Come creare una password sicura (e i generatori gratuiti)

Perché la lunghezza conta più dei simboli

Una password non si indovina a intuito: si attacca a forza bruta, cioè con un programma che ne prova in automatico un numero enorme ogni secondo finché non trova quella giusta. Quello che decide se questo lavoro dura minuti o secoli è quante combinazioni esistono da provare — ed è qui che la lunghezza conta più della complessità.

Facciamo il conto, per password con caratteri scelti a caso. Una password di 8 caratteri che mescola maiuscole, minuscole, numeri e simboli (94 caratteri possibili per ogni posizione) ha circa 6 milioni di miliardi di combinazioni possibili. Una password di 16 caratteri fatta solo di lettere minuscole (26 caratteri possibili) ne ha circa 44 mila miliardi di miliardi: oltre 7 milioni di volte in più, pur essendo «meno complicata» secondo le vecchie regole.

È anche la posizione ufficiale. Le linee guida dell'ente statunitense NIST (SP 800-63B, versione definitiva di luglio 2025) chiedono ai siti di puntare sulla lunghezza e vietano di imporre regole come «almeno una maiuscola, un numero e un simbolo»: costringono a password prevedibili, tipo «Password1!», senza renderle davvero più robuste.

Gli errori più comuni, e perché ti espongono

Usare la stessa password ovunque è l'errore più costoso. Se un solo sito fra quelli che usi viene violato, chi ruba le credenziali le prova in automatico anche su altri siti noti (email, social, banca): è una tecnica chiamata credential stuffing, ed è automatica — non serve che qualcuno ti scelga di persona.

Usare dati personali — nome, cognome, data di nascita, nome del cane, la squadra del cuore — è il secondo errore più comune. Un attacco mirato a una persona precisa prova prima proprio queste combinazioni, spesso perché le stesse informazioni sono già pubbliche sui tuoi social.

Usare una password troppo corta riduce le combinazioni possibili indipendentemente da quanto sembri complicata (vedi il conto della sezione precedente). Le soglie ufficiali sono chiare: il NIST chiede almeno 15 caratteri quando la password è l'unica protezione dell'account (8 se c'è anche la verifica in due passaggi), e l'agenzia statunitense per la sicurezza informatica CISA consiglia almeno 16 caratteri. Più lunga è, meglio è.

Come funzionano i generatori di password

Un generatore di password — quello che Chrome, Safari o Edge ti propongono da soli quando crei un account, oppure uno dei tanti siti gratuiti online — fa una cosa sola: sceglie caratteri a caso da un insieme (lettere, numeri, simboli) fino alla lunghezza che hai scelto. Non si basa su parole né su un significato: è proprio l'assenza di logica a renderlo difficile da indovinare.

Il problema arriva subito dopo: una stringa come xT9!qRv2$mLp è quasi impossibile da indovinare, ma è anche impossibile da ricordare. E usarne una diversa per ogni sito — come dovresti, per il motivo spiegato sopra sul riuso — significa non poterle tenere a mente tutte.

La soluzione più diffusa è lasciarla scrivere e ricordare a un gestore di password, che la genera, la salva cifrata e la richiama al posto tuo quando ti serve. Non ripetiamo qui il confronto: trovi le opzioni gratuite che probabilmente hai già sul telefono, e quelle dedicate a pagamento, nella guida su quale gestore di password scegliere.

Una tecnica per crearne una che ricordi: la passphrase

Per le password che devi ricordare a memoria, il metodo consigliato dagli enti di sicurezza è costruirle come una piccola fila di parole scelte a caso, invece che come una stringa di caratteri senza senso. Si chiama passphrase: la CISA consiglia da 4 a 7 parole non collegate fra loro, il centro di sicurezza informatica britannico (NCSC) tre parole a caso.

Qui il conto si fa a parole, non a lettere. Con una lista di 7.776 parole (quella usata dall'associazione EFF), quattro parole a caso danno circa 3,7 milioni di miliardi di combinazioni, lo stesso ordine della password di 8 caratteri con simboli; sei parole ne danno circa 221 mila miliardi di miliardi, più della password di 16 minuscole. Per questo, per le password più importanti, l'EFF consiglia sei parole.

1. Scegli almeno quattro parole, meglio sei per le password più importanti, che non c'entrano niente l'una con l'altra. Il modo più casuale sono i dadi con la lista di parole dell'EFF; in alternativa apri un libro in pagine diverse e prendi il primo nome di cosa che trovi, non parole scelte da te.
2. Mettile in fila, separate da un trattino, uno spazio o un numero, come preferisci: per esempio cavallo-lampada-giovedì-tazza.
3. Evita le frasi di senso compiuto, tipo «ilgattonerodicasamia»: somigliano al linguaggio naturale, e per questo sono più prevedibili di quanto sembrino a prima vista.
4. Se il sito lo richiede, aggiungi un numero o un simbolo in un punto qualsiasi: non è necessario per la sicurezza della frase, ma allunga ulteriormente le combinazioni possibili.

Perché conviene comunque la verifica in due passaggi

Anche la password più lunga e casuale del mondo può uscire allo scoperto per un motivo che non dipende da te: un sito che usi viene violato, e la tua password — pur perfetta — finisce comunque in una fuga di dati.

La verifica in due passaggi (o autenticazione a due fattori) aggiunge una seconda prova, oltre alla password: il telefono, un'app di autenticazione o una chiave fisica. Anche chi ha scoperto la tua password non riesce a entrare senza anche quella seconda prova. L'attivazione passo per passo su Google, Microsoft e Apple è nella guida dedicata.