La scelta di una password sembra un’operazione semplice, eppure è una decisione importante: la sicurezza dei tuoi dati dipende anche da lei.
Ogni giorno usi le password per la posta, i social, i servizi online che richiedono la registrazione, la banca, il computer. Sapere come creare password sicure è fondamentale: i furti di credenziali sono continui e, poiché molte persone usano la stessa password ovunque, un solo furto apre la porta a tutti gli altri account.
Prima di passare ai consigli, controlla su Have I Been Pwned se il tuo indirizzo email compare in un furto di dati noto. Il sito raccoglie gli archivi rubati e diventati pubblici e ti dice in quali violazioni compare il tuo indirizzo. Non mostra la password: se il tuo indirizzo c’è, cambia la password di quel servizio e di tutti quelli in cui la usavi uguale.
Dopo questa verifica è utile sapere quali sono gli errori da evitare e le buone pratiche da adottare nella scelta di una password.
Quali sono le password più usate?
Per anni la classifica più citata è stata quella di SplashData, che ha smesso di uscire dopo l’edizione 2019. Oggi la pubblica ogni anno NordPass, analizzando le password trovate negli archivi rubati. Nell’edizione 2025, “123456” è la password più usata al mondo per il sesto anno di fila. In Italia al primo posto c’è “admin”, seguita da “password” e “123456”; nella lista compaiono anche “cambiami”, nomi di squadre di calcio e nomi propri.
Sono tutte combinazioni che un programma prova nei primi secondi di un attacco. Fra gli errori più comuni ci sono anche il nome del proprio animale domestico, della città, del partner o dei figli, spesso seguito dall’anno di nascita.
Un altro sbaglio frequente è usare la stessa parola ripetuta al contrario, per esempio “pizzaazzip”, o sostituire le lettere con numeri simili: “s1m0ne” al posto di “simone”. I programmi di attacco conoscono questi trucchi e li provano subito.
Come vengono scoperte le password
Capire come lavora chi attacca aiuta a scegliere meglio:
- Attacco a dizionario: il programma prova milioni di parole comuni, in tutte le lingue, con le varianti più usate (maiuscola iniziale, numeri in fondo, lettere sostituite da simboli).
- Forza bruta: prova tutte le combinazioni possibili. Con le schede grafiche moderne una password corta cade in poco tempo; ogni carattere in più moltiplica il tempo necessario.
- Credential stuffing: chi ruba un archivio di email e password le prova automaticamente su altri siti. Funziona perché molte persone riusano la stessa password.
- Phishing: una pagina falsa, uguale a quella vera, ti chiede di inserire la password. In questo caso la lunghezza non conta: la regali tu.
Un’ultima regola: chiudi gli account che non usi più. Un vecchio profilo dimenticato, con una password vecchia, è uno dei primi bersagli.
Come si sceglie una password
Una password robusta non deve per forza essere impossibile da ricordare. Puoi crearla con un metodo semplice oppure farla generare a un password manager.
Conta soprattutto la lunghezza, poi l’imprevedibilità. Molti siti chiedono almeno 8 caratteri, ma oggi è un minimo troppo basso: punta ad almeno 12-15 caratteri. Mescolare maiuscole, minuscole, numeri e simboli aiuta solo se il risultato non segue uno schema prevedibile.
Come creare una password davvero sicura
Questi sono i metodi più semplici per creare una password complessa ma facile da ricordare:
La passphrase: quattro o cinque parole scelte a caso e senza legame tra loro, per esempio “lampada-nuvola-forchetta-treno”. È lunga, facile da ricordare e difficile da indovinare. Le parole devono essere davvero casuali: una frase famosa o un verso di una canzone si trovano nei dizionari degli attacchi.
L’acronimo: prendi una frase che solo tu conosci e usa le iniziali, alternando maiuscole, minuscole e numeri. Per esempio “Io mi chiamo Giovanni e ho 2 figli” diventa “ImcGeH2f”. È un metodo valido, ma produce password corte: allungale con un’altra frase o con una parola in più.
Il padding: allunga una parola o una frase con altri caratteri scelti a caso, per esempio “Pastacon3Olive”. La lunghezza fa la differenza più dei simboli.
Non trascurare il nome utente: se un sito permette di usare un nome diverso dall’indirizzo email, sceglilo. Chi conosce la tua email e la tua password di un sito proverà la stessa coppia su tutti gli altri.
Per le password della posta trovi altri consigli nella guida di Google per creare una password efficace. Se dimentichi una password o devi rientrare in un account, leggi le cose da sapere sul ripristino delle password.
Come conservare le password
La domanda più comune, a questo punto, è: dove conservare le password che hai creato, senza rendere vano tutto il lavoro?
Un quaderno tenuto in casa, in un posto sicuro, è meglio di una password uguale per tutto. La soluzione più comoda però è un password manager: un programma che genera password diverse per ogni sito, le conserva cifrate e le compila al posto tuo. Devi ricordarne una sola, quella principale, che va scelta lunga e protetta con la verifica in due passaggi.
Qualche esempio: KeePass è un programma gratuito e open source per Windows, che conserva l’archivio sul tuo computer; su Mac e Linux si usano versioni compatibili come KeePassXC. Bitwarden e 1Password sincronizzano le password su computer e telefono. Anche i browser e i sistemi operativi hanno ormai un gestore integrato, come quello di Google Chrome o l’app Password di Apple.
Nessun servizio è a prova di attacco. Nel 2022 LastPass ha subito un furto di dati in cui sono state sottratte copie cifrate degli archivi degli utenti: chi aveva una password principale debole ha rischiato di più. Per questo la password principale deve essere lunga e unica.
Dove possibile, usa anche le passkey: sostituiscono la password con una chiave salvata sul tuo dispositivo e sbloccata con l’impronta, il volto o il PIN. Non si possono indovinare e non funzionano su un sito falso.
Qualunque metodo scegli, la regola resta la stessa: una password diversa per ogni account e la verifica in due passaggi dove c’è. Trovi altre regole di base nei nostri consigli di sicurezza informatica.
Se un problema ti ha fatto perdere file o documenti, il laboratorio di Recovery Data può aiutarti a recuperarli, con diagnosi gratuita.
Se un attacco ha già cifrato o rovinato i tuoi file, in molti casi si possono ancora salvare: ecco come lavoriamo sul recupero dei file criptati da ransomware.
