I password manager sono sicuri nel 2026? Un'analisi onesta della sicurezza

Comunicazione di affiliazione — Questa guida rimanda a Bitwarden e Proton Pass, i manager che consigliamo e usiamo. Se ti registri tramite i nostri link, potremmo guadagnare una commissione senza costi aggiuntivi per te. Consigliamo solo strumenti zero-knowledge e auditati.

È la domanda che impedisce alle persone di adottare un password manager: se metto ogni password in un solo posto, non sto forse costruendo il bersaglio perfetto? È un istinto legittimo – e la risposta onesta è che un password manager affidabile è sicuro, drasticamente più sicuro di ciò che la maggior parte delle persone fa al suo posto, ma solo se capisci cosa protegge davvero la cassaforte e cosa no. Ecco la vera analisi della sicurezza, inclusa la parte che le pagine di marketing saltano.

Come un password manager ti protegge davvero

La sicurezza di un manager moderno poggia su un'idea: la cifratura zero-knowledge end-to-end.

Quando salvi una password, viene cifrata sul tuo dispositivo prima ancora di lasciarlo, usando una chiave derivata dalla tua password principale. Quella chiave non viene mai inviata al fornitore. L'azienda conserva solo un blocco cifrato che non può leggere. Quando sblocchi la cassaforte, anche la decifratura avviene localmente. È per questo che il fornitore può sincronizzare le tue password tra i dispositivi senza mai poterle vedere.

La cifratura in sé non è il punto debole. I migliori manager usano AES-256 (o XChaCha20) con una funzione di derivazione della chiave (PBKDF2 con un alto numero di iterazioni, o Argon2) che rende il brute-force della password principale enormemente costoso. Rompere direttamente la crittografia non è realisticamente sul tavolo.

Così la domanda «i password manager sono sicuri?» diventa in realtà due domande più precise e risolvibili: l'architettura è solida, e cosa può comunque andare storto.

Cosa ci ha davvero insegnato la violazione di LastPass

Nel 2022, LastPass ha rivelato che gli attaccanti avevano rubato backup cifrati delle casseforti dei clienti. È il caso che le persone citano per sostenere che i manager non siano sicuri – ma la lezione reale è più precisa.

Poiché le casseforti erano cifrate, i ladri non hanno ottenuto password in chiaro. Ciò che hanno ottenuto è stata la possibilità di tentare il brute-force offline contro le casseforti rubate, con tutta calma. Gli account protetti da una password principale lunga e unica e da un numero moderno di iterazioni sono rimasti di fatto sicuri. Gli account con password principali deboli, o impostazioni più vecchie con poche iterazioni, sono stati quelli realmente a rischio col tempo.

La conclusione è l'opposto di «non usare un password manager». È: la tua password principale e le impostazioni di cifratura predefinite del fornitore sono la sicurezza. Un manager affidabile e ben configurato, con una password principale forte, è sopravvissuto alla violazione peggiore di un grande fornitore.

I rischi che sono davvero reali

Un manager elimina il rischio maggiore – password riutilizzate e deboli – ma non ti rende invulnerabile. Le minacce che restano:

• Una password principale debole. È l'unica chiave per tutto. Se è indovinabile o riutilizzata, l'intero modello crolla. Rendila una passphrase lunga che non usi da nessun'altra parte – vedi come creare una password forte.
• Nessuna 2FA sulla cassaforte. Senza autenticazione a due fattori, la tua password principale è l'unica barriera. Con essa, una password principale rubata da sola non basta. Attivala – è l'impostazione singola di maggior valore.
• Compromissione del dispositivo. Se un malware controlla già il tuo dispositivo sbloccato, può leggere ciò che decifri. Un manager protegge le password a riposo e in transito, non contro un endpoint completamente compromesso.
• Phishing della password principale. Esistono finte email «la tua cassaforte è bloccata». Un manager non compila automaticamente su un dominio che non corrisponde – una difesa silenziosa e sottovalutata – ma non digitare mai la tua password principale in un link arrivato via email.

Sono più sicuri delle alternative? Sì – e non è neanche vicino

Il vero confronto non è «password manager vs sicurezza perfetta». È «password manager vs ciò che fai adesso»:

• Riutilizzare le password: una violazione sblocca ogni account. È così che avviene la maggior parte delle prese di controllo degli account.
• Password salvate nel browser: comode, ma con cifratura più debole, legate al profilo del browser in cui hai effettuato l'accesso e facili da estrarre per un malware locale.
• Un file di note o un foglio di calcolo: testo in chiaro, non cifrato, sincronizzato chissà dove.

Contro tutti e tre, un manager zero-knowledge è un miglioramento categorico. Rende ogni password unica e forte, la cosa singola più efficace che puoi fare per la sicurezza dei tuoi account.

Come usarne uno in sicurezza

La sicurezza dipende soprattutto da poche impostazioni:

1. Scegli un manager zero-knowledge e auditato. Open source e auditato in modo indipendente è il riferimento d'eccellenza – Bitwarden vs 1Password e Proton Pass vs Bitwarden trattano le principali scelte sicure.
2. Rendi la password principale una passphrase lunga e unica. Quattro o cinque parole casuali battono una stringa complessa ma corta.
3. Attiva la 2FA sulla cassaforte. Idealmente con un'app di autenticazione o una chiave hardware, non via SMS.
4. Tieni aggiornato il client. Le correzioni di sicurezza arrivano con gli aggiornamenti; un client datato è il rischio evitabile.

Prova Bitwarden → · Prova Proton Pass →

Il verdetto onesto

I password manager sono sicuri? Sì – un manager affidabile, zero-knowledge e auditato è uno degli strumenti più sicuri della sicurezza quotidiana, e non usarne uno è la scelta più rischiosa. La crittografia non è l'anello debole; lo sei tu, attraverso una password principale debole o un secondo fattore mancante. Imposta bene questi due, e ottieni tutto il beneficio: una password unica e forte su ogni account, dietro una cassaforte che nemmeno un fornitore violato può leggere.