Esiste una scorciatoia che quasi nessuno conosce. Aggiungete /.well-known/change-password all'indirizzo di un sito e dovreste atterrare direttamente sul suo modulo di cambio password. Senza frugare nelle impostazioni, senza menu a tre livelli.
È uno standard vero, ed esiste soprattutto perché il vostro gestore di password possa offrirvi un pulsante Cambia password che porti da qualche parte.
Ho quindi misurato quanti siti importanti lo rispettano. Il 24 agosto 2026 ho sondato 40 domini noti, una richiesta ciascuno, seguendo i reindirizzamenti. I dati grezzi e il metodo sono pubblicati in accesso aperto con un DOI: 10.5281/zenodo.22084121. Potete rifare tutto con curl in pochi minuti.
Ecco il risultato.
11 su 40
11 reindirizzano a una vera pagina di password
24 non servono nulla (404 / 403)
5 sembrano supportarlo senza farlo
Gli undici che funzionano: 1Password, Adobe, Airbnb, Apple, Facebook, GitHub, Netflix, Notion, Reddit, WordPress.com, X.
Tra i ventiquattro senza nulla ci sono nomi da cui ci si aspetterebbe di meglio: Google, Microsoft, PayPal, Dropbox, eBay, Slack, Spotify, Stripe, Shopify, Cloudflare, GitLab, Zoom, Salesforce, Booking.com.
I cinque che fanno finta
È la parte che merita attenzione, perché resta invisibile finché non si apre la pagina.
Keeper risponde HTTP 200 e vi mostra la propria 404. L'URL keepersecurity.com/.well-known/change-password reindirizza a keepersecurity.com/404/, una pagina intitolata «The page you requested doesn't exist.», servita con un codice di successo. Qualsiasi strumento che guardi solo il codice conclude che la scorciatoia funziona. Una persona che clicca finisce in un vicolo cieco.
Proton reindirizza al documento sbagliato. protonmail.com/.well-known/change-password vi manda su /.well-known/security.txt, che è tutt'altro URL standardizzato: elenca contatti di sicurezza, non un modulo di password.
LinkedIn risponde 200 con una verifica reCAPTCHA. Twitch risponde 200 con il suo guscio applicativo generico da 194 KB. Amazon ha restituito un 503 al momento della misurazione.
Contando i soli codici di stato si arriva a 16 siti funzionanti. Aprendo le pagine, il numero reale è 11. Quello scarto è tutta la ragione della misurazione.
Verificarlo da soli sta in una finestra del browser: digitate l'indirizzo, aggiungete il percorso, premete invio e guardate dove arrivate davvero.
La scoperta scomoda: i gestori di password
Dei sei gestori sondati, ne funziona uno.
1Password funziona
Bitwarden nulla a quell'indirizzo
Dashlane nulla a quell'indirizzo
LastPass nulla a quell'indirizzo
NordPass nulla a quell'indirizzo
Keeper HTTP 200, la propria pagina 404
La scorciatoia esiste perché un gestore vi mandi dritti al modulo di un sito. Cinque dei sei strumenti costruiti per consumarla non la pubblicano sul proprio sito.
Non è una falla di sicurezza e non farà trapelare nessuna cassaforte. È un piccolo segnale di quanta attenzione un produttore dedichi all'idraulica che rende l'igiene delle password indolore invece che noiosa. Cambiare una password è ciò che si fa dopo una fuga di dati, di fretta e di solito seccati. Ogni clic in più è un motivo per rimandare.
Una nota su ciò che questo articolo non fa. PwdFortress vive di link di affiliazione, e la lettura onesta di questa misurazione non ne giustifica nessuno. L'unico gestore che pubblica la scorciatoia è 1Password, con cui non abbiamo alcun accordo; quello con cui ne abbiamo uno non serve nulla a quell'indirizzo. Mettere una raccomandazione qui contraddirebbe la tabella qui sopra. Il dato esce così come è stato misurato.
Verificare un sito in dieci secondi
Digitate l'indirizzo del sito, aggiungete /.well-known/change-password, premete invio.
- Arrivate su una pagina di password o di sicurezza: funziona.
- Ottenete un 404, la home page o un errore: no.
Da terminale, questo mostra sia il codice sia la destinazione:
curl -sL -o /dev/null -w '%{http_code} %{url_effective}\n' https://esempio.it/.well-known/change-password
Attenzione al caso qui sopra: un 200 che atterra su qualcosa che non è un modulo. Il codice e la destinazione devono coincidere.
Ciò che questa misurazione non dice
Una misurazione, un punto di osservazione, una data: il 24 agosto 2026. I siti fanno test A/B, instradano per regione e bloccano le richieste automatizzate. Sette dei quaranta hanno rifiutato la mia richiesta, e li ho contati a parte invece che come fallimento, perché «questo sito non ha la scorciatoia» e «questo sito non ha voluto rispondermi» sono due fatti diversi, e solo uno dei due parla del sito.
Inoltre ho sondato solo i domini principali. Un sito che pubblicasse la scorciatoia unicamente su un host regionale o in www risulterebbe assente qui.
Se un produttore l'ha sistemata da allora, l'insieme di dati porta la sua data, e rifarlo richiede tre minuti.
Per i termini tecnici usati qui, vedete la nostra guida per creare una password robusta.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Blinda i tuoi account → NordPassPassword forti e uniche · scanner di violazioni · piano gratuito→Domande frequenti
Che cos'è /.well-known/change-password?
È un URL scorciatoia standardizzato. Aggiungendo /.well-known/change-password all'indirizzo di un sito, dovreste essere reindirizzati direttamente al suo modulo di cambio password, senza frugare nelle impostazioni dell'account. Esiste perché i gestori di password e i browser possano offrire un pulsante cambia password in un clic, e perché qualsiasi strumento trovi la pagina giusta senza indovinare. La specifica chiede che quell'URL reindirizzi al modulo reale, non che serva una pagina propria.
Quali siti supportano well known change password?
In una misurazione di 40 siti importanti del 24 agosto 2026, undici reindirizzano a una vera pagina di password: 1Password, Adobe, Airbnb, Apple, Facebook, GitHub, Netflix, Notion, Reddit, WordPress.com e X. Ventiquattro restituiscono un errore 404 o 403, tra cui Google, Microsoft, PayPal, Dropbox, Slack, Spotify, Stripe, Shopify e GitLab. Gli altri hanno rifiutato la richiesta o hanno risposto in un modo che sembrava soltanto supporto.
I gestori di password supportano questo URL?
Quasi nessuno, ed è la parte sorprendente. Su sei gestori testati il 24 agosto 2026, solo 1Password reindirizza a una pagina di cambio password funzionante. Bitwarden, Dashlane, NordPass e LastPass non servono nulla a quell'indirizzo, e Keeper reindirizza alla propria pagina 404 pur rispondendo HTTP 200. La scorciatoia esiste proprio perché un gestore possa mandarvi al modulo di un sito: cinque dei sei strumenti che la consumerebbero non la pubblicano sul proprio sito.
Perché un sito risponde 200 e mostra un errore?
Si chiama soft 404. Il server invia il codice di successo 200 mentre il contenuto della pagina dice che la risorsa non esiste. Qui conta perché qualsiasi software che guardi solo il codice di stato crederà che la scorciatoia funzioni. In questa misurazione Keeper ha risposto 200 con una pagina intitolata The page you requested doesn't exist, mentre LinkedIn e Twitch hanno risposto 200 rispettivamente con una verifica anti-bot e con un guscio applicativo generico. Un conteggio basato solo sul codice avrebbe contato 16 siti funzionanti invece di 11.
Come verifico un sito da solo?
Digitate l'indirizzo del sito seguito da /.well-known/change-password nel browser e premete invio. Se arrivate a una pagina di password o di impostazioni di sicurezza, funziona. Se ottenete un 404, la home page o un errore, no. Da terminale, curl -sL -o /dev/null -w '%{http_code} %{url_effective}' seguito dall'URL mostra sia il codice di stato sia dove siete finiti. Tutta la misurazione dietro questo articolo è stata fatta così e si ripete in pochi minuti.
