Risposta breve
Le password riutilizzate sono il motivo per cui un singolo data breach diventa una serie di account hackerati. Un gestore di password crea e ricorda una password forte e diversa per ogni account e la inserisce solo sul sito giusto, il che aiuta anche contro le false pagine di accesso. L’NCSC britannico ritiene corretto salvare le password nel browser o nel telefono sui propri dispositivi. Le opzioni gratuite integrate — Gestore delle password di Google e l’app Password di Apple — avvisano anche di password trapelate o riutilizzate. Proteggi il gestore stesso con una password principale forte e la verifica in due passaggi e tieni aggiornate le opzioni di recupero.
Cosa fa un gestore di password
- Genera password lunghe, casuali e uniche, così una violazione su un sito non apre gli altri account.
- Compila solo sul sito per cui la password è stata salvata: se non propone la compilazione, potresti essere su una pagina di phishing che imita quella vera.
- Si sincronizza sui tuoi dispositivi; molti salvano anche passkey e codici di verifica.
- Segnala le password comparse in violazioni, riutilizzate o deboli.
Integrato o app separata?
| Opzione | Adatto a | Attenzione a |
|---|---|---|
| Gestore delle password di Google | Chi usa Chrome e Android; Controllo password incluso | Tutto dipende dall’Account Google: proteggilo con la verifica in due passaggi |
| Password di Apple | Chi usa iPhone, iPad e Mac; i Consigli sulla sicurezza segnalano le password trapelate | Meno comodo se usi anche Android |
| Gestore indipendente | Dispositivi misti (Windows, Android, iPhone) e condivisione in famiglia | Scegli un fornitore noto; password principale forte e 2FA indispensabili |
Configurarlo in sicurezza
- Proteggi il gestore con una password principale forte e unica: il metodo «tre parole casuali» dell’NCSC funziona bene.
- Attiva la verifica in due passaggi sul gestore o sull’account che lo sostiene (Account Google, Account Apple).
- Inizia dagli account più importanti — e-mail, banca, social — e cambia ognuno con una nuova password generata.
- Salva i dati di recupero: e-mail e telefono di recupero, e la chiave di recupero o il kit di emergenza se il gestore li offre.
- Tieni attivi gli avvisi di violazione e intervieni quando compaiono.
Dove non tenere le password
- Nel browser di un computer condiviso o pubblico: l’NCSC dice di non salvarci mai la password.
- In app di note, screenshot o chat: non sono fatte per proteggere segreti e spesso vengono sincronizzate o condivise.
- In un foglio di calcolo che ti invii per e-mail.
Gestore, 2FA e passkey insieme
Il gestore elimina il riutilizzo; la verifica in due passaggi ti protegge se una password trapela comunque; una passkey sostituisce la password dove il sito la supporta. Usale tutte e tre. Per aggiungere il secondo passaggio vedi la verifica in due passaggi su 12 piattaforme; se una password è già trapelata vedi data breach: la prima ora.
Domande frequenti
È sicuro salvare le password nel browser?
Sui tuoi dispositivi sì: lo dice anche l’NCSC britannico. Non salvarle mai su computer condivisi o pubblici e proteggi l’account del browser con la verifica in due passaggi.
E se il mio gestore di password viene hackerato?
Per questo la password principale deve essere forte e unica e la verifica in due passaggi attiva. I gestori seri cifrano la cassaforte, quindi una copia rubata serve a poco senza la password principale.
Con le passkey serve ancora un gestore di password?
Per ora sì. Molti siti non supportano ancora le passkey e la maggior parte dei gestori salva entrambe.
Meglio Google o Apple?
Quello adatto ai tuoi dispositivi. Se usi insieme Android, Windows e iPhone, un gestore multipiattaforma indipendente può essere più comodo.
Fonti: NCSC — gestori di password, Guida dell’Account Google — cambiare le password compromesse (Controllo password), Manuale dell’iPhone — modificare password deboli o compromesse, Guida dell’Account Google — accedere con una passkey