Password manager e passkey: guida a password sicure

Un password manager è un'app che crea, conserva e compila una password diversa e robusta per ogni account, così devi ricordarne una sola. Insieme alle passkey, che ti permettono di accedere con il volto, l'impronta digitale o il blocco schermo invece che con una password, elimina il rischio quotidiano più grande: usare la stessa password in tanti posti.

Email, banca e social network sono protetti soprattutto da password. Se ne rubano una, un criminale può leggere i tuoi messaggi, reimpostare altri account o spendere i tuoi soldi. Rimediare richiede meno tempo di quanto pensi, e nessuna competenza tecnica.

Perché il vero pericolo è riutilizzare le password

Molti temono che qualcuno indovini la loro password. Il problema più grande, però, è riutilizzarla.

Quando un sito subisce una violazione, gli elenchi di indirizzi email e password finiscono spesso condivisi online. Gli attaccanti usano strumenti automatici per provare quelle stesse coppie su tanti altri siti, come email, banca e negozi online. Questa tecnica si chiama credential stuffing.

Se la tua password è trapelata da un piccolo negozio online e la usavi anche per l'email, l'attaccante ora può entrare nella tua casella di posta, e da lì reimpostare quasi tutto il resto.

Quindi ogni account ha bisogno della sua password, e visto che nessuno può ricordarne decine, è proprio a questo che servono i password manager.

Com'è fatta oggi una password sicura

Conta più la lunghezza della complessità. Una password lunga è molto più difficile da indovinare di una corta piena di simboli.

• Usa almeno 12-16 caratteri, e di più per gli account importanti.
• Prova una passphrase: quattro o più parole casuali e scollegate tra loro, come fiume-candela-orbita-pepe. È lunga, facile da digitare e facile da ricordare.
• Evita i dati personali come nomi, compleanni o numeri di telefono.
• Evita gli schemi comuni come "Password1!" o aggiungere l'anno a una vecchia password.
• Non riutilizzarla mai. Una password robusta usata su dieci siti è sicura solo quanto il più debole di questi.

Te ne bastano poche a memoria: il codice di sblocco del telefono, la password dell'email principale e la password principale del password manager.

Come funziona un password manager e come iniziare

Un password manager conserva le password in una cassaforte cifrata. La cassaforte è chiusa da un'unica password principale, e spesso anche dall'impronta digitale o dal volto. Suggerisce nuove password casuali e compila quelle salvate, ma solo sul sito vero per cui le ha salvate, e questo ti aiuta a proteggerti dalle false pagine di accesso.

Scegli un password manager

• Il gestore integrato nel telefono o nel browser. iPhone, Android, Windows, macOS e i principali browser ne includono uno che genera, salva e sincronizza le password. È il punto di partenza più semplice.
• Un password manager indipendente affidabile. Funziona su piattaforme e browser diversi, comodo se usi dispositivi di marche diverse. Installalo solo dall'App Store, da Google Play o dal sito ufficiale dello sviluppatore.

Configuralo passo per passo

1. Crea una password principale robusta: una passphrase lunga che non hai mai usato altrove.
2. Attiva l'autenticazione a due fattori per l'account che custodisce le password. La nostra guida all'autenticazione a due fattori spiega come fare.
3. Imposta le opzioni di recupero, come una chiave di recupero o un contatto di recupero, e conservale in un posto sicuro.
4. Lascia che il gestore salvi le password man mano che accedi nei prossimi giorni.
5. Sostituisci per prime le password degli account più importanti (email, banca, operatore telefonico, social network) con l'opzione "genera password" del gestore. Qualche account alla settimana va benissimo.

Le passkey spiegate in modo semplice

Allora, cos'è una passkey? È un modo più recente di accedere che sostituisce del tutto la password. Confermi che sei tu nello stesso modo in cui sblocchi il telefono o il computer: con il volto, l'impronta digitale o il PIN.

Dietro le quinte, il dispositivo crea una coppia di chiavi digitali. Il sito conserva solo la parte pubblica. La parte privata resta protetta sul tuo dispositivo o nel password manager e non viene mai inviata al sito. Questo significa:

• Niente da rubare dal sito. Una violazione non fa trapelare nessuna password riutilizzabile.
• Resistente al phishing. Una passkey funziona solo sul sito vero per cui è stata creata, quindi una falsa pagina di accesso non può ingannarti e fartela consegnare.
• Sincronizzata tra i tuoi dispositivi. Le passkey salvate in un gestore integrato o indipendente si sincronizzano sugli altri dispositivi collegati allo stesso account.

Per accedere da un computer su cui non hai la passkey, il sito può mostrare un QR code. Lo scansioni con il telefono e confermi; il telefono deve trovarsi fisicamente vicino.

Come passare a una passkey su un account

1. Accedi all'account come al solito e apri le impostazioni di sicurezza o di accesso.
2. Cerca un'opzione come "Passkey" o "Crea una passkey".
3. Conferma con il volto, l'impronta digitale o il blocco schermo, e scegli dove salvarla.
4. Provala: esci e accedi di nuovo con la passkey.
5. Alcuni servizi tengono la password come riserva, quindi assicurati che sia ancora robusta e unica.

Non tutti i siti supportano già le passkey, quindi usale dove sono disponibili e affidati al password manager per il resto.

Verifica se le tue password sono state violate

I password manager integrati in iPhone, Android e nei principali browser, e la maggior parte di quelli indipendenti, includono una funzione di controllo delle password o di consigli di sicurezza. Ti avvisa quando una password salvata:

• è comparsa in una violazione di dati nota,
• è riutilizzata su più account, oppure
• è debole o facile da indovinare.

Apri questa sezione ogni pochi mesi e risolvi gli avvisi, cominciando dagli account più importanti.

Cosa fare dopo un data breach

Se un servizio comunica una violazione o il controllo delle password ti avvisa, agisci in quest'ordine:

1. Cambia la password di quell'account, usandone una nuova generata dal password manager.
2. Cambiala ovunque l'avessi riutilizzata. È qui che il riutilizzo fa i danni veri.
3. Attiva l'autenticazione a due fattori o una passkey per quell'account, se non l'hai già fatto.
4. Controlla l'account alla ricerca di dispositivi sconosciuti, regole di inoltro o dati di recupero modificati.
5. Tieni d'occhio l'estratto conto se i dati di pagamento potrebbero essere stati esposti, e contatta la banca se qualcosa non torna.
6. Fai ancora più attenzione ai messaggi. Dopo una violazione i criminali inviano spesso false email, SMS o QR code di "avviso di sicurezza". Apri l'app ufficiale o digita tu l'indirizzo invece di usare i link, e leggi la nostra guida al phishing con QR code via email.

Checklist rapida

1. Ogni account importante ha la sua password unica.
2. Le password principali sono passphrase lunghe, non parole corte e complicate.
3. Usi un password manager integrato o uno indipendente affidabile.
4. La password principale è robusta e non è usata da nessun'altra parte.
5. Le opzioni di recupero del password manager sono conservate in un posto sicuro.
6. L'autenticazione a due fattori protegge l'email e il password manager.
7. Le passkey sono attive sugli account che le supportano.
8. Fai un controllo delle password ogni pochi mesi.

FAQ

È sicuro tenere tutte le password in un unico password manager?

Sì, per la maggior parte delle persone è molto più sicuro che riutilizzare le password. La cassaforte è cifrata e chiusa dalla password principale, quindi proteggila bene e attiva l'autenticazione a due fattori.

Cosa succede se dimentico la password principale?

Dipende dal gestore. Molti offrono una chiave di recupero o un contatto di recupero, ed è per questo che conviene impostarli fin dal primo giorno.

Le passkey sostituiscono l'autenticazione a due fattori?

Una passkey combina già due fattori: qualcosa che hai (il dispositivo) e qualcosa che sei o che sai (impronta digitale, volto o PIN). Per questo molti servizi considerano un accesso con passkey abbastanza sicuro da solo.

E se perdo il telefono con le passkey?

Se le passkey sono sincronizzate tramite il password manager, ritornano quando accedi da un nuovo dispositivo. I nostri consigli di sicurezza per lo smartphone spiegano cos'altro fare se perdi il telefono.

Password uniche e passkey fermano la maggior parte dei furti di account, quindi configura il password manager questa settimana, cominciando dall'email. E quando arriva un "avviso di sicurezza" con un QR code, controlla dove porta davvero con lo scanner QR online gratuito di QR-TH prima di aprirlo.