Sai quante volte le tue credenziali possono finire online senza che tu lo sappia? Basta un furto di dati per mettere a rischio tutto: email, social, foto, perfino il conto in banca. La buona notizia è che puoi mettere in sicurezza la tua vita digitale e proteggere le tue password in un’ora scarsa, con strumenti gratuiti e poche buone abitudini.
In questa guida impari:
- Come verificare se la tua email è stata compromessa
- Come creare password sicure (che non dimenticherai domani)
- Come gestire tutte le password senza impazzire, con un password manager
- Come attivare la 2FA (autenticazione a due fattori) per blindare gli accessi
- Bonus: passkey (il futuro), “password’s book” fisici, email temporanee e filtri “salva-vita” su browser e DNS.
L’obiettivo è semplice: proteggere le tue password in modo pratico, con esempi reali, fonti verificate e link utili.
Come capire se la tua email è stata rubata
Per iniziare, il primo controllo lo fai con Have I Been Pwned (HIBP). In pratica, inserisci la tua email e in pochi secondi sai se compare in una violazione. Se il risultato è negativo, prosegui comunque con le buone pratiche qui sotto.
Passi:
- Vai su haveibeenpwned.com.
- Digita la tua email e premi Check.
- Leggi il risultato:
- Verde = nessuna compromissione nota.
- Rosso = compari in una o più violazioni: scorri l’elenco dei servizi coinvolti.
- Se compromessa, cambia subito la password sui servizi indicati e attiva la 2FA (vedi sotto).
Perché fidarsi di HIBP? È un progetto creato dal ricercatore Troy Hunt e include anche il servizio Pwned Passwords, progettato con un modello di k-anonymity (sviluppato con Cloudflare) che evita di inviare la password intera ai server.
Un aneddoto che ricorderai
Nel 2016 è emerso che la vecchia violazione di LinkedIn del 2012 aveva coinvolto in realtà oltre 100 milioni di password: la storia è stata confermata pubblicamente e riportata da AP, Forbes e altri. Ancora oggi è un caso-scuola su perché riutilizzare la stessa password ovunque è pericoloso.
Pro tip: per registrazioni non critiche (forum, download, e-commerce “una tantum”), usa un’email secondaria o alias: riduci l’esposizione e isoli lo spam.
Come creare password sicure (che ti ricorderai)
Le regole “vecchia scuola” (cambiare password ogni mese, obbligo di simboli assurdi) non funzionano: le linee guida NIST consigliano piuttosto lunghezza e unicità, più controlli automatici contro password note/compromesse.
Regole pratiche:
- 12–16 caratteri minimo (meglio 18+ per gli account critici).
- Mescola maiuscole, minuscole, numeri e simboli.
- Evita nomi, date, squadre, frasi comuni.
- Una password diversa per ogni sito.
- Attiva 2FA dove possibile.
La tecnica “passphrase”
Ad esempio, crea una frase di parole casuali e aggiungi separatori: in questo modo ottieni una passphrase lunga e facile da ricordare.LunaMare!2025$Pizza o treno.sole-caffè!!!montagna
L’idea è stata resa popolare dall’ormai celebre XKCD #936 (“correct horse battery staple”): passphrase più lunghe e casuali sono più robuste e più facili da ricordare. xkcdexplainxkcd.com
Suggerimento: usa il generatore di passphrase del tuo password manager e imposta lunghezza ≥ 20.
Come gestire tutte le password in sicurezza
La soluzione moderna è un password manager: un’app che conserva tutte le credenziali in un vault cifrato, protetto da unica master password (che non devi dimenticare). È più sicuro che “memorizzare nel browser” e immensamente più comodo dei post-it.
I migliori (panoramica)
- Bitwarden — gratuito, open-source, sincronizzazione su tutti i dispositivi, Premium a circa 10 €/anno con funzioni extra (2FA avanzata, emergency access). Supporta anche self-hosting.
- 1Password — interfaccia eccellente, funzionalità Watchtower (avvisi su password deboli/compromesse), piano individuale da circa 2,99 €/mese.
- LastPass — ha un piano free con limitazioni e Premium a circa 3 €/mese; utile, ma informati sulla storia dei breach e scegli con consapevolezza.
- NordPass — sviluppato dal team di NordVPN, interfaccia pulita, cifratura XChaCha20, piani da circa 2,99 €/mese (spesso scontati).
Curato da The Verge (aggiornato pochi giorni fa): rassegna dei principali password manager, inclusi Bitwarden, 1Password, NordPass, Keeper e altri.
Come funziona (in breve):
In sintesi, un password manager conserva tutto in un vault cifrato; di conseguenza, ti basta una sola master password.
- Crea una master password robusta (solo per il vault).
- Importa le password esistenti (da Chrome/Safari/Firefox o file CSV).
- Usa l’autofill su siti e app, genera password forti diverse per ogni account.
- Attiva l’avviso violazioni/“health check” e cambia quelle a rischio.
Tabella comparativa rapida
| Password manager | Piano gratuito | Prezzo individuale | Open source | Passkey / 2FA | Punti chiave |
|---|---|---|---|---|---|
| Bitwarden | Sì | 10 €/anno (Premium) | Sì | Sì / Sì | Ottimo rapporto qualità/prezzo, self-hosting. Bitwarden |
| 1Password | No | ≈ 2,99 €/mese | No | Sì / Sì | Watchtower, Secret Key, famiglie ben fatto. 1password.com |
| LastPass | Sì (limiti) | ≈ 3 €/mese | No | Sì / Sì | Free con restrizioni tra dispositivi; Premium sblocca tutto. lastpass.com |
| NordPass | Sì (base) | ≈ 2,99 €/mese | No | Sì / Sì | UI moderna, buoni sconti ricorrenti, XChaCha20. nordpass.com |
Alter guide di Amico Nerd:
• Password Manager: Guida Completa — panoramica aggiornata.
• Con NordPass proteggi le password — focus pratico.
• Gboard con password manager e pagamenti rapidi — novità utili per Android.
• Proton Authenticator: nuova app 2FA — perfetta insieme al tuo manager.
• Come criptare un file con una password — extra sicurezza sui documenti.
Autenticazione a due fattori (2FA)
Inoltre, la 2FA aggiunge un secondo passaggio di verifica e di conseguenza blocca gran parte degli accessi indesiderati. Puoi usare:
- App di autenticazione (consigliate):
Google Authenticator, Microsoft Authenticator, Authy, Proton Authenticator (nuova, open-source, con sync su mobile e desktop). - Chiavi hardware (FIDO2) per protezione anti-phishing “a prova di truffa”.
- SMS solo come ultima scelta: è più debole (SIM swap/dirottamento numero). Le linee guida NIST ne segnalano i rischi; CISA/FBI ne sconsigliano l’uso quando si può scegliere un metodo migliore.
Esempio (con screenshot):
- Attiva 2FA nelle impostazioni del tuo account (Google, Facebook, Amazon, banca, ecc.).
- Scegli “app di autenticazione/Authenticator”.
- Scansiona il QR code con l’app 2FA e salva i codici di backup.
Novità 2025: Microsoft Authenticator sta abbandonando la gestione delle password/autofill per spingere verso passkey e gestione in Edge. Se usavi la funzione password, sposta tutto su un password manager dedicato.
Passkey: il futuro (senza password)
Le passkey sono credenziali FIDO che ti fanno accedere a siti e app senza password: usi l’impronta, il volto o il PIN del dispositivo. Sono più semplici e resistenti al phishing, perché non c’è nessun “segreto” da digitare o intercettare.
- Google e Apple le hanno già integrate; funzionano su Android, iOS, Windows, macOS e nei browser principali.
- In pratica: registri una passkey sul tuo dispositivo; quando accedi, firmi una sfida criptografica con la chiave privata che non lascia mai il device.
In parallelo, Chrome sta introducendo funzioni che propongono e persino aggiornano automaticamente password compromesse su siti supportati, mentre l’adozione delle passkey cresce.
Checklist rapida da spuntare ora:
- ✅ Controlla la tua email su Have I Been Pwned.
- ✅ Cambia subito le password compromesse (meglio se con passphrase).
- ✅ Installa un password manager e genera password uniche per ogni sito.
- ✅ Attiva la 2FA ovunque sia disponibile (meglio app o chiavi fisiche, no solo SMS).
- ✅ Valuta le passkey sui servizi che le supportano.
L’importanza dei “password’s book”
Sembra controintuitivo, ma un taccuino fisico può essere utile, specie per chi non è pratico di tecnologia:
- Scrivi solo: master password del tuo vault, frasi di recupero, codici di backup 2FA.
- Conserva il quaderno in luogo sicuro (cassaforte/cassetto chiuso), non vicino al PC.
- Evita di portarlo in giro; non fotografarlo con lo smartphone.
Consigli per gli acquisti: vuoi un password’s book carino e ordinato? Questi sono un esempio: password’s book originale su Amazon.
Sistemi di difesa “temporanei” (alias, email usa-e-getta, filtri)
Email temporanee & alias
- Alias: Firefox Relay e SimpleLogin/Proton Pass creano indirizzi “ponte” che inoltrano alla tua casella vera, nascondendo il tuo indirizzo reale. Ideali per newsletter, concorsi, download.
- Temporanee: 10MinuteMail, Guerrilla Mail per registrazioni “usa e getta” (attenzione: non usarle per servizi importanti).
Filtri su browser e DNS
- uBlock Origin: estensione open-source che blocca pubblicità, tracciamento e molti siti malevoli. Con i cambiamenti recenti di Chrome (Manifest V3), può essere necessario installarla manualmente o valutare browser alternativi come Firefox.
- Quad9 (DNS sicuro): blocca la risoluzione verso domini malevoli (phishing, malware) a livello di rete. Ottimo per famiglie e uffici.
- NextDNS: “firewall personale” con blocchi anti-tracker e filtri personalizzabili per ogni dispositivo.
Extra: Controlli di sicurezza del browser (es. Chrome Password Checkup, protezione URL in tempo reale) segnalano password compromesse e siti sospetti.
Conclusione
In conclusione, pensala così: la sicurezza digitale è un’assicurazione. Costa poco (un po’ di tempo oggi) e ti evita guai domani. Dopo questa guida sai già cosa fare:
- Controllo HIBP,
- Password manager con passphrase uniche,
- 2FA ovunque,
- Valutare passkey,
- Filtri su browser/DNS.
Fatto questo, sei anni luce più sicuro dell’utente medio.
Ti è utile questo contenuto?
Iscriviti alla newsletter di Amico Nerd: riceverai guide pratiche come questa e il PDF gratuito con 10 strumenti per proteggere la tua vita online.
Fonti esterne
- Have I Been Pwned e Pwned Passwords (k-anonymity). relay.firefox.com
- NIST SP 800-63B — linee guida su password e 2FA (PSTN/SMS “restricted”). NIST
- CISA — Mobile Communications Best Practices (SIM-swap, PIN operatore). CISA
- FIDO Alliance / Google / Apple — passkey e supporto multipiattaforma.
FIDO Alliance
Google for Developers
Support Apple
Assistenza Google - Google Chrome — URL protection real-time & password update. LifewireThe Verge
- Bitwarden / 1Password / LastPass / NordPass — piani e funzionalità.
- uBlock Origin (estensione) & cambiamenti Chrome/Manifest V3.
uBlock Origin
Tom's Guide - Quad9 / NextDNS — DNS di sicurezza e filtraggio.
Quad9
NextDNS - XKCD #936 — passphrase. xkcd
- LinkedIn 2012 breach (case study). AP News
