Come salvare le password in modo sicuro
In media ognuno di noi ha più di 80 account: email, social, banca, SPID, negozi online, app di lavoro. Nessuno può ricordare 80 password diverse, così si finisce per usare sempre la stessa, magari con una piccola variante, o per scriverle dove capita. È proprio lì che nascono la maggior parte dei furti di account. La buona notizia è che la soluzione è semplice: password lunghe e diverse per ogni servizio, conservate in una cassaforte protetta da una sola password principale.
Dove NON salvare le password
- Post-it e agendine sulla scrivania: li vede chiunque passi, compresi clienti, colleghi e addetti alle pulizie.
- Note del telefono o file Word ed Excel non protetti: chi ha accesso al telefono o al computer, anche per un minuto, le legge tutte.
- Email o chat inviate a te stesso: se qualcuno entra nella casella o in WhatsApp Web, trova l'elenco completo già pronto.
- Foto dello schermo o del foglio: finiscono nel backup della galleria e a volte vengono condivise per sbaglio.
- La stessa password ovunque: basta la violazione di un sito qualsiasi perché i truffatori la provino in automatico sulla tua email e sulla banca.
Dove salvarle: in un password manager
Un password manager è una cassaforte digitale: conserva tutte le password cifrate e si apre con una sola password principale. Password Totale è il nostro, gratuito e senza cloud. Vanno bene anche altri prodotti affidabili (Bitwarden, 1Password, KeePass) o quello integrato nel telefono, purché protetto bene. L'importante è smettere di affidarsi alla memoria e ai foglietti.
| Metodo | Sicurezza | Comodità | Rischio principale |
|---|---|---|---|
| Post-it, quaderno | Bassa | Media | Chiunque lo veda; si perde |
| Note del telefono, file Excel | Bassa | Alta | Leggibili da chi accede al dispositivo o al backup |
| Stessa password ovunque | Molto bassa | Alta | Una violazione apre tutti gli account |
| Password salvate nel browser | Media | Alta | Legate all'account Google o Apple e al computer sbloccato |
| Password manager (come Password Totale) | Alta | Alta | Dimenticare la password principale: per questo esiste la frase segreta |
1. Scegli bene la password principale
È l'unica che devi ricordare, quindi deve essere lunga, unica e mai usata altrove. La scelta più semplice è una
frase segreta: 5 o 6 parole scelte a caso, unite da un trattino, più un numero. Per esempio
Lanterna-Fico-Pinguino-Duna-Sirena-73: è facile da immaginare e da digitare, ma impossibile da indovinare.
Non usare frasi famose, versi di canzoni o il nome del tuo cane: i programmi di attacco li conoscono. Password Totale non ti
fa entrare con una password debole e, se vuoi, te ne suggerisce una.
2. Una password diversa per ogni servizio
Quando un sito viene violato, le coppie email + password finiscono in elenchi che i truffatori provano su migliaia di altri siti in pochi minuti. Se ogni account ha la sua password, il danno resta chiuso in quel sito. Non serve inventarle: usa il generatore di password sicure oppure il pulsante 🎲 Genera dentro l'app, e salvale subito nel settore giusto.
Ti serve una password nuova adesso? Il nostro generatore crea password casuali di 16, 24 o 32 caratteri direttamente nel browser, con l'indicatore di robustezza e il tempo stimato per indovinarle.
Vai al generatore di password →3. Lunghe è meglio di complicate
Una password di 8 caratteri, anche piena di simboli, oggi si può indovinare in poche ore se il database del sito viene rubato. A 16 caratteri casuali servirebbero miliardi di anni. Per email, banca, gestionali e pannelli del sito usa almeno 20 caratteri: tanto non devi digitarli, li copi dalla cassaforte.
4. Prima l'email, poi il resto
La casella email è la chiave di tutto: da lì si reimpostano le password di quasi ogni altro servizio. Mettila al sicuro per prima, con una password unica e la verifica in due passaggi. Poi passa a banca e pagamenti, SPID e PEC, social e sito web. Password Totale ti aiuta proprio con i settori: riempili uno alla volta, anche in più giorni.
5. Attiva la verifica in due passaggi e salva i codici di recupero
La verifica in due passaggi (2FA) chiede, oltre alla password, un codice dal telefono. Anche se qualcuno scopre la password, senza il tuo telefono non entra. Quando la attivi, il servizio ti dà dei codici di recupero: salvali nel campo note della voce in Password Totale, ti serviranno se perdi il telefono. Dove sono disponibili, attiva anche le passkey, che sostituiscono del tutto la password.
6. Fai il backup e aggiornalo
Password Totale conserva tutto sul dispositivo, senza cloud: è il motivo per cui è così riservata, ma significa che il backup tocca a te. Dalle impostazioni scarichi un file già cifrato con la password principale: puoi metterlo su una chiavetta, su Google Drive o iCloud senza rischi, perché senza password è illeggibile. Rifallo ogni volta che aggiungi password importanti; l'app te lo ricorda dopo 30 giorni.
7. Cambia subito le password quando serve (e solo allora)
Non serve cambiarle ogni tre mesi: le linee guida attuali lo sconsigliano, perché porta a scegliere password prevedibili. Cambiale invece subito se un servizio comunica una violazione, se perdi un dispositivo, se ricevi avvisi di accesso che non riconosci o se un collaboratore che conosceva una password se ne va. Il Controllo sicurezza di Password Totale ti mostra quali sono deboli o riusate, così sai da dove partire.
Come Password Totale protegge i tuoi dati
- Cifratura sul dispositivo. Tutto l'archivio (nomi, utenti, password, note) è cifrato con AES-256-GCM prima di essere salvato. In chiaro esiste solo nella memoria dell'app mentre la usi.
- Chiave ricavata dalla password principale. La chiave nasce dalla tua password con PBKDF2-SHA256 a 600.000 iterazioni e un sale casuale: ogni tentativo di indovinarla costa tempo di calcolo, e gli attacchi a raffica diventano impraticabili.
- Password principale obbligatoriamente forte. Almeno 14 caratteri, niente parole comuni o sequenze, robustezza stimata «molto forte».
- Tentativi limitati. Dopo 5 tentativi sbagliati l'app impone un'attesa che raddoppia a ogni errore.
- A prova di modifica. La cifratura autenticata rileva qualunque alterazione dell'archivio: un file manomesso non si apre.
- Si chiude da sola. Dopo qualche minuto di inattività (lo scegli tu) la cassaforte si richiude; le password copiate vengono tolte dagli appunti dopo 30 secondi, dove il sistema lo consente.
- Zero server, zero tracciamento. L'app non contatta nessun server per le password, non usa cookie né statistiche e non carica script esterni.
Nessuno strumento può proteggere un dispositivo già infetto da un virus che registra quello che digiti: tieni aggiornati telefono e computer, blocca lo schermo con un PIN o l'impronta e installa app solo dagli store ufficiali.
E per un'azienda?
Se gestisci un'attività con collaboratori, le password non sono più solo un fatto personale. Servono accessi individuali (mai account condivisi), la possibilità di revocarli quando qualcuno lascia l'azienda, l'autenticazione a più fattori e una politica scritta. Sono anche fra le misure richieste dalla direttiva NIS2 e, in generale, dal GDPR. Nella guida del generatore di password trovi una politica in 8 punti pronta da adattare; se vuoi, la mettiamo in pratica noi insieme a te.