Sicurezza delle password nel 2026: perdite, controlli e protezione degli account
La maggior parte degli hack degli account non sono attacchi brillanti — sono una vecchia password di una violazione di qualcun altro che ha funzionato. Ecco sicurezza delle password senza la paranoia: come le password vengono compromesse, cosa rende una password forte, come controllare la tua in modo sicuro e come memorizzare le password sul server in modo che una violazione non sia una catastrofe.
Perché la password è ancora il punto debole
Puoi proteggere un server secondo le regole, impostare sicurezza del sito web, e comunque perdere l'account a causa di una password debole. La ragione è semplice: le persone riutilizzano le password. La stessa protegge l'email, un negozio e un forum — e quando il forum viene compromesso, quella password apre l'email, e l'email apre tutto il resto.
L'attacco si chiama credential stuffing: qualcuno prende milioni di coppie login-password da vecchie violazioni e le riproduce automaticamente su altri siti. Non hanno bisogno di hackerarti — questo è già stato fatto per loro. Quindi la forza della password non riguarda il fatto di essere difficile da ricordare; si riduce a due regole: una password deve essere lungo e unico per ogni sito.
Come le password vengono compromesse
Una password viene raramente 'indovinata'. Molto più spesso viene compromessa in intere banche dati:
- Violazione del servizio — il database degli utenti con le password finisce online. Se le password sono state memorizzate male, vengono violate rapidamente.
- Phishing — digiti tu stesso la password su una pagina falsa indistinguibile da quella reale.
- Malware — i rubinetti rubano le password salvate nel browser direttamente da un dispositivo infetto.
- Riutilizzo — una fuga su un sito compromette automaticamente ogni altro in cui viene utilizzata la stessa password.
Il risultato è sempre lo stesso: la password finisce in database pubblici che già contengono centinaia di milioni di record. La buona notizia — puoi controllare quegli stessi database per vedere se la tua password è emersa, e farlo in modo sicuro.
Cosa rende una password forte
La forza non si misura avendo un 'carattere speciale' ma dall'entropia — il numero di opzioni che un attaccante dovrebbe provare. La lunghezza la aumenta molto più di simboli esotici: quattro parole casuali superano un breve 'P@ss1!'.
- Lunghezza — almeno 12–16 caratteri, di più per account importanti.
- Casualità — non un nome, una data o una parola del dizionario, ma genuinamente casuale.
- Unicità — una password diversa per ogni sito, così una fuga non apre il resto.
Inventare questo nella tua testa è inutile. Generalo invece: il nostro generatore di password crea una lunga password casuale direttamente nel browser, crittograficamente forte, senza inviarla da nessuna parte.
Come controllare una password contro le violazioni
Puoi controllare se una password è presente in violazioni note senza rivelarla. Funziona tramite k-anonimato: la password viene hashata nel tuo browser, solo i primi cinque caratteri dell'hash vanno al server, una lista di corrispondenze per quel prefisso torna indietro, e la corrispondenza viene trovata localmente. Il server non vede mai la password o il suo hash completo.
Questo è esattamente come funziona il nostro controllo delle perdite di password: confronta la password con il database di Have I Been Pwned, senza memorizzare nulla. Se la password appare nelle violazioni, trattala come compromessa e cambiala ovunque l'hai usata. Lo stesso controllo vale la pena integrarlo nei tuoi moduli di registrazione e cambio password, per avvisare gli utenti su una password debole prima che la impostino.
I gestori di password e l'autenticazione a due fattori
Password lunghe e uniche non possono essere tenute a mente — e non devono esserlo. Un gestore di password genera, memorizza e le compila per te; tu ricordi solo una password principale. È l'unico modo pratico per avere una password forte diversa su ogni sito.
Il secondo livello è l'autenticazione a due fattori (2FA). Anche se la password viene compromessa, il secondo fattore blocca l'accesso. In ordine di forza: una chiave hardware o un'app di autenticazione superano i codici SMS, che possono essere intercettati tramite SIM swapping. Attiva il 2FA almeno per email e banche — questi sono gli account che recuperano tutti gli altri.
Come memorizzare le password sul backend (per sviluppatori)
Se costruisci un servizio con registrazione, la responsabilità per le password degli utenti è tua. Le regole di base non sono in discussione:
- Non memorizzare le password in testo semplice e non criptarle in modo reversibile — solo un hash irreversibile.
- Usa funzioni adattive lente — bcrypt, scrypt o argon2 — con un sale per password. SHA-256 semplice non va bene: è troppo veloce e cede a una GPU.
- Controlla le nuove password contro le violazioni al momento della registrazione e della modifica — tramite la stessa k-anonimato, senza inviare la password.
- Limita il numero di tentativi di accesso e aggiungi 2FA, in modo che una fuga di dati non comporti accesso immediato.
Incorporiamo questo nell'architettura quando costruiamo app web e SaaS: l'autenticazione e la memorizzazione dei segreti sono progettate fin dall'inizio, non aggiunte in seguito.
Lista di controllo per la sicurezza delle password
- Una password lunga (12+), casuale e unica per ogni sito.
- Un gestore di password invece di memorizzare e riutilizzare.
- Autenticazione a due fattori ovunque esista — almeno email e banche.
- Controlla le password importanti contro le violazioni; in caso di corrispondenza, cambia immediatamente.
- Per gli sviluppatori: argon2/bcrypt con sale, limiti di tentativi, un controllo delle violazioni al momento della registrazione.
FAQ
È sicuro controllare una password sul sito di qualcun altro?
Dipende da come funziona il controllo. Un controllo adeguato utilizza la k-anonimato: la password viene hashata nel tuo browser e solo i primi cinque caratteri dell'hash lasciano il browser, quindi il server non vede mai la password. Non digitare mai una password in un modulo che la invia per intero.
Cosa conta come una password forte nel 2026?
Lungo, casuale e unico. Un minimo pratico è di 12–16 caratteri senza parole del dizionario o dati personali, diverso per ogni sito. La lunghezza conta più dei 'caratteri speciali': una frase di alcune parole casuali è migliore di una breve stringa di simboli.
Ho bisogno di un gestore di password?
Sì — è il modo più pratico per avere una password forte diversa ovunque. Ricordi una password principale e il gestore crea e compila il resto. Il rischio che il gestore stesso venga compromesso è molto più basso rispetto al rischio di riutilizzare le password.
I codici SMS sono un'autenticazione a due fattori affidabile?
Meglio di niente, ma più debole rispetto al resto: i codici SMS vengono intercettati tramite il cambio di SIM. Un'app di autenticazione o una chiave hardware è più forte. Tuttavia, qualsiasi 2FA è molto meglio di nessuna.
Come dovrei memorizzare le password degli utenti sul server?
Solo come un hash irreversibile tramite argon2, scrypt o bcrypt con un sale unico per password — mai in testo semplice o con crittografia reversibile. SHA semplice è troppo veloce e inadeguato. Limita anche il numero di tentativi di accesso e offri 2FA.
