Una password come “123456” si indovina in meno di un secondo. Una password basata su una frase personale di 16 caratteri resiste per secoli. La differenza? Qualche trucco che scoprirete qui.
La sicurezza dei vostri account online dipende in gran parte dalla qualità delle vostre password. Ma creare una password “forte” non significa creare qualcosa di impossibile da ricordare. Esistono metodi semplici, approvati dagli esperti di sicurezza, che vi permettono di creare password allo stesso tempo solide e memorizzabili.
Perché le vostre password attuali sono probabilmente troppo deboli
Le password più usate in Italia
Secondo lo studio annuale di NordPass pubblicato a novembre 2025, le password più usate in Italia restano tristemente semplici:
- 123456
- password
- 123456789
- qwerty
- juventus
Queste password sono le prime testate dai software di pirateria automatizzata. Una password come “qwerty” viene indovinata in meno di un secondo (fonte: studio Hive Systems “Password Table”, aggiornamento 2025).
La vostra data di nascita non protegge nulla
Molte persone usano la loro data di nascita, il nome dei loro nipoti o il nome del loro animale domestico. Queste informazioni sono spesso accessibili sui social network o facilmente intuibili. Secondo il Garante per la protezione dei dati personali, il 41% degli italiani usa informazioni personali nelle proprie password (fonte: indagine 2024).
Il vero criterio di sicurezza: la lunghezza
Contrariamente a un’idea diffusa, non è la complessità (maiuscole, cifre, simboli) a rendere forte una password, ma soprattutto la sua lunghezza. L’AGID raccomanda un minimo di 12 caratteri (fonte: guida AGID “Raccomandazioni relative all’autenticazione multifattore”, 2024).
Ecco perché:
- Una password di 8 caratteri con lettere, cifre e simboli: indovinata in poche ore
- Una password di 12 caratteri con sole lettere: indovinata in diversi anni
- Una password di 16 caratteri: indovinata in diversi secoli
(Fonte: tabella Hive Systems “Password Table” 2025, basata sulla potenza di calcolo attuale dei processori grafici)
Il metodo della frase: semplice ed efficace
È il metodo raccomandato dall’AGID e dal CNAIPIC per i privati. Il principio è semplice: trasformate una frase che conoscete bene in una password.
Come funziona
Passo 1: Scegliete una frase personale che non rischiate di dimenticare.
Per esempio:
- “Mio nipote Luca ha compiuto 7 anni a marzo”
- “Bevo il mio caffè alle 8 con 2 zuccheri”
- “La mia casa blu ha 3 finestre sulla strada”
Passo 2: Prendete la prima lettera di ogni parola, mantenendo i numeri e la punteggiatura.
- “Mio nipote Luca ha compiuto 7 anni a marzo” →
MnLhc7aam - “Bevo il mio caffè alle 8 con 2 zuccheri” →
BimCa8c2z - “La mia casa blu ha 3 finestre sulla strada” →
Lmcbh3fss
Passo 3: Aggiungete un carattere speciale all’inizio o alla fine per rafforzare.
MnLhc7aam!BimCa8c2z#Lmcbh3fss&
Ottenete una password di 10-11 caratteri che sembra casuale ma che potete ricostruire facilmente ripensando alla vostra frase.
Esempi concreti adattati agli anziani
Ecco delle frasi facili da ricordare e le password che generano:
| Frase personale | Password | Lunghezza |
|---|---|---|
| ”Tutte le mattine porto Rex al parco alle 9” | TlmpRap9! | 10 caratteri |
| ”Mia figlia Sofia abita a Roma dal 2015” | MfSaRd2015! | 11 caratteri |
| ”Adoro la torta al cioccolato di mia madre” | Altcdmm! | 9 caratteri |
| ”Abbiamo piantato 12 rosai nel giardino a maggio” | Ap12Rngam! | 11 caratteri |
Testimonianza: Giuseppe, 71 anni, Napoli, febbraio 2026: “Usavo sempre la stessa data di nascita ovunque. Mia nipote mi ha mostrato il metodo della frase. Ora ho una frase diversa per la mia banca, la mia email e il Fascicolo Sanitario Elettronico. È facile perché sono ricordi.” (fonte: laboratorio digitale della biblioteca di Napoli, riscontro partecipante)
Come variare per ogni sito
Per non usare la stessa password ovunque, aggiungete un riferimento al sito nella vostra frase:
- Per la vostra banca: “Il mio conto in Banca Intesa è sicuro dal 2024” →
ImcBI!s2024! - Per la vostra email: “La mia email Gmail è la mia posta dal 2018” →
LmeGèlmp2018! - Per il Fascicolo Sanitario: “Il mio FSE con il mio codice fiscale” →
ImFScmcf!
Il metodo delle 3 parole casuali
Il centro nazionale di cybersicurezza britannico (NCSC) raccomanda un altro approccio ancora più semplice: scegliere 3 parole senza alcun legame tra loro e unirle (fonte: guida NCSC “Three random words”, aggiornamento 2025).
Esempi:
tulipano-radiatore-mercoledìcioccolato-ombrello-gioveciliegia-tram-biblioteca
Queste password sono lunghe (25-30 caratteri), il che le rende estremamente resistenti all’hacking, e facili da ricordare perché potete crearvi un’immagine mentale assurda: immaginate un tulipano su un radiatore di mercoledì.
Testimonianza: Monica, 66 anni, Bologna, gennaio 2026: “Ho scelto tre parole che mi fanno sorridere. Le ricordo facilmente perché l’immagine è buffa. E a quanto pare è molto sicura.” (fonte: associazione I Fratelli dei Poveri, laboratorio digitale)
Il gestore di password: la soluzione per non ricordare più nulla
Cos’è?
Un gestore di password è un’applicazione sicura che conserva tutte le vostre password in un caveau digitale cifrato. Avete solo una password da ricordare: la password principale che apre il caveau.
Perché è raccomandato
L’AGID e l’ENISA raccomandano l’utilizzo di un gestore di password per i privati (fonte: guida “Le password”, aggiornata nel 2024). I vantaggi sono concreti:
- Avete solo una password da ricordare
- L’applicazione genera password molto forti per ogni sito
- Compila automaticamente i campi di accesso
- Le vostre password sono protette da una cifratura AES-256 (la stessa usata dagli eserciti)
Bitwarden: gratuito, semplice e raccomandato
Tra i gestori disponibili, Bitwarden è quello più spesso raccomandato per i privati:
- Gratuito per uso personale
- Open source: il suo codice è pubblico e verificato da esperti indipendenti
- Disponibile su computer, telefono e tablet
- Semplice da usare: si integra nel vostro browser e compila le password automaticamente
Secondo il confronto della redazione di Tom’s Hardware pubblicato a gennaio 2026, Bitwarden è classificato come il miglior gestore gratuito per i principianti.
Come installare Bitwarden: guida passo a passo
Su computer:
- Aprite il vostro browser internet (Chrome, Firefox, Edge)
- Andate su
bitwarden.com - Cliccate su “Crea un account gratuito”
- Scegliete la vostra password principale (usate il metodo della frase!)
- Installate l’estensione per il vostro browser
- Bitwarden vi proporrà di salvare le vostre password quando vi connetterete ai siti
Su telefono o tablet:
- Aprite l’App Store (iPhone/iPad) o il Play Store (Android)
- Cercate “Bitwarden”
- Installate l’applicazione
- Accedete con lo stesso account
Scegliere una buona password principale
La password principale è l’unica che dovrete ricordare. Deve essere particolarmente robusta. Usate il metodo della frase con una frase lunga:
“Il mio caveau Bitwarden protegge i miei 25 account dal 2026” → ImcBpim25ad2026!
Scrivete questa password su un foglio che conserverete in un posto sicuro (non vicino al vostro computer). Una volta che la conoscete a memoria, distruggete il foglio.
Cosa non fare assolutamente
Gli errori più comuni
-
Usare la stessa password ovunque. Se un solo sito viene violato, tutti i vostri account sono compromessi. Nel 2024, più di 2 miliardi di credenziali rubate sono state pubblicate online (fonte: rapporto Have I Been Pwned, dicembre 2024).
-
Scrivere le proprie password su un Post-it attaccato allo schermo. Se qualcuno entra a casa vostra o se inviate una foto della vostra scrivania, le vostre password sono visibili.
-
Inviare una password via email o SMS. Questi canali non sono sicuri. Se la vostra email viene violata, il truffatore troverà tutte le password che avete inviato.
-
Usare una parola del dizionario da sola. I software di pirateria testano tutte le parole del dizionario in pochi secondi.
-
Fidarsi delle domande segrete. “Qual è il nome del vostro animale domestico?” è spesso trovabile sui vostri social network. Se un sito propone domande segrete, rispondete con un’informazione falsa che solo voi conoscete.
L’autenticazione a due fattori: una protezione aggiuntiva
Come funziona
L’autenticazione a due fattori (o 2FA) aggiunge uno strato di sicurezza oltre alla password. Quando vi connettete, il sito vi invia un codice via SMS o su un’applicazione. Anche se qualcuno conosce la vostra password, non potrà connettersi senza questo codice.
Dove attivarla prioritariamente
Secondo le raccomandazioni dell’AGID (fonte: guida “Sicurezza digitale per i privati”, 2024), attivate l’autenticazione a due fattori almeno su:
- La vostra email principale (è la chiave di tutti gli altri vostri account)
- La vostra banca online (la maggior parte la impone già)
- Il vostro Fascicolo Sanitario Elettronico (disponibile dal 2024)
- I vostri social network (Facebook, WhatsApp)
Come attivarla
La procedura varia secondo i siti, ma si trova generalmente in:
- Impostazioni → Sicurezza → Verifica in due passaggi
- Impostazioni → Password e sicurezza → Autenticazione a due fattori
Il sito vi guiderà passo a passo. In caso di difficoltà, non esitate a chiedere aiuto a un familiare.
Verificare se le vostre password sono già state rubate
Il sito haveibeenpwned.com (creato dall’esperto di sicurezza Troy Hunt) vi permette di verificare gratuitamente se il vostro indirizzo email compare in database violati.
Come fare:
- Andate su
haveibeenpwned.com - Inserite il vostro indirizzo email
- Il sito vi indicherà se i vostri dati sono stati compromessi e su quali servizi
Se la vostra email compare, cambiate immediatamente la password del servizio in questione e di tutti gli account dove usavate la stessa password.
Riepilogo: le 5 regole da ricordare
- Una password diversa per ogni sito importante (banca, email, fascicolo sanitario, INPS).
- Minimo 12 caratteri — usate il metodo della frase o le 3 parole casuali.
- Non condividete mai una password via email, SMS o telefono.
- Attivate l’autenticazione a due fattori sui vostri account sensibili.
- Usate un gestore di password (Bitwarden, gratuito) se avete molti account.
La sicurezza digitale non è riservata agli esperti. Con queste poche abitudini, proteggerete efficacemente la vostra vita online.
Nota editoriale
Fonti consultate: AGID (guida “Raccomandazioni relative all’autenticazione multifattore” 2024, guida “Sicurezza digitale per i privati” 2024), Garante per la protezione dei dati personali (guida “Le password” 2024), NordPass (studio annuale 2025), Hive Systems (“Password Table” 2025), NCSC britannico (guida “Three random words” 2025), Have I Been Pwned (rapporto dicembre 2024), confronto Tom’s Hardware (gennaio 2026).
Limiti di questa guida: I tempi di crack delle password sono stime basate sulla potenza di calcolo attuale e possono evolvere con i progressi tecnologici. Le raccomandazioni sulla lunghezza minima potrebbero essere riviste al rialzo negli anni futuri. Questa guida non copre le chiavi di sicurezza fisiche (Yubikey), più adatte a un uso avanzato.
Data di verifica: 26 marzo 2026
Conflitti di interesse: nessuno
Questions fréquentes
-
L'AGID (Agenzia per l'Italia Digitale) raccomanda un minimo di 12 caratteri per una password personale e 15 caratteri per gli account sensibili (banca, email principale). Più una password è lunga, più è difficile da indovinare, anche se non contiene caratteri speciali.
-
No, è fortemente sconsigliato. Se un sito viene violato e la vostra password viene rubata, i truffatori la proveranno automaticamente su altri siti (banca, email, ecc.). Usate una password diversa per ogni account importante.
-
Due soluzioni: il metodo della frase (create una frase diversa per ogni sito) o un gestore di password come Bitwarden (gratuito) che ricorda tutte le vostre password per voi. Avrete così solo una password principale da memorizzare.
-
Un gestore di password è un'applicazione che conserva tutte le vostre password in modo cifrato (illeggibile per gli altri). Bitwarden, raccomandato da ENISA, è gratuito e open source. Le vostre password sono protette da una cifratura AES-256 (la stessa usata dagli eserciti).
-
Usate sempre il pulsante 'Password dimenticata' sul sito in questione. Riceverete un'email per crearne una nuova. Non chiedete mai a qualcuno di recuperarla per voi e diffidate dai siti che pretendono di recuperare le password.