Password manager: cosa fa, quando serve e come sceglierlo

Un password manager è un programma, o una funzione del browser, che conserva le tue password in un archivio cifrato e le compila al posto tuo. Tu ne ricordi una sola: la password principale, detta master password. Il centro nazionale per la cybersicurezza del Regno Unito (NCSC) lo descrive così: permette di avere una password diversa per ogni servizio, ne genera di robuste e le compila solo sui siti corretti, il che aiuta anche contro il phishing (NCSC).

Il problema che risolve

Il problema è il riuso. Se usi la stessa password su dieci siti e uno di quei siti viene violato, chi la ottiene può provarla sugli altri nove. Un password manager toglie la scusa: se non devi ricordare le password, puoi averne una diversa per ogni account.

Anche le regole che ci hanno insegnato, maiuscole, numeri, un simbolo e il cambio ogni tre mesi, non sono più quelle raccomandate. Il NIST, l'ente tecnico statunitense, nella versione 4 delle sue linee guida chiede ai servizi di richiedere almeno 15 caratteri quando la password è l'unico fattore (8 se c'è anche un secondo fattore), di non imporre regole di composizione, di non obbligare al cambio periodico salvo compromissione, e di consentire l'uso di password manager e della funzione «incolla» (NIST SP 800-63B-4). Sono requisiti per chi gestisce i sistemi di accesso, non obblighi per te. Indicano però la direzione: password lunghe, uniche, gestite da uno strumento.

In Italia il Garante per la protezione dei dati personali pubblica un vademecum su come creare e gestire le password (Garante privacy).

Come funziona e cosa rischi

Tutto sta dietro la master password, quindi deve essere lunga, unica e da ricordare. Secondo l'NCSC è la chiave di accesso al gestore, e molti prodotti offrono modi di recupero. Chiedi come funziona il recupero prima di sceglierne uno: se il prodotto non può recuperarla, dimenticarla significa perdere l'archivio.

L'NCSC raccomanda inoltre di attivare la verifica in due passaggi sull'account del gestore. Così, anche se la master password finisse in mani sbagliate, non basterebbe da sola.

Restano alcuni rischi concreti. Se qualcuno usa il tuo dispositivo sbloccato, può aprire anche il gestore. Sui dispositivi pubblici, per esempio in biblioteca, l'NCSC consiglia di non salvare mai le password; su quelli condivisi in casa di valutare chi può accedervi. E un password manager non protegge da un computer già infetto: per quello c'è l'antivirus (guida: basta Defender o serve altro).

Browser o programma dedicato?

Per capirci con due esempi, senza una classifica. Bitwarden dichiara di essere costruito su codice pubblico, verificabile da chiunque, e di avere un piano gratuito di base, oltre a versioni a pagamento per singoli e aziende. 1Password è un prodotto a pagamento, con versioni personali e aziendali. Sono dati dei siti dei produttori: non li abbiamo provati noi.

Come scegliere

• Verifica in due passaggi sull'account del gestore.
• Recupero: che cosa succede se dimentichi la master password.
• Dispositivi: funziona sul PC, sul telefono e nei browser che usi davvero?
• Esportazione: puoi portare via le tue password se un giorno vuoi cambiare?
• Trasparenza: codice pubblico e relazioni di sicurezza sono un vantaggio, ma non bastano da soli.
• Avvisi: secondo l'NCSC molti gestori dedicati avvisano quando una password salvata risulta violata o diffusa in rete.
• Costo nel tempo: un piano gratuito basta a molti, uno a pagamento ha senso se usi le funzioni in più.

Come iniziare, in sei passi

1. Scegli un prodotto e scaricalo dal sito del produttore o dallo store ufficiale.
2. Crea la master password: una frase lunga, che non usi in nessun altro posto.
3. Attiva la verifica in due passaggi sull'account del gestore.
4. Importa le password già salvate nel browser, se il programma lo consente, e poi disattiva il salvataggio nel browser per non avere due archivi.
5. Cambia per prime le password degli account importanti: email, banca, account Microsoft, Apple o Google. Gli altri li sistemi mano a mano che li usi.
6. Se il programma ti dà un codice di recupero, stampalo e tienilo in un luogo sicuro.

Passkey: l'accesso senza password

Sempre più servizi offrono le passkey, un modo di accedere senza digitare una password: al suo posto confermi l'accesso con lo sblocco del telefono o del computer, per esempio impronta, volto o PIN. L'NCSC raccomanda di usare le passkey come prima scelta quando un servizio le offre (NCSC).

Le passkey non rendono inutile il password manager. Molti account chiedono ancora una password, e per quelli resta valida la regola di averne una diversa per ogni servizio. Alcuni gestori conservano anche le passkey e le sincronizzano tra i dispositivi: se ti interessa, verifica sul sito del produttore che la funzione ci sia sul telefono e sul computer che usi. Quando attivi una passkey su un account importante, tieni comunque attivo un secondo metodo di recupero, per esempio i codici di recupero del servizio.

Per studi e piccole aziende

Se in studio più persone usano lo stesso account, scambiarsi le password per messaggio è il punto debole. Un gestore con funzioni di condivisione permette di dare accesso senza mostrare la password a nessuno. Resta una scelta organizzativa: decidete chi accede a cosa e cosa succede quando una persona lascia lo studio. Per l'impostazione generale della sicurezza leggi anche Proteggi i tuoi dati online. Altre guide sul tema sono nell'area Sicurezza e privacy.

Domande frequenti

Un password manager è sicuro?

Nessuno strumento lo è al cento per cento. Con una master password robusta e la verifica in due passaggi, è in genere una scelta migliore che riusare la stessa password ovunque, e l'NCSC spiega proprio perché conviene averne una diversa per ogni servizio. La sicurezza dipende anche dal dispositivo su cui lo usi.

Se dimentico la master password?

Dipende dal prodotto. Alcuni offrono recupero tramite suggerimenti o contatti fidati, altri no. Leggi le condizioni prima di affidargli le tue password e conserva il codice di recupero, se c'è.

Il gestore mi avvisa che una password è stata violata: che cosa faccio?

Cambiala subito sul sito interessato, con una nuova password generata dal gestore, e cambiala anche negli altri account dove l'avevi riutilizzata. Se il servizio lo consente, attiva la verifica in due passaggi.

Devo pagare?

Non necessariamente. Il gestore del browser è incluso e alcuni programmi dedicati hanno un piano gratuito. I piani a pagamento aggiungono funzioni: valuta se ti servono.

Meglio il browser o un programma a parte?

Se usi un solo browser su un solo dispositivo personale, quello integrato può bastare. Se passi da PC a telefono, usi più browser o condividi accessi, un programma dedicato è più pratico.

Prossimo passo: se vuoi che qualcuno ti accompagni nella scelta e nell'importazione delle password, scrivici dai contatti. Se preferisci, un tecnico lo fa per te da remoto: nel catalogo trovi Installazione Software e Configurazione e Formazione su software specifici (1h); disponibilità, modalità e prezzo vanno confermati nelle schede. Ricorda che la master password non si comunica a nessuno, nemmeno a un tecnico. Questa guida non è una recensione basata su test di prodotti e non contiene programmi affiliati attivi.

Fonti della guida: NCSC, password manager; NIST, SP 800-63B-4; Garante privacy, password; Bitwarden; 1Password.