Come creare una password forte
La forza di una password deriva dall'essere lunga e imprevedibile. Ogni carattere in più moltiplica il numero di combinazioni che un aggressore deve provare, quindi la lunghezza è la leva più efficace che hai. Usa almeno 12 caratteri per gli account di tutti i giorni e 16 o più per e-mail, banca e il tuo gestore di password.
Mescolare lettere maiuscole, minuscole, numeri e simboli amplia l'insieme dei caratteri possibili e aumenta l'entropia di ogni posizione. La casualità conta altrettanto: le password scelte dalle persone seguono schemi — un nome e un anno, una parola con @ al posto di a, o una sequenza di tastiera come qwerty. Un generatore basato sulla Web Crypto API non ha questa distorsione.
- Evita parole del dizionario, nomi, date di nascita e caratteri sequenziali.
- Non affidarti a sostituzioni prevedibili come P@ssw0rd.
- Non riutilizzare mai una password su più di un sito.
Entropia della password e tempo di violazione
L'entropia, misurata in bit, esprime quanto è difficile indovinare una password. È all'incirca la lunghezza della password moltiplicata per il logaritmo in base‑2 della dimensione dell'insieme di caratteri. Ogni bit aggiuntivo raddoppia lo sforzo necessario per violarla con la forza bruta.
- Sotto i 40 bit — debole; può cadere in pochi secondi o ore.
- Intorno ai 60 bit — accettabile per account di poco valore.
- Da 75 a 100 bit — forte; impraticabile da violare con l'hardware attuale.
- Oltre 100 bit — eccellente; adatta a password principali e chiavi di cifratura.
Il tempo di violazione mostrato dal verificatore presuppone circa 10 miliardi di tentativi al secondo, all'incirca ciò che un moderno impianto di GPU ottiene contro un hash veloce. I numeri reali variano con l'algoritmo di hashing e le risorse dell'aggressore, quindi consideralo una guida relativa, non una garanzia.
Come vengono compromesse le password
Una password forte e unica sconfigge gli attacchi basati sull'indovinare — ma non tutti gli attacchi funzionano così:
- Gli attacchi a forza bruta e con maschera provano ogni combinazione, o ogni combinazione che corrisponde a uno schema noto.
- Gli attacchi a dizionario scorrono elenchi di parole e database di password esposte in violazioni precedenti.
- Il credential stuffing prende un accesso rubato da un sito e lo prova ovunque — ecco perché il riutilizzo è così pericoloso.
- Il phishing ti induce a digitare la password in una pagina di accesso falsa.
- Malware e keylogger catturano ciò che digiti, per quanto forte sia la password.
Lunghezza e casualità gestiscono i primi due. Per il resto servono l'autenticazione a due‑fattori e una sana diffidenza verso le richieste di accesso inattese.
Buone pratiche per gestire le password
- Una password unica per ogni account. Così una violazione su un servizio non apre gli altri.
- Usa un gestore di password come Bitwarden, KeePassXC o 1Password. Memorizzi una sola frase principale forte e lui conserva tutto il resto.
- Attiva l'autenticazione a due‑fattori ovunque sia offerta, preferendo un'app di autenticazione o una chiave di sicurezza hardware ai codici via SMS.
- Cambia una password quando serve — dopo un avviso di violazione o un sospetto di compromissione. Le linee guida attuali (NIST) sconsigliano il cambio periodico forzato, che spinge verso password più deboli e con schemi.
- Non condividere mai una password via e-mail o chat, e non tenerla mai in un file di testo o in un foglio di calcolo.
Frasi d'accesso e stringhe casuali
Una frase d'accesso è composta da diverse parole senza legame scelte a caso, come violino porto nichel deriva. Con quattro-sei parole davvero casuali è molto forte e assai più facile da digitare e ricordare di una stringa casuale. Una password di caratteri casuali concentra più entropia in ogni carattere ed è la scelta migliore quando un gestore la inserisce per te e non la digiti mai a mano.
Una divisione pratica: usa una frase d'accesso lunga per l'unica password principale che devi ricordare, e lascia che questo generatore produca stringhe casuali per ogni singolo account.
Questo generatore è privato e sicuro?
Tutto avviene nel tuo browser. La pagina non ha un back end: le password sono costruite localmente in JavaScript e mai inviate in rete. La casualità proviene da crypto.getRandomValues(), il generatore crittograficamente sicuro del browser, non dal prevedibile Math.random().
Non ci sono cookie, né analisi, né log. Puoi aprire la pagina, disconnetterti da internet e continua a funzionare — e puoi verificare che non venga trasmesso nulla osservando la scheda Rete negli strumenti per sviluppatori del browser.
Approfondimenti
- NIST SP 800-63B — Digital Identity Guidelines
- OWASP — Password Storage Cheat Sheet
- Have I Been Pwned — verifica account compromessi
Hai generato una password forte? Ti serve un posto sicuro dove conservarla →
Termini correlati: Entropia · Forza bruta · Frase d'accesso · Gestore di password · CSPRNG