Di Cosa sapere in breve
- Usa almeno 12 caratteri, meglio una frase (passphrase) lunga e casuale;
- una password diversa per ogni servizio: mai riutilizzare la stessa;
- affidati a un password manager per crearle e conservarle in sicurezza;
- attiva sempre l'autenticazione a due fattori (2FA) dove possibile;
- cambia la password se un servizio subisce una violazione, non "a scadenza".
Come deve essere una password sicura
Una password sicura deve essere lunga, unica e imprevedibile: la lunghezza conta più della complessità. Oggi si consigliano almeno 12 caratteri, meglio ancora una "passphrase", cioè una frase lunga composta da più parole casuali, facile da ricordare ma difficile da indovinare.
Le regole pratiche sono poche ma importanti:
- Almeno 12 caratteri, mescolando lettere maiuscole e minuscole, numeri e simboli;
- niente parole di senso compiuto comuni né sequenze come "123456" o "password";
- niente dati personali: nome, cognome, date di nascita o dei familiari sono facili da recuperare;
- una password diversa per ogni account, così una violazione non compromette gli altri servizi.
Usa un password manager
Avere una password diversa e complessa per ogni servizio è impossibile da ricordare: per questo il consiglio più importante è usare un password manager, un'applicazione che genera password robuste e le conserva cifrate. Devi memorizzare solo la password principale (master password), che deve essere lunga e sicura.
Ne esistono di gratuiti e a pagamento, autonomi o integrati in browser e sistemi operativi. Il vantaggio è doppio: password uniche e forti ovunque e compilazione automatica dei moduli di accesso, che riduce anche il rischio di finire su siti di phishing.
Attiva l'autenticazione a due fattori e le passkey
Anche la password più robusta può essere rubata: per questo va affiancata dall'autenticazione a due fattori (2FA), che richiede un secondo elemento oltre alla password (un codice da app, un SMS o una notifica). Così, anche se qualcuno scopre la password, non può accedere senza il secondo fattore.
La novità più recente sono le passkey: un metodo di accesso senza password che usa l'impronta, il volto o il PIN del dispositivo. Sono più sicure e comode e sempre più servizi le supportano: quando disponibili, conviene attivarle.
Gli errori da evitare
Creare una buona password non basta: contano anche le abitudini con cui la si usa e la si conserva. Ecco gli errori più comuni da evitare:
- Riutilizzare la stessa password su più servizi: è il rischio numero uno;
- scriverla su un foglio o salvarla in un file di testo non cifrato sul computer;
- digitarla davanti ad altri o comunicarla via e-mail, SMS o telefono;
- inserirla in siti "verifica password" di dubbia affidabilità o cercarla online: non farlo mai.
Ogni quanto cambiare la password
Contrariamente a quanto si pensava un tempo, non è necessario cambiare la password a scadenza fissa: le linee guida più recenti sconsigliano i cambi periodici obbligatori, perché spingono a scegliere password più deboli e prevedibili. Una password lunga e unica può restare valida a lungo.
Va invece cambiata subito in caso di violazione del servizio o se sospetti che sia stata scoperta. Molti password manager e browser segnalano in automatico se una tua password è comparsa in una fuga di dati: in quel caso, sostituiscila immediatamente.
Domande frequenti
Almeno 12 caratteri. La lunghezza conta più della complessità: una passphrase lunga di più parole casuali è sicura e più facile da ricordare di una breve sequenza complicata.
No, non a scadenza fissa. Le linee guida recenti sconsigliano i cambi periodici obbligatori. Cambiala però subito se il servizio subisce una violazione o se sospetti che sia stata scoperta.
Sì: è oggi la soluzione più consigliata. Conserva le password in forma cifrata e ti permette di averne una diversa e robusta per ogni servizio, ricordando solo la master password.
È un livello di sicurezza in più: oltre alla password serve un secondo elemento (un codice da app o SMS). Così l'account resta protetto anche se qualcuno scopre la password.