Per vent'anni ci hanno insegnato a mettere una maiuscola, un numero e un simbolo. Il risultato è che quasi tutti usano varianti di Password1! o del nome del cane con un punto esclamativo. Chi attacca lo sa e prova esattamente quelle combinazioni per prime. La regola vera è un'altra: conta la lunghezza.
Perché la lunghezza batte la complessità
Gli attacchi non procedono provando tutte le combinazioni una per una. Partono da dizionari di password già trapelate — miliardi, disponibili in rete — e applicano le sostituzioni ovvie: a diventa @, o diventa 0, e diventa 3. Aggiungono anni, punti esclamativi finali, maiuscola iniziale.
Quindi P@ssw0rd! viene provata nei primi secondi, mentre una frase come divano-tigre-mercoledi-42, che è banale da ricordare, resiste per un tempo assurdamente lungo perché è semplicemente lunga.
Il metodo delle quattro parole
Prendi quattro parole comuni che non abbiano un legame logico fra loro e uniscile con un separatore. Aggiungi un numero se il sito lo pretende.
bicchiere-nuvola-tavolo-quarantaChitarra.Neve.Panino.19
Regole per non sbagliare:
- Le parole devono essere scelte a caso, non formare una frase di senso compiuto. "il mio cane si chiama fido" è una frase, non una password.
- Niente riferimenti personali: nomi di figli, date di nascita, squadra del cuore, targa. Sono le prime cose che si provano e stanno tutte sui social.
- Almeno 16 caratteri in totale.
Il problema vero non è crearne una
Chiunque può inventarsi una buona password. Il problema è averne una diversa per ognuno dei cento servizi che usi. Ed è qui che si gioca tutto, perché il rischio numero uno non è che indovinino la tua password: è il riciclo.
Funziona così: un sito qualsiasi dove ti eri registrato anni fa subisce una violazione. La tua email e la tua password finiscono in un elenco. Un programma prova automaticamente quella coppia su Gmail, Amazon, PayPal, Facebook, sul portale della banca. Se hai riusato la stessa password, entrano ovunque. Non serve nessuna abilità.
Per questo una password unica per ogni servizio conta più della sua complessità.
Il password manager, spiegato semplice
È un programma che genera e ricorda le password al posto tuo. Tu ne ricordi una sola, quella principale, e lui custodisce tutte le altre cifrate. Riempie i moduli in automatico, quindi in pratica smetti pure di digitarle.
Le obiezioni classiche, e le risposte:
- "Se lo bucano perdo tutto." Le password sono cifrate sul tuo dispositivo prima di essere sincronizzate: chi ruba il database ottiene dati illeggibili. Il rischio residuo è molto inferiore a quello di riciclare la stessa password ovunque.
- "Se dimentico la principale?" Si scrive su carta e si mette dove tieni i documenti importanti. Il tuo cassetto non è il bersaglio di attacchi automatici da tutto il mondo.
- "Non mi fido del cloud." Esistono soluzioni che tengono l'archivio solo sui tuoi dispositivi, come KeePassXC.
Un vantaggio spesso sottovalutato: il password manager compila i dati solo sul dominio corretto. Se sei su una pagina di phishing, non propone nulla. È un rilevatore di siti falsi che lavora da solo.
Le tre password che devi ricordare a memoria
Tutto il resto sta nel gestore. A memoria servono solo:
- La password principale del password manager.
- La password della casella email principale, perché è la chiave di recupero di tutto il resto.
- La password di sblocco del computer.
Queste tre falle con il metodo delle quattro parole e non riusarle da nessun'altra parte.
La cosa che conta più della password
L'autenticazione a due fattori. Con la 2FA attiva, anche una password rubata non basta a entrare. Attivala almeno su email, banca, cloud e social, possibilmente con un'app di autenticazione invece che via SMS.
Cambiarle ogni tre mesi: perché non farlo più
L'obbligo di cambio periodico è stato abbandonato anche dalle linee guida internazionali. Chi è costretto a cambiare spesso finisce per fare piccole variazioni prevedibili — Estate2025, Estate2026 — che indeboliscono tutto. Una password lunga e unica si cambia quando c'è un motivo: una violazione, un sospetto, un dispositivo perso.
Conclusione
Tre regole coprono il 95% del rischio: password lunghe invece che complicate, una diversa per ogni servizio grazie a un password manager, autenticazione a due fattori dove conta. È meno lavoro di quanto sembri e si imposta una volta sola. Se dovete organizzare le credenziali di un'azienda, con accessi condivisi fra colleghi e passaggi di consegne puliti, possiamo aiutarvi a impostarlo per bene.