Avere una password per sito è obbligatorio, memorizzarle tutte è impossibile. La soluzione è il password manager: un deposito cifrato con una sola password maestra. Qui vediamo cosa aspettarsi e quale scegliere.
Un adulto connesso ha fra i 50 e i 300 account. Senza un gestore ci sono due vie: usare la stessa password (pericoloso), o scrivere le password da qualche parte (su un foglio Excel, note del telefono) — in entrambi i casi la sicurezza crolla.
Il password manager risolve: ricorda e genera password forti per ogni account, le riempie in automatico, le sincronizza fra dispositivi. L'unica password da ricordare è quella principale.
Due filosofie principali.
Cloud (Bitwarden, 1Password, Dashlane): il vault cifrato è sul server del fornitore. Vantaggi: sincronizzazione automatica fra dispositivi, condivisione, recupero da smarrimento. Lo svantaggio teorico è che il server è un bersaglio: ma se il vault è cifrato end-to-end (la chiave non lascia il tuo dispositivo), un dump del server rivela solo blob cifrati. LastPass nel 2022 ha subito proprio questo scenario — il vault cifrato è uscito, ma chi aveva una master password forte è rimasto al sicuro.
Locale (KeePass, KeePassXC): il file del vault vive solo sul tuo dispositivo. Nessun server. Massimo controllo, massima responsabilità: tocca a te sincronizzarlo (Nextcloud, Syncthing) e fare backup.
Scelta pratica: per il 95% delle persone, un buon cloud password manager end-to-end-encrypted è la scelta giusta. Per utenti tecnici o paranoidi, KeePassXC + sync manuale.
Bitwarden. Open source, cloud o self-hosted, piano gratuito molto generoso (vault illimitato), premium ~10€/anno. Cifratura AES-256-CBC + PBKDF2 o Argon2. Supporto TOTP integrato. Scelta consigliata per la maggior parte degli utenti.
1Password. Commerciale a pagamento (~36€/anno), interfaccia molto curata, "Secret Key" aggiuntiva al vault che aumenta la sicurezza se la master password è debole. Ottima integrazione desktop. Non open source.
KeePassXC. Open source, locale, gratis. Nessun cloud, nessuna integrazione automatica fra dispositivi — devi sincronizzare il file manualmente. Massimo controllo. Più scomodo per i meno tecnici.
Da evitare oggi: LastPass (ha subito la fuga di dati del 2022 e la gestione dell'incidente è stata problematica), gestori integrati nei browser che non cifrano la master in modo robusto.
La master password è la chiave del regno: con quella un attaccante accede a tutto. Deve essere la password più forte che hai: minimo 16 caratteri misti, meglio una passphrase di 6+ parole.
Non riusarla da nessun'altra parte. Non segnartela nelle note del telefono. Memorizzala. Scrivila una volta su carta chiusa in un posto sicuro (cassaforte, cassetto chiuso) per emergenza, non per uso quotidiano.
Attiva 2FA sul password manager: anche se qualcuno rubasse la master, senza il secondo fattore non entrerebbe. Vedi la guida sulle password sicure.
Se oggi usi password riusate o nel browser:
Dopo 2-3 mesi avrai una password unica per ogni servizio, e ricorderai solo quella del manager.