I password manager sono sicuri nel 2026? Un'analisi onesta della sicurezza

Comunicazione di affiliazione - Questa guida rimanda a Bitwarden e Proton Pass, i manager che consigliamo e usiamo. Se ti registri tramite i nostri link, potremmo guadagnare una commissione senza costi aggiuntivi per te. Consigliamo solo strumenti zero-knowledge e auditati.

Con un gestore puoi anche smettere il rituale inutile di cambiare le password a scadenza.

La loro sicurezza si basa sulla crittografia end-to-end - solo tu hai le chiavi.

Ti chiedi dell'opzione integrata? Vedi Google Password Manager è sicuro?.

Gratis non significa insicuro - vedi la nostra selezione dei migliori gestori gratuiti.

È la domanda che impedisce alle persone di adottare un password manager: se metto ogni password in un solo posto, non sto forse costruendo il bersaglio perfetto? È un istinto legittimo - e la risposta onesta è che un password manager affidabile è sicuro, drasticamente più sicuro di ciò che la maggior parte delle persone fa al suo posto, ma solo se capisci cosa protegge davvero la cassaforte e cosa no. Ecco la vera analisi della sicurezza, inclusa la parte che le pagine di marketing saltano.

Come un password manager ti protegge davvero

La sicurezza di un manager moderno poggia su un'idea: la cifratura zero-knowledge end-to-end.

Quando salvi una password, viene cifrata sul tuo dispositivo prima ancora di lasciarlo, usando una chiave derivata dalla tua password principale. Quella chiave non viene mai inviata al fornitore. L'azienda conserva solo un blocco cifrato che non può leggere. Quando sblocchi la cassaforte, anche la decifratura avviene localmente. È per questo che il fornitore può sincronizzare le tue password tra i dispositivi senza mai poterle vedere.

La cifratura in sé non è il punto debole. I migliori manager usano AES-256 (o XChaCha20) con una funzione di derivazione della chiave (PBKDF2 con un alto numero di iterazioni, o Argon2) che rende il brute-force della password principale enormemente costoso. Rompere direttamente la crittografia non è realisticamente sul tavolo. Se l'idea di fondo è nuova per te, vedi cos'è la crittografia end-to-end.

Così la domanda «i password manager sono sicuri?» diventa in realtà due domande più precise e risolvibili: l'architettura è solida, e cosa può comunque andare storto.

Cosa ci ha davvero insegnato la violazione di LastPass

Nel 2022, LastPass ha rivelato che gli attaccanti avevano rubato backup cifrati delle casseforti dei clienti. È il caso che le persone citano per sostenere che i manager non siano sicuri - ma la lezione reale è più precisa.

Poiché le casseforti erano cifrate, i ladri non hanno ottenuto password in chiaro. Ciò che hanno ottenuto è stata la possibilità di tentare il brute-force offline contro le casseforti rubate, con tutta calma. Gli account protetti da una password principale lunga e unica e da un numero moderno di iterazioni sono rimasti di fatto sicuri. Gli account con password principali deboli, o impostazioni più vecchie con poche iterazioni, sono stati quelli realmente a rischio col tempo.

La conclusione è l'opposto di «non usare un password manager». È: la tua password principale e le impostazioni di cifratura predefinite del fornitore sono la sicurezza. Un manager affidabile e ben configurato, con una password principale forte, è sopravvissuto alla violazione peggiore di un grande fornitore.

I rischi che sono davvero reali

Un manager elimina il rischio maggiore - password riutilizzate e deboli - ma non ti rende invulnerabile. Le minacce che restano:

• Una password principale debole. È l'unica chiave per tutto. Se è indovinabile o riutilizzata, l'intero modello crolla. Rendila una passphrase lunga che non usi da nessun'altra parte - vedi come creare una password forte.
• Nessuna 2FA sulla cassaforte. Senza autenticazione a due fattori, la tua password principale è l'unica barriera. Con essa, una password principale rubata da sola non basta. Attivala - è l'impostazione singola di maggior valore.
• Compromissione del dispositivo. Se un malware controlla già il tuo dispositivo sbloccato, può leggere ciò che decifri. Un manager protegge le password a riposo e in transito, non contro un endpoint completamente compromesso.
• Phishing della password principale. Esistono finte email «la tua cassaforte è bloccata». Un manager non compila automaticamente su un dominio che non corrisponde - una difesa silenziosa e sottovalutata - ma non digitare mai la tua password principale in un link arrivato via email.

Aggiornamento (luglio 2026): gli assistenti IA che possono aprire la tua cassaforte

Vale la pena nominare un rischio più recente. Gli assistenti IA stanno iniziando a connettersi direttamente ai password manager. A luglio 2026, una copertura che include Journal du Geek ha riportato un'integrazione che permette all'assistente Claude di Anthropic di lavorare con 1Password per recuperare e usare le tue credenziali al posto tuo. È davvero comodo, ma cambia il modello di fiducia.

L'intero senso di un buon password manager è lo zero-knowledge: il fornitore stesso non può leggere la tua cassaforte. Concedere l'accesso a un agente IA consegna quella capacità di lettura all'IA e al suo fornitore. Questo aggiunge una nuova superficie di attacco: se l'assistente viene ingannato da una prompt injection, se il suo fornitore viene violato, o se la connessione ha troppi permessi, le tue credenziali si trovano a portata di qualcosa esterno al tuo stesso dispositivo.

Come tenerlo sicuro se ne usi uno:

• Connetti solo un assistente IA di cui ti fidi davvero, e controlla l'ambito che richiede. Preferisci l'accesso in sola lettura o per singolo elemento all'accesso all'intera cassaforte.
• Tieni gli accessi più sensibili (banca, email principale e il manager stesso) fuori da qualsiasi accesso IA ampio.
• Mantieni la 2FA sui tuoi account critici. Un'IA che può compilare una password non può comunque fornire un secondo fattore che non possiede.
• Trattalo come qualsiasi integrazione: meno cose possono aprire la tua cassaforte, minore è il tuo rischio.

Niente di tutto questo rende i password manager insicuri. È un promemoria che la sicurezza viene dal mantenere il più piccolo possibile il cerchio delle cose che possono decifrare la tua cassaforte.

Sono più sicuri delle alternative? Sì - e non è neanche vicino

Il vero confronto non è «password manager vs sicurezza perfetta». È «password manager vs ciò che fai adesso»:

• Riutilizzare le password: una violazione sblocca ogni account. È così che avviene la maggior parte delle prese di controllo degli account.
• Password salvate nel browser: comode, ma con cifratura più debole, legate al profilo del browser in cui hai effettuato l'accesso e facili da estrarre per un malware locale.
• Un file di note o un foglio di calcolo: testo in chiaro, non cifrato, sincronizzato chissà dove.

Contro tutti e tre, un manager zero-knowledge è un miglioramento categorico. Rende ogni password unica e forte, la cosa singola più efficace che puoi fare per la sicurezza dei tuoi account.

Come usarne uno in sicurezza

La sicurezza dipende soprattutto da poche impostazioni:

1. Scegli un manager zero-knowledge e auditato. Open source e auditato in modo indipendente è il riferimento d'eccellenza - Bitwarden vs 1Password e Proton Pass vs Bitwarden trattano le principali scelte sicure.
2. Rendi la password principale una passphrase lunga e unica. Quattro o cinque parole casuali battono una stringa complessa ma corta.
3. Attiva la 2FA sulla cassaforte. Idealmente con un'app di autenticazione o una chiave hardware, non via SMS.
4. Tieni aggiornato il client. Le correzioni di sicurezza arrivano con gli aggiornamenti; un client datato è il rischio evitabile.

Prova Bitwarden → · Prova Proton Pass →

Il verdetto onesto

I password manager sono sicuri? Sì - un manager affidabile, zero-knowledge e auditato è uno degli strumenti più sicuri della sicurezza quotidiana, e non usarne uno è la scelta più rischiosa. La crittografia non è l'anello debole; lo sei tu, attraverso una password principale debole o un secondo fattore mancante. Imposta bene questi due, e ottieni tutto il beneficio: una password unica e forte su ogni account, dietro una cassaforte che nemmeno un fornitore violato può leggere.