Una password sicura non si "indovina", si misura: lunghezza, varietà di caratteri, imprevedibilità. Qui vediamo esattamente cosa serve nel 2026, con riferimenti concreti e checklist finale.
La singola variabile che fa più differenza è la lunghezza. Una password da 8 caratteri misti è crackabile offline in minuti con un GPU moderno; una da 12 caratteri misti richiede anni; una da 16 caratteri misti è, allo stato dell'arte, praticamente irraggiungibile.
Il NIST (ente di standardizzazione statunitense) nella Special Publication 800-63B raccomanda un minimo di 8 caratteri, ma consiglia di permettere fino a 64. La raccomandazione pratica: 12 caratteri per account quotidiani, 16+ per email, home banking, password manager.
Per anni si è imposto il requisito "una maiuscola, un numero, un simbolo". Oggi sappiamo che è un consiglio debole: forza l'utente a produrre password del tipo Password1! o Estate2026!, che sono tra le più comuni al mondo e tra le prime a essere testate dagli attaccanti.
Quello che conta è la casualità. Una password di 14 caratteri generata da un buon algoritmo è più forte di una password di 10 "complicata ad arte" da un umano. Noi gli esseri umani non siamo generatori di numeri casuali: tendiamo a ripetere pattern, mettere maiuscole all'inizio, numeri alla fine, simboli facili ($, !, @).
Un'alternativa alle password tradizionali sono le passphrase: quattro o cinque parole scelte a caso da un dizionario grande (tipo "diceware"). Esempio: tappeto-fulmine-barca-ricerca-fiore.
Vantaggi: facili da ricordare, difficili da craccare (una passphrase di 5 parole da un dizionario di 8000 ha una complessità superiore a una password di 12 caratteri misti). Svantaggi: alcuni siti vecchi non le accettano, impongono tetti di 16 caratteri. Dove si può usarle, è un ottimo compromesso.
Il nostro generatore propone passphrase stile Diceware con un dizionario italiano curato.
Il motivo numero uno per cui le persone vengono "hackerate" non è un attaccante geniale: è il riuso. Il sito X viene bucato, trafugano email+password hashate. Un attaccante usa quelle credenziali su decine di altri siti (credential stuffing). Chi riusa la password, su almeno uno di quei siti verrà compromesso.
La regola: una password per sito. Non memorizzabile a mente, obbligatorio usare un password manager. Vedi la guida dedicata ai password manager.
Il servizio Have I Been Pwned (haveibeenpwned.com) mantiene un elenco di oltre 10 miliardi di credenziali trafugate in fughe pubbliche. Puoi inserire un'email per vedere se è coinvolta, e c'è un API gratuito (Pwned Passwords) che permette di controllare se una password specifica è già apparsa in una fuga, senza doverla mandare in chiaro.
Se la tua password è in quell'elenco, cambiala subito ovunque la stia usando — è nella wordlist di qualsiasi attaccante.
Anche la password più forte può essere rubata tramite phishing o malware. L'autenticazione a due fattori (2FA) aggiunge un secondo passaggio: tipicamente un codice generato da un'app sul telefono (Google Authenticator, Authy, Aegis) o una chiave fisica (YubiKey).
Attiva 2FA ovunque sia disponibile, almeno su email, banche, password manager, social principali. Evita l'SMS come secondo fattore: è intercettabile. Preferisci TOTP (app) o chiave hardware.