Password: cosa fare
e cosa smettere di fare

Se ognuna è diversa, lunga e custodita da un password manager, non serve cambiarle a calendario: la cambi quando c'è un motivo. Lo dice la guida sull'identità digitale del NIST statunitense (SP 800-63B), il riferimento adottato da molte organizzazioni: vieta di imporre cambi periodici e obbliga a forzare il cambio quando ci sono indizi che la password sia stata compromessa. Il motivo è pratico: chi deve cambiare la password ogni mese finisce per usare «Estate2026!» e poi «Autunno2026!», e questo non protegge da nulla. L'OSI dell'INCIBE, l'ente spagnolo per la cibersicurezza, consiglia ancora di rivederle almeno ogni sei mesi, ma nessuno di serio raccomanda di farlo ogni mese. I motivi per cambiarla subito: un avviso che il servizio ha subito una fuga di dati, un accesso che non riconosce, averla digitata in una pagina sospetta o averla comunicata a qualcuno al telefono.

Sì, ed è un paniere migliore dell'alternativa reale, cioè la stessa password su venti siti o un quaderno accanto al computer. Il password manager conserva le password cifrate e le apre solo con una password principale che resta nelle Sue mani; se un servizio qualsiasi subisce una fuga di dati, l'attaccante ottiene una password che non funziona da nessun'altra parte. L'OSI dell'INCIBE lo consiglia proprio per questo, e la guida del NIST obbliga i servizi a consentire i password manager e la compilazione automatica. Ciò che richiede è di avere cura del paniere: una password principale lunga che non usi altrove, la verifica in due passaggi attiva sul password manager stesso e un piano nel caso la dimentichi, perché senza di essa non c'è modo di recuperare ciò che contiene. Quello integrato nel browser o nel sistema dello smartphone è già molto meglio che non usarne nessuno.

Una frase lunga che riesca a ricordare e che non abbia nulla a che fare con ciò che si sa pubblicamente di Lei: quattro o cinque parole scollegate tra loro, con gli spazi se il servizio li accetta. La lunghezza conta più dei simboli strani: la guida del NIST chiede almeno 15 caratteri quando la password è l'unica protezione di un account e sconsiglia di imporre regole di composizione del tipo «una maiuscola, un numero e un simbolo». Eviti proverbi, testi di canzoni, il nome del cane o la data del matrimonio, che sono le prime cose che si provano. È l'unica password che deve memorizzare, quindi vale la pena dedicarle cinque minuti e scriverla una volta su carta, conservata in un posto di casa che non sia il cassetto della scrivania, finché non l'avrà imparata. E attivi la verifica in due passaggi sul password manager.

Perché è quello che apre tutti gli altri. Quasi ogni servizio, dal negozio online al social network o al programma di fatturazione, Le permette di cambiare la password con un link inviato alla Sua email. Chi controlla la casella può richiedere quel link su ogni sito e appropriarsi degli account uno a uno, senza conoscere nessun'altra password. Inoltre, dalla Sua email può scrivere ai Suoi clienti o alla Sua famiglia spacciandosi per Lei, ed è così che iniziano molte fatture false. Per questo l'email merita la migliore password che ha, diversa da tutte le altre, la verifica in due passaggi con il metodo più robusto disponibile e un controllo periodico delle sessioni aperte e delle regole di inoltro. Se questa settimana proteggerà bene un solo account, che sia questo.

È molto meglio che non avere un secondo passaggio, e peggio delle alternative. L'SMS dipende dalla Sua linea telefonica, e ci sono truffe che consistono nell'ottenere un duplicato della Sua SIM o nel deviare i Suoi messaggi; inoltre il codice può essere letto ad alta voce a chi La chiama fingendosi la banca. La guida del NIST classifica l'SMS come metodo «limitato» e non lo considera resistente al phishing. Un'app di autenticazione sullo smartphone genera il codice senza dipendere dalla linea, quindi evita il duplicato della SIM, anche se non La protegge se è Lei stesso a digitare il codice in una pagina falsa. Le chiavi fisiche e le passkey vanno un passo oltre: funzionano solo sul sito autentico. Usi il metodo più robusto offerto da ciascun servizio, e l'SMS solo dove non c'è altra scelta.

Proprio per questo, quando la attiva, ogni servizio Le offre dei codici di recupero: un elenco di codici monouso che Le permettono di accedere senza lo smartphone. Li stampi o li conservi fuori dal telefono, nel password manager o su carta a casa, e non li lasci in uno screenshot dentro lo stesso smartphone che potrebbe perdere. Se il servizio lo consente, aggiunga un secondo metodo: un altro dispositivo, una chiave fisica di riserva o un numero di telefono di backup. Le app di autenticazione più comuni permettono inoltre di salvare una copia dei codici per trasferirli su un nuovo smartphone; lo verifichi prima di cambiare telefono, non dopo. Perdere lo smartphone senza nulla di tutto ciò di solito non è definitivo, ma trasforma il recupero di ogni account in una lunga pratica con l'assistenza di ciascun servizio, e qualcuno non la risolve mai.

Un quaderno a casa è più sicuro della stessa password ripetuta ovunque, perché per leggerlo bisogna entrare in casa Sua, e la maggior parte degli attacchi arriva da internet, non dal soggiorno. Il problema del quaderno non è tanto il furto quanto il resto: non si porta comodamente con sé, non genera password lunghe, invita a scegliere password corte per non stancarsi a ricopiarle e in ufficio finisce su un post-it attaccato al monitor, che è proprio dove non deve stare. Per una persona anziana che usa tre servizi può essere una soluzione ragionevole. Per chiunque abbia più di dieci account, o per un'attività con dati dei clienti, il password manager vince nettamente: ricorda, genera e compila al posto Suo. Ciò che non conviene mai è un documento non protetto sul desktop del computer chiamato «password».

Molti password manager e i principali browser La avvisano già da soli: confrontano le password salvate con elenchi di password trapelate senza inviarle in chiaro e Le indicano quali sono esposte o ripetute. Controlli quella sezione di tanto in tanto; di solito si chiama qualcosa come «controllo sicurezza» o «verifica password». Possono avvisarLa anche i servizi stessi via email quando subiscono una fuga di dati; in quel caso acceda digitando Lei l'indirizzo nel browser, non cliccando il link del messaggio, nel caso l'avviso sia falso. Se una password risulta trapelata, la cambi su quel servizio e su qualsiasi altro dove la usava uguale. E se nota qualcosa di strano, come accessi che non riconosce, messaggi inviati che non ha scritto o regole nella posta che non ha creato Lei, non aspetti l'avviso: cambi la password e chiuda le sessioni aperte.