Come scegliere un gestore di password

Aggiornamento 28/08/2026 · emailusaegetta.it

La stessa password usata su più siti è, da sola, la falla più grande che la maggior parte delle persone ha. Un gestore di password esiste per chiudere quella falla senza chiedere uno sforzo di memoria impossibile.

Perché serve davvero

Il problema non è che le tue password siano deboli: è che sono ripetute. Quando un sito qualsiasi viene violato, la coppia indirizzo-password finisce in elenchi che vengono provati automaticamente su decine di altri servizi. Un account di poco conto diventa così la chiave dell’email principale.

Le alternative che le persone provano prima — il foglio di carta, il file di testo, la variazione sul tema («Estate2024!», poi «Estate2025!») — falliscono tutte per lo stesso motivo: non reggono i cinquanta o cento account che ognuno ha oggi. Un gestore regge perché non ti chiede di ricordare nulla, tranne una cosa sola.

I criteri che contano

1. Cifratura sul tuo dispositivo (zero-knowledge)

È il requisito non negoziabile. I dati devono essere cifrati e decifrati sul tuo dispositivo, con una chiave derivata dalla tua password principale, che il fornitore non conosce. Sul server finisce solo un blocco illeggibile. Se un fornitore può mostrarti le tue password senza che tu inserisca la password principale, quel modello non è zero-knowledge.

2. Piattaforme e browser che usi

Un gestore che non c’è dove ti serve non lo userai. Verifica: sistema del computer, sistema del telefono, estensione per il browser che usi davvero, e il riempimento automatico dentro le app del telefono. Se in famiglia ci sono sistemi diversi, deve coprirli tutti.

3. Condivisione

Prima o poi devi passare una credenziale a qualcuno: l’account dello streaming in famiglia, un accesso a un collaboratore. Un gestore serio permette di condividere una voce senza mandarla in chiaro su WhatsApp, e di revocare l’accesso dopo. I piani famiglia costano di solito poco più del singolo e coprono più persone.

4. Controllo dello stato delle password

Una sezione che segnala password deboli, riutilizzate o comparse in violazioni note trasforma il gestore da archivio a strumento attivo. È lo stesso controllo descritto in come scoprire se le password sono trapelate, ma applicato a tutti i tuoi account insieme.

5. Accesso offline

Deve esistere una copia locale cifrata: senza rete, o se il servizio è temporaneamente irraggiungibile, le tue password devono restare accessibili. Un gestore che funziona solo online è un punto di rottura.

6. Esportazione dei dati

Criterio sottovalutato e importante: deve essere possibile esportare tutto in un formato standard. Serve per cambiare fornitore senza reinserire duecento voci a mano — cioè per non restare bloccato. Se l’esportazione non esiste o è nascosta, è un segnale.

7. Recupero se dimentichi la password principale

Conseguenza diretta dello zero-knowledge: il fornitore non può reimpostarla per te. I gestori seri offrono un meccanismo alternativo — una chiave di ripristino da stampare, un contatto di emergenza, l’accesso biometrico su un dispositivo già registrato. Capisci quale ti offre prima di caricarci dentro tutta la tua vita digitale.

«E se attaccano il fornitore?»

È l’obiezione più comune, ed è ragionevole: mettere tutte le password in un posto solo sembra concentrare il rischio. La risposta sta nella cifratura sul dispositivo.

Se un attaccante ottiene i dati dal server, ottiene blocchi cifrati. Per aprirli gli serve la tua password principale, che sul server non c’è. Con una password principale lunga, un attacco a forza bruta non è una prospettiva realistica.

Questo sposta il peso su due cose che dipendono da te: una password principale robusta e l’autenticazione a due fattori sull’account del gestore. Con quelle attive, il rischio concentrato è molto minore del rischio distribuito di usare tre password su cinquanta siti.

Come iniziare, senza rifare tutto in un giorno

1. Scegli una password principale come frase. Quattro o cinque parole senza legame logico tra loro sono lunghe, robuste e memorizzabili. Scrivila su carta e mettila dove tieni i documenti, finché non la ricordi a memoria.
2. Attiva l’autenticazione a due fattori sull’account del gestore, subito.
3. Importa le password dal browser. Ogni gestore ha una funzione di importazione: parti da lì invece che da zero.
4. Cancella poi le password dal browser e disattiva il suo salvataggio automatico, altrimenti resti con due archivi che divergono. Il perché è in le password salvate nel browser.
5. Sostituisci le password in ordine di importanza: email principale, banca, account con dati di pagamento, social. Il resto si aggiorna da solo, un accesso alla volta.
6. Attiva l’autenticazione a due fattori anche sugli account più importanti.

Sono venti minuti il primo giorno e cinque minuti a settimana per un paio di mesi. Alla fine hai una password diversa e casuale ovunque, e non ne ricordi nessuna — che è esattamente l’obiettivo.

Gli errori che vedo più spesso

• Importare e non cambiare niente. Il gestore non migliora da solo le password deboli che hai importato: vanno sostituite, anche se poche alla volta.
• Usare la password principale anche altrove. È l’unica che deve essere unica per forza.
• Salvare i codici di riserva dell’autenticazione a due fattori solo dentro il gestore. Se perdi l’accesso al gestore perdi anche quelli: tienine una copia su carta, altrove.
• Non registrare nessuno come contatto di emergenza e non stampare la chiave di ripristino. È il modo più comune di perdere davvero tutto.

Il pezzo che manca

Un gestore protegge le password, non l’indirizzo a cui sono collegate. Le due cose si completano: password diverse per ogni sito, e un indirizzo che puoi buttare per i siti che non meritano quello vero. Insieme coprono la maggior parte di quanto descritto in come proteggere la privacy online.

Domande frequenti

Cosa succede se dimentico la password principale?

Nella maggior parte dei gestori non si recupera, ed è la conseguenza diretta del fatto che il fornitore non la conosce. Diversi servizi offrono un codice di ripristino da stampare e conservare fuori dal computer: generarlo il primo giorno è la precauzione che evita il problema.

È prudente tenere tutte le password in un posto solo?

L’alternativa reale non è un sistema perfetto tenuto a mente, ma le stesse tre password riusate ovunque. Un archivio cifrato, protetto da una password lunga e dall’autenticazione a due fattori, è molto più difficile da violare del riutilizzo.

Meglio un gestore che sincronizza o uno che tiene tutto sul dispositivo?

La sincronizzazione è ciò che rende sostenibile l’uso quotidiano, perché le password ti servono sia sul telefono sia sul computer. La versione solo locale toglie il fornitore dall’equazione ma scarica su di te i backup: se non hai un’abitudine di backup solida, il compromesso conviene.