Guida

Come creare una password sicura

Una buona password non deve essere ingegnosa: deve essere lunga, imprevedibile e usata una sola volta. E deve restare soltanto tua.

Le tre regole che contano davvero

Usa una password diversa per ogni account. È la regola più importante. Quando un sito subisce una violazione, gli aggressori provano la stessa coppia email-password su altri servizi. Se riutilizzi la password, un singolo incidente può diventare l’accesso alla posta, ai social o al conto online.

Falla lunga. La lunghezza aumenta enormemente il numero di combinazioni possibili. Un generatore casuale permette di usare caratteri diversi senza dover inventare uno schema personale; una passphrase casuale può essere più facile da digitare quando serve.

Non costruirla su informazioni personali. Nome, data di nascita, squadra del cuore, figli, città e sostituzioni prevedibili come @ al posto di “a” sono spesso le prime cose che vengono provate. Una password deve essere casuale, non soltanto difficile da leggere a colpo d’occhio.

Un metodo pratico per gli account nuovi

1. Apri il generatore e scegli una password casuale di almeno 16 caratteri, includendo lettere, numeri e simboli quando il sito li accetta.
2. Salvala subito in un gestore di password affidabile. Il gestore conserva una credenziale diversa per ogni sito: non devi ricordarle tutte.
3. Controlla indirizzo del sito e nome dell’account prima di incollare la password. Un gestore che non propone l’autocompilazione sul dominio atteso può aiutarti a notare una pagina falsa.
4. Attiva la verifica in due passaggi, soprattutto per email, banca, marketplace e gestore di password.

Se devi ricordarla o digitarla spesso

Per una password da digitare su un dispositivo senza gestore, usa una passphrase casuale: più parole non collegate tra loro, estratte a caso. Evita citazioni, frasi celebri e sequenze che ti rappresentano. Quattro parole casuali sono diverse da una frase che chi ti conosce potrebbe indovinare.

Cosa fare dopo una violazione

Se ricevi un avviso credibile di violazione, non limitarti a cambiare la password del sito coinvolto. Cambiala subito lì e in tutti gli altri servizi in cui avevi riutilizzato quella stessa credenziale. Verifica quindi l’email di recupero, il numero di telefono, le sessioni aperte e le regole di inoltro della posta. Se era la password del gestore, esegui la procedura di emergenza del gestore e cambia prima gli account che possono reimpostare gli altri.

Non cliccare frettolosamente il link dell’email di avviso: apri il servizio dal segnalibro o digitandone l’indirizzo. Le truffe imitano spesso proprio i messaggi di sicurezza.

Gli errori più comuni

• Usare una sola password “fortissima” ovunque.
• Cambiare soltanto l’ultima cifra quando un sito chiede un rinnovo.
• Salvare le password in un file non protetto o inviarle in chat.
• Disattivare la seconda verifica perché richiede qualche secondo in più.
• Condividere una password invece di creare un accesso separato o usare una condivisione cifrata con scadenza.

Quanto deve essere lunga?

Non esiste un numero che sostituisca il contesto. Come riferimento operativo, 16 caratteri casuali sono una scelta solida per la maggior parte degli account; per una passphrase, quattro o più parole scelte casualmente sono un buon punto di partenza. Se un servizio impone limiti irragionevoli, usa comunque una credenziale unica e attiva la seconda verifica.

Fonti e limiti

Questa guida sintetizza le raccomandazioni sulle credenziali memorizzate del NIST e il materiale divulgativo della CISA. Una password non può proteggerti da malware, phishing o accesso fisico a un dispositivo sbloccato: per questo va affiancata a aggiornamenti, verifica in due passaggi e attenzione ai messaggi ricevuti.

Aggiornata il 13 settembre 2026 da creapassword.com, un servizio di ARES S.R.L.S.