull’icona di Proton Pass nel campo o usa la scorciatoia dell’estensione.

Genera una password casuale

Scegli “Genera password”. Imposta lunghezza minima 20 caratteri, includi maiuscole, minuscole, numeri e simboli. Alcuni siti hanno limitazioni sui caratteri speciali: in quel caso usa solo lettere e numeri ma aumenta ulteriormente la lunghezza.

Usa un alias email invece della tua email reale

Prima di completare la registrazione, genera un alias email con Proton Pass (funzione “Hide-my-email”). L’alias inoltrerà le email al tuo indirizzo reale, ma il sito non conoscerà mai la tua vera casella. Se inizi a ricevere spam, puoi disabilitare quell’alias.

Salva e verifica l’autofill

Proton Pass salverà automaticamente le credenziali nel vault. Al prossimo accesso, l’estensione le proporrà automaticamente senza che tu debba digitare nulla. Verifica che il dominio nella voce salvata corrisponda esattamente al sito.

Come eseguire il controllo salute delle password

Apri il Password Health Monitor

In Proton Pass, vai sulla sezione dedicata alla salute delle password. Troverai un report aggregato con tre categorie principali: password riutilizzate, password deboli, password potenzialmente esposte in violazioni note.

Affronta prima le password riutilizzate

Queste sono la priorità assoluta: una sola violazione le compromette tutte. Per ogni password duplicata, accedi al sito corrispondente, vai nelle impostazioni del profilo e cambia la password usando il generatore di Proton Pass.

Sostituisci le password deboli

Procedi in ordine di importanza: prima i servizi finanziari (banca, PayPal, broker, exchange), poi email principale, poi social, poi servizi di streaming e forum. Non devi farlo tutto in un giorno: anche cinque aggiornamenti a settimana portano risultati significativi.

Attiva il dark web monitoring (piano Plus)

Con il piano Plus, Proton Pass controlla automaticamente se le tue email e credenziali compaiono nei database di violazioni noti. Quando ricevi una notifica, cambia immediatamente la password del servizio coinvolto e, se l’hai riutilizzata altrove, anche là.

FAQ — Domande frequenti

Le domande più comuni sulla sicurezza delle password, sui gestori e su Proton Pass nello specifico.