Le password salvate nel browser sono al sicuro?

Aggiornamento 28/08/2026 · emailusaegetta.it

«Vuoi che salvi questa password?» è la domanda a cui quasi tutti hanno detto sì almeno una volta. La risposta breve: è meglio di quello che facevi prima, ed è più debole di quello che potresti fare.

La risposta breve

Salvare le password nel browser è molto meglio che usare la stessa password ovunque, perché ti permette di averne una diversa per ogni sito senza ricordarle. Ed è più debole di un gestore dedicato, perché il modello di protezione è costruito attorno a un altro obiettivo. Se oggi ripeti la stessa password, salvarla nel browser è già un passo avanti; se stai scegliendo dove andare, non è la destinazione.

Come funziona davvero

I browser moderni non tengono le password in un file di testo: le cifrano usando meccanismi del sistema operativo, legati al tuo account utente. Quando la sincronizzazione è attiva, le password vengono trasferite cifrate agli altri tuoi dispositivi.

Il punto è quando quel materiale si apre. La protezione è agganciata alla sessione del sistema: finché il tuo profilo utente è sbloccato, il browser può leggere le password — e può leggerle anche qualsiasi programma che gira con i tuoi permessi. In pratica: un profilo sbloccato è un archivio aperto.

Alcuni browser offrono una password principale opzionale, che aggiunge un livello. È disattivata per impostazione predefinita e quasi nessuno la attiva.

Dove cede

• Programmi malevoli che rubano dati dal profilo. È una categoria di malware diffusissima e molto specifica: cerca proprio le cartelle del profilo del browser, insieme a cookie e sessioni. Un gestore separato, con il suo archivio bloccato e la sua password, non si apre allo stesso modo.
• Computer condiviso. Se qualcun altro usa il tuo profilo — coinquilini, familiari, colleghi — le password sono a portata di un paio di clic nelle impostazioni. Basta un momento di distrazione con lo schermo sbloccato.
• Sei legato a un solo browser. Le password stanno in Chrome, ma il portatile di lavoro usa Firefox e sul telefono apri i link dentro le app. Il riempimento automatico funziona a metà, e finisce che tieni le password importanti in testa — cioè che le semplifichi e le ripeti.
• Nessuna condivisione sicura. Passare un accesso a un familiare finisce in un messaggio in chiaro.
• Solo password. Codici di ripristino, PIN, numeri di documento, note riservate: non c’è posto dove metterli, e finiscono in un file o in una nota del telefono.
• Il riempimento automatico può essere ingannato. Pagine costruite ad arte riescono a farsi riempire campi non visibili. I browser hanno introdotto difese, ma la superficie esiste.

Quando può bastare

Non tutti hanno bisogno di uno strumento in più. Il salvataggio nel browser è una scelta ragionevole se valgono tutte queste condizioni:

• Il dispositivo è tuo e nessun altro lo usa.
• Il sistema ha una password o un accesso biometrico, e si blocca da solo dopo pochi minuti.
• Il disco è cifrato.
• L’account con cui sincronizzi ha l’autenticazione a due fattori attiva — altrimenti chi entra in quell’account entra in tutto il resto.
• Ogni sito ha una password diversa, generata dal browser e non inventata da te.
• Non hai bisogno di condividere credenziali né di conservare altri segreti.

Se anche una sola di queste voci non regge, il vantaggio di un gestore dedicato diventa concreto.

Come migliorare quello che hai già

Anche restando nel browser, tre interventi cambiano molto:

1. Attiva la password principale se il tuo browser la offre.
2. Metti l’autenticazione a due fattori sull’account di sincronizzazione.
3. Apri la sezione «controllo password» e sistema quelle segnalate come deboli, riutilizzate o trapelate: vedi come scoprire se le password sono trapelate.

E il portachiavi del sistema?

Su alcuni sistemi il salvataggio non è del browser ma del sistema operativo, con l’archivio condiviso tra le applicazioni e sbloccato dall’accesso biometrico. È una soluzione più solida del salvataggio di un singolo browser, perché il riempimento funziona anche nelle app e l’archivio si richiude quando il dispositivo si blocca. I limiti rimangono gli stessi su due punti: funziona bene solo dentro un ecosistema di dispositivi dello stesso produttore, e la condivisione con altre persone resta limitata.

Se passi a un gestore, non lasciare le copie nel browser

È il passaggio che quasi tutti dimenticano, e che annulla metà del beneficio. Dopo aver importato tutto:

1. Verifica che nel nuovo gestore ci sia tutto, aprendo un paio di account.
2. Cancella le password salvate dalle impostazioni del browser. Se restano lì, restano rubabili — e continuano a essere una copia che invecchia mentre nel gestore le aggiorni.
3. Disattiva la proposta di salvataggio automatico, altrimenti l’archivio si ricostruisce da solo nel giro di un mese.
4. Controlla la sincronizzazione: in alcuni browser le password cancellate su un dispositivo restano su un altro finché non si sincronizza.
5. Cambia le password davvero importanti (email, banca) dopo il passaggio: se una copia era in giro, ora non vale più.

In sintesi

Il browser risolve il problema giusto — password diverse ovunque — con una protezione costruita per un altro scopo. Su un dispositivo personale ben configurato è accettabile; con un computer condiviso, più browser o l’esigenza di condividere accessi, non regge. E in entrambi i casi resta valido il livello che nessun archivio di password copre: non consegnare l’indirizzo vero a ogni sito che lo chiede, come spiegato in come proteggere la privacy online.

Domande frequenti

Le password salvate nel browser sono cifrate?

Sì, ma quello che conta è cosa le sblocca: se basta la sessione già aperta del sistema, chi mette le mani sul tuo computer sbloccato le legge in chiaro dalle impostazioni. Dove il browser permette una password principale, attivarla cambia parecchio.

Un’estensione può leggere le mie password?

Non direttamente dall’archivio, ma un’estensione con permessi ampi vede il contenuto delle pagine, compresi i campi riempiti in automatico. È il motivo per cui conviene tenerne installate poche e solo di provenienza chiara.

Il riempimento automatico è un rischio?

Può esserlo su pagine costruite per ingannarlo, con campi nascosti o domini che imitano quelli veri. Il controllo utile è proprio questo: il browser propone la password solo sul dominio esatto, quindi se non te la propone spesso non sei dove pensi di essere — vedi come riconoscere un sito sicuro.