Ogni quanto cambiare la password? (Linee guida 2026)

Se il tuo reparto IT o una vecchia abitudine ti dice di cambiare ogni password ogni 90 giorni, la risposta moderna potrebbe sorprenderti: per la maggior parte degli account, non farlo. Le linee guida sulla sicurezza sono cambiate. Questa guida spiega ogni quanto dovresti davvero cambiare una password, perché il cambio forzato è stato abbandonato e cosa fare invece.

La risposta breve

Non cambiare una password forte e unica a scadenze fisse. Cambiala solo quando c'è un motivo reale. È il consenso attuale degli enti di sicurezza, NIST compreso, che ha abbandonato il consiglio del cambio periodico già nel 2017. Una password forte che conservi, protetta dall'autenticazione a due fattori, batte una serie di password più deboli che sei costretto a reinventare.

Perché « cambiala ogni 90 giorni » è controproducente

La vecchia regola sembrava prudente, ma nella pratica peggiorava le cose. Quando le persone sono costrette a cambiare spesso la password, non ne inventano una nuova e forte. Fanno piccole modifiche prevedibili — Primavera2026! diventa Estate2026! — e riusano gli stessi schemi tra gli account. Il risultato sono password più deboli e più facili da indovinare, e più riuso: esattamente ciò su cui contano gli aggressori.

Quando conviene davvero cambiare una password

Il cambio dovrebbe essere innescato da eventi, non dal calendario. Cambia una password subito se:

• Il servizio annuncia una violazione dei dati o trovi il tuo account in una di esse.
• La password è debole, riusata o condivisa con qualcuno.
• Noti accessi che non riconosci o attività sospette sull'account.
• L'hai digitata su un sito di phishing o su un dispositivo non affidabile.
• L'hai inviata a qualcuno, anche a te stesso, via chat o email.

In tutti questi casi, cambiala immediatamente e attiva l'autenticazione a due fattori.

Cosa fare invece

Cambiare le password di routine è l'abitudine sbagliata. Queste tre sono quelle giuste:

1. Usa una password unica per ogni account. Un gestore di password genera e conserva password lunghe e casuali, così non ne riusi né ne dimentichi mai una.
2. Attiva l'autenticazione a due fattori. Da sola blocca una password rubata, e questo conta molto più della frequenza con cui la cambi.
3. Controlla le violazioni. Così sai esattamente quando una password specifica va davvero cambiata, invece di tirare a indovinare a calendario.

In conclusione

La risposta onesta e attuale a « ogni quanto devo cambiare la password » è: non a scadenze fisse, ma solo quando succede qualcosa. Il cambio forzato nasceva da buone intenzioni, ma spingeva le persone verso password più deboli e ripetute. Sostituisci quell'abitudine con password forti e uniche, un gestore che le custodisca e l'autenticazione a due fattori. È questo che tiene davvero al sicuro gli account nel 2026.