Ogni quanto cambiare la password? (Linee guida 2026)

Se il tuo reparto IT o una vecchia abitudine ti dice di cambiare ogni password ogni 90 giorni, la risposta moderna potrebbe sorprenderti: per la maggior parte degli account, non farlo. Le linee guida sulla sicurezza sono cambiate. Questa guida spiega ogni quanto dovresti davvero cambiare una password, perché il cambio forzato è stato abbandonato e cosa fare invece.

La risposta breve

Non cambiare una password forte e unica a scadenze fisse. Cambiala solo quando c'è un motivo reale. È il consenso attuale degli enti di sicurezza, NIST compreso, che ha abbandonato il consiglio del cambio periodico già nel 2017. Una password forte che conservi, protetta dall'autenticazione a due fattori, batte una serie di password più deboli che sei costretto a reinventare.

Perché « cambiala ogni 90 giorni » è controproducente

La vecchia regola sembrava prudente, ma nella pratica peggiorava le cose. Quando le persone sono costrette a cambiare spesso la password, non ne inventano una nuova e forte. Fanno piccole modifiche prevedibili - Primavera2026! diventa Estate2026! - e riusano gli stessi schemi tra gli account. Il risultato sono password più deboli e più facili da indovinare, e più riuso: esattamente ciò su cui contano gli aggressori.

Quando conviene davvero cambiare una password

Il cambio dovrebbe essere innescato da eventi, non dal calendario. Cambia una password subito se:

• Il servizio annuncia una violazione dei dati o trovi il tuo account in una di esse.
• La password è debole, riusata o condivisa con qualcuno.
• Noti accessi che non riconosci o attività sospette sull'account.
• L'hai digitata su un sito di phishing o su un dispositivo non affidabile.
• L'hai inviata a qualcuno, anche a te stesso, via chat o email.

In tutti questi casi, cambiala immediatamente e attiva l'autenticazione a due fattori.

Cosa fare invece

Cambiare le password di routine è l'abitudine sbagliata. Queste tre sono quelle giuste:

1. Usa una password unica per ogni account. Un gestore di password genera e conserva password lunghe e casuali, così non ne riusi né ne dimentichi mai una.
2. Attiva l'autenticazione a due fattori. Da sola blocca una password rubata, e questo conta molto più della frequenza con cui la cambi.
3. Controlla le violazioni. Così sai esattamente quando una password specifica va davvero cambiata, invece di tirare a indovinare a calendario.

Cosa rende una password abbastanza forte da tenerla

Tutto il consiglio « niente rotazione di routine » poggia su una condizione: la password deve essere forte e unica fin dall'inizio. Una password debole che tieni per sempre non è l'obiettivo. Cosa conta come forte?

• Lunghezza prima della complessità. Le linee guida del NIST (SP 800-63B) considerano la lunghezza il fattore principale di robustezza e chiedono ai servizi di consentire password lunghe - almeno 64 caratteri - invece di imporre strane regole sui simboli. Una stringa casuale di 16 caratteri o una passphrase memorizzabile di cinque o più parole casuali è molto più difficile da violare di una password corta riempita di ! e un numero.
• Unica per un solo account. Il riutilizzo trasforma una sola violazione in molte. Se una password compare solo su un sito, una fuga lì non sblocca nient'altro di tuo.
• Mai derivata da uno schema. Azienda2026, il nome del tuo animale o una sequenza sulla tastiera (qwerty123) sono indovinabili. Una password generata in modo casuale non ha alcuno schema da attaccare.

Centra questi tre punti e la password davvero non ha bisogno di un promemoria sul calendario. Per una guida completa, vedi come creare una password robusta.

E se il mio datore di lavoro impone il cambio ogni 90 giorni?

Molte aziende impongono ancora una rotazione periodica, spesso per una vecchia checklist di conformità - anche se NIST, Microsoft e l'NCSC britannico ora sconsigliano la scadenza di routine. Di solito non puoi aggirare la policy aziendale, ma puoi evitare che peggiori la tua sicurezza:

• Usa il tuo gestore per generare una password casuale completamente nuova ogni volta invece di ritoccare la precedente. Questo spezza lo schema prevedibile Primavera → Estate che rende pericolosa la rotazione forzata.
• Non riutilizzare mai una password di lavoro dismessa su un account personale.
• Se influenzi la policy, la posizione moderna documentata è abbandonare la scadenza programmata e cambiare solo in caso di prove di compromissione, abbinata all'autenticazione a più fattori e al monitoraggio delle violazioni.

L'obiettivo non è litigare con il reparto IT, ma assicurarsi che se devi fare una rotazione, ogni nuova password resti forte e unica anziché una variante riciclata. E continua a verificare se le tue password sono trapelate perché un vero campanello d'allarme non passi mai inosservato.

In conclusione

La risposta onesta e attuale a « ogni quanto devo cambiare la password » è: non a scadenze fisse, ma solo quando succede qualcosa. Il cambio forzato nasceva da buone intenzioni, ma spingeva le persone verso password più deboli e ripetute. Sostituisci quell'abitudine con password forti e uniche, un gestore che le custodisca e l'autenticazione a due fattori. È questo che tiene davvero al sicuro gli account nel 2026.