Password sicura: guida passo passo, errori da evitare e autenticazione a due fattori (2FA)

In breve. Una password sicura è lunga (almeno 15 caratteri, meglio 20), casuale (generata da un programma o composta da parole scelte a caso) e unica (usata per un solo account). Conservatela in un password manager e proteggete gli account importanti con l'autenticazione a due fattori, preferendo app, chiavi di sicurezza o passkey agli SMS.

Nel mio lavoro di analista OSINT vedo spesso come vengono violati gli account di persone e piccole aziende. Quasi mai c'è un hacker geniale dietro: di solito c'è una password riutilizzata, finita in una vecchia fuga di dati, oppure una password costruita con informazioni che chiunque può trovare online. La buona notizia è che bastano poche regole, applicate con metodo, per eliminare la maggior parte del rischio.

Questa guida segue le raccomandazioni aggiornate del NIST statunitense (SP 800-63B, revisione 4, pubblicata nel 2025) e della Prevenzione Svizzera della Criminalità. Dove le due fonti divergono, lo segnalo.

Nota: i programmi citati sono esempi, non sponsorizzazioni. Scegliete in base alle vostre esigenze e verificate sempre la reputazione del fornitore.

Che cos'è una password sicura

Una password è sicura quando chi vuole indovinarla non ci riesce né per tentativi automatici né per deduzione. Questo dipende da tre caratteristiche:

Le regole che sono cambiate

Molti consigli che avete sentito per anni oggi sono considerati superati. Il NIST, nella revisione 4 delle sue linee guida, stabilisce che i servizi:

• non devono imporre regole di composizione, come l'obbligo di maiuscole, numeri e simboli;
• non devono imporre cambi periodici della password, ma devono imporne il cambio se c'è una compromissione;
• devono confrontare le nuove password con un elenco di password comuni o già violate;
• devono consentire password di almeno 64 caratteri, l'incolla e l'uso dei password manager;
• non devono usare suggerimenti accessibili a chiunque né domande di sicurezza.

La Prevenzione Svizzera della Criminalità consiglia ancora almeno 12 caratteri con numeri, maiuscole, minuscole e caratteri speciali. Le due indicazioni non sono in contrasto per l'utente: se il password manager genera 20 caratteri casuali misti, le soddisfate entrambe.

Lunghezza contro complessità: i numeri

La robustezza di una password casuale si misura in bit di entropia: ogni bit in più raddoppia il numero di tentativi necessari. Ecco un confronto, valido solo se i caratteri o le parole sono scelti davvero a caso:

La lezione: una frase di sei parole casuali vale quanto dodici caratteri casuali misti, ma si ricorda molto più facilmente. È il metodo ideale per l'unica password che dovete davvero memorizzare.

Come creare una password sicura in 8 passaggi

Passaggio 1: fate l'inventario e partite dagli account critici

Non serve sistemare tutto in un pomeriggio. Partite dagli account che, se violati, aprono la porta a tutti gli altri:

1. La casella email principale: è lì che arrivano i link per reimpostare tutte le altre password.
2. L'account del telefono (Apple, Google o Microsoft): contiene backup, foto, contatti e spesso le password salvate.
3. E-banking e pagamenti.
4. Il password manager, una volta scelto.
5. Social network e account di lavoro.

Passaggio 2: scegliete un password manager

Un password manager è un programma che genera, conserva cifrate e compila automaticamente le password. Voi ricordate una sola password principale.

Qualunque scegliate, proteggete l'accesso con una password principale robusta e con l'autenticazione a due fattori.

Passaggio 3: create la password principale con il metodo delle parole casuali

La password principale non va salvata nel password manager, quindi deve essere robusta e memorizzabile.

1. Usate un elenco di parole pensato per questo scopo, come quelli del metodo Diceware, oppure il generatore di frasi del vostro password manager.
2. Estraete 5 o 6 parole a caso: con i dadi o con il generatore, non scegliendole voi. Il cervello umano è pessimo nel generare casualità.
3. Unitele con un separatore: ombra-tazza-faro-cinque-nebbia-ruota.
4. Ripetetela per qualche giorno finché non la sapete a memoria.

In alternativa, la Prevenzione Svizzera della Criminalità suggerisce di usare le iniziali di una frase personale, con punteggiatura e numeri. Funziona, ma solo se la frase non è nota né deducibile: niente citazioni, ritornelli o motti.

Passaggio 4: generate una password casuale e unica per ogni account

Per tutti gli altri account usate il generatore del password manager: 20 caratteri o più, con tutti i tipi di carattere ammessi dal sito. Non dovete ricordarle, quindi non c'è motivo di accorciarle.

Se un sito impone un limite massimo basso, usate il massimo consentito e attivate il secondo fattore.

Passaggio 5: attivate l'autenticazione a due fattori

Partite dagli account critici del passaggio 1. Trovate la procedura completa nel capitolo dedicato più avanti.

Passaggio 6: controllate se le vostre credenziali sono già state violate

• Sul servizio Have I Been Pwned potete verificare se il vostro indirizzo email compare in una violazione di dati nota. Inserite solo l'indirizzo email, mai la password.
• Molti password manager segnalano automaticamente le password deboli, riutilizzate o comparse in violazioni note.
• Ogni password esposta va cambiata subito, su quel sito e su ogni altro sito dove l'avete riutilizzata.

Ho descritto un caso concreto, con i passi da seguire, nell'articolo sulla violazione dei dati di Ricardo.

Passaggio 7: mettete al sicuro il recupero dell'account

Un account è sicuro quanto la sua procedura di recupero.

• Aggiornate l'email e il numero di telefono di recupero.
• Salvate i codici di backup del secondo fattore: stampati in un luogo sicuro oppure nel password manager.
• Domande di sicurezza: se un sito le impone, non date risposte vere. Il nome da nubile di vostra madre o la vostra prima scuola si trovano spesso online. Rispondete con una stringa casuale e salvatela nel password manager.
• Pianificate l'imprevisto: alcuni password manager permettono di designare un contatto di emergenza. Valutatelo anche in chiave successoria.

Passaggio 8: mantenete il sistema senza stressarvi

• Non cambiate le password a calendario. Cambiatele quando c'è un motivo: una violazione, un dispositivo perso, un accesso sospetto, una password condivisa con qualcuno che non deve più averla.
• Una volta all'anno controllate il rapporto di sicurezza del password manager e chiudete gli account che non usate più.
• Aggiornate sistema operativo, browser e app: molte violazioni partono da un dispositivo non aggiornato, non da una password debole.

I 12 errori più comuni con le password

Come un analista OSINT legge le password altrui

Quando valuto l'esposizione digitale di un'azienda, con il suo consenso, una delle prime cose che faccio è raccogliere ciò che è pubblico sulle persone chiave: nomi dei familiari, animali, date importanti, squadre, luoghi di vacanza, vecchi indirizzi email. Non serve alcun accesso illecito: basta osservare profili social, articoli, registri e foto.

Con queste informazioni, chiunque può costruire un elenco di password plausibili. E chi le cerca per scopi criminali fa lo stesso lavoro, solo senza consenso. Per questo la regola numero 2 è così importante: se una password ha un significato per voi, ha un significato anche per chi vi osserva.

Autenticazione a due fattori (2FA): la guida completa

Che cos'è il 2FA

L'autenticazione a due fattori chiede, oltre alla password, una seconda prova di identità appartenente a una categoria diversa:

Se qualcuno ruba la vostra password, senza il secondo fattore non può entrare. Si parla anche di MFA (multi-factor authentication) quando i fattori sono due o più.

I metodi di 2FA a confronto

Perché alcuni metodi "resistono al phishing". Chiavi FIDO2 e passkey sono legate crittograficamente all'indirizzo esatto del sito. Su un sito falso semplicemente non funzionano, anche se voi non vi accorgete dell'inganno. Con SMS e app TOTP, invece, siete voi a leggere un codice e a digitarlo: se lo digitate sul sito sbagliato, l'attaccante può usarlo subito. Per questo il NIST considera le password non resistenti al phishing e chiede ai servizi più sensibili di offrire almeno un'opzione che lo sia.

Come attivare il 2FA, passo passo

1. Installate un'app di autenticazione sul telefono, oppure procuratevi due chiavi di sicurezza.
2. Entrate nelle impostazioni di sicurezza dell'account, nella sezione "Sicurezza", "Accesso" o "Verifica in due passaggi".
3. Scegliete il metodo più forte disponibile: passkey o chiave di sicurezza, poi app di autenticazione, e solo in mancanza di alternative SMS.
4. Inquadrate il codice QR con l'app oppure registrate la chiave.
5. Inserite il codice di verifica per confermare.
6. Salvate subito i codici di backup in un luogo sicuro.
7. Registrate un secondo metodo di riserva: una seconda chiave, un secondo dispositivo o i codici di backup.
8. Fate una prova: uscite e rientrate, per verificare che tutto funzioni prima di averne bisogno.

Gli errori più comuni con il 2FA

• Comunicare il codice a qualcuno. Nessuna banca, nessun servizio clienti e nessuna polizia vi chiederà mai di leggere al telefono un codice di accesso. Chi lo chiede è un truffatore, sempre.
• Approvare una notifica che non avete richiesto. Se arriva una richiesta di accesso mentre non state entrando, rifiutatela e cambiate subito la password: qualcuno la conosce già.
• Non salvare i codici di backup. Perdere il telefono senza codici di riserva può significare perdere l'accesso all'account per settimane, o per sempre.
• Usare l'email come secondo fattore dell'email stessa.
• Pensare che il 2FA renda inutile una buona password. I due livelli lavorano insieme: il 2FA non vi protegge se cedete il codice su una pagina di phishing.

Le passkey: il dopo-password

Le passkey sono lo standard su cui stanno convergendo i grandi fornitori e molti servizi. Funzionano così:

• al momento della registrazione, il dispositivo crea una coppia di chiavi crittografiche: quella privata resta sul dispositivo o nel password manager, quella pubblica va al sito;
• per accedere, sbloccate la passkey con volto, impronta o PIN;
• non c'è nulla da digitare, quindi nulla da rubare con una pagina falsa.

Anche in Svizzera la direzione è chiara: AGOV, il login per i servizi online delle autorità, funziona senza password, con l'app AGOV access o con una chiave di sicurezza FIDO, e raccomanda di registrare entrambi i metodi conservando il codice di recupero.

Il mio consiglio pratico: attivate le passkey dove sono disponibili, ma conservate nel password manager una password robusta e i codici di recupero, perché la procedura di recupero resta il punto delicato.

Per aziende e studi professionali

Le stesse regole valgono per un'azienda, con tre aggiunte:

• Un password manager aziendale con condivisione controllata, invece di file condivisi e messaggi in chat.
• Il 2FA obbligatorio per email, accessi remoti, contabilità e amministrazione dei sistemi.
• Formazione del personale: la maggior parte degli incidenti comincia da un'email ben scritta e da una persona che si fida.

Valutare quante informazioni sui vostri collaboratori sono pubbliche, e quanto è facile costruire un attacco credibile contro di voi, è uno dei servizi che descrivo nell'articolo su che cosa fa un analista OSINT.

Checklist finale

In sintesi

La sicurezza delle password non richiede di imparare a memoria decine di stringhe illeggibili. Richiede una buona frase da ricordare, un password manager che faccia il resto, un secondo fattore sugli account che contano e un po' di diffidenza verso chi chiede codici e verso i link che arrivano per email.

Se volete capire quanto voi o la vostra azienda siete esposti online, o se avete subito un accesso abusivo e dovete ricostruire che cosa è successo, trovate i dettagli tra i miei servizi. Il primo colloquio è gratuito e riservato.

Fonti principali: NIST, Special Publication 800-63B "Digital Identity Guidelines: Authentication and Authenticator Management", revisione 4 (2025); Prevenzione Svizzera della Criminalità, opuscolo "Sicurezza online e password complesse" (2025), realizzato con la Hochschule Luzern ed "eBanking – ma sicuro!"; sito ufficiale AGOV (agov.ch); servizio Have I Been Pwned. I valori di entropia sono calcolati sull'ipotesi di scelta casuale dei caratteri o delle parole.