Come scegliere un gestore di password e usarlo bene

Quando un sito subisce una violazione, le coppie di e-mail e password rubate raramente restano all'attaccante originale. Vengono scambiate e date in pasto a strumenti automatici che provano la stessa combinazione su provider di posta, negozi, social network e piattaforme di gioco. Questa tecnica, chiamata credential stuffing, funziona solo quando le persone riutilizzano le password ed è uno dei modi più comuni con cui vengono violati gli account di tutti i giorni.

Le password uniche spezzano questa catena. Se ogni account ha la sua password lunga e casuale, una fuga di dati su un servizio resta confinata a quel servizio. Il problema è che nessuno riesce a ricordare decine di stringhe casuali, ed è esattamente il lavoro per cui è stato pensato un gestore di password.

Un gestore di password conserva i tuoi accessi in un vault cifrato che si apre con un'unica password principale e spesso con impronta digitale o volto sui dispositivi fidati. Genera password lunghe e casuali quando ti registri o cambi una password e le compila al posto tuo quando accedi.

Il riempimento automatico offre anche una protezione silenziosa contro il phishing. Un gestore abbina gli accessi salvati all'indirizzo esatto del sito, quindi di norma non ti propone la password della banca su un dominio che lo imita. Se il tuo gestore all'improvviso non riconosce una pagina di accesso che usi spesso, fermati e controlla l'indirizzo prima di digitare qualsiasi cosa a mano.

La maggior parte dei gestori fa più che conservare password. Tra gli extra comuni ci sono note protette per codici di backup e dati di recupero, archiviazione delle passkey, avvisi quando una password salvata compare in una violazione nota, segnalazioni su password deboli o riutilizzate e condivisione sicura con i familiari o con un team.

Al primo posto c'è la cifratura. Cerca la cifratura end-to-end, a volte descritta come architettura zero-knowledge, cioè il vault viene cifrato sul tuo dispositivo e il fornitore non può leggerlo. Una documentazione di sicurezza pubblicata e audit indipendenti sono buoni segnali che un'azienda prende sul serio la questione.

Poi verifica che il gestore funzioni ovunque lavori tu: nei browser che usi e sul telefono e sul computer, con una sincronizzazione affidabile tra loro. Il vault stesso dovrebbe supportare l'autenticazione a due fattori, idealmente con un'app di autenticazione o una chiave di sicurezza, così che una password principale rubata non basti da sola ad aprirlo.

Infine, pensa all'uscita prima di iscriverti. Un buon gestore ti permette di esportare i dati in un formato standard, così non resti mai vincolato. Leggi cosa succede se dimentichi la password principale: alcuni servizi offrono un kit di recupero o un contatto di fiducia, mentre i modelli zero-knowledge più rigorosi possono non avere alcun recupero, e allora un foglio di emergenza conservato bene diventa essenziale.

Browser e sistemi operativi oggi includono gestori di password validi. Google Password Manager è integrato in Chrome e Android, i dispositivi Apple includono un gestore di password che si sincronizza tramite il portachiavi iCloud e Microsoft Edge salva le password nel tuo account Microsoft. Non costano nulla in più, sono già sul tuo dispositivo e si sincronizzano automaticamente all'interno del loro ecosistema.

Il loro limite è proprio quell'ecosistema. Se abbini un iPhone a un computer Windows o passi da un browser all'altro, un gestore integrato potrebbe non seguirti ovunque con comodità. I gestori autonomi, compresi quelli offerti da provider attenti alla privacy come Proton, funzionano su più piattaforme e browser e di solito aggiungono condivisione più ricca, note protette e un'organizzazione più flessibile.

Qualsiasi scelta è molto meglio che riutilizzare le password. Scegli quello che userai davvero ogni giorno ed evita di dividere gli accessi tra più gestori, perché è facile perdere il filo di quale copia sia quella aggiornata.

La password principale è l'unica che devi ricordare, quindi rendila lunga e memorabile invece che corta e complicata. Una passphrase di più parole scollegate è più facile da digitare e molto più difficile da indovinare di una breve stringa di simboli. Non usarla mai altrove.

Attiva subito l'autenticazione a due fattori per il gestore e conserva offline i suoi codici di backup o il kit di emergenza, per esempio su carta in un posto sicuro a casa. Se il tuo gestore offre un metodo di recupero, configuralo adesso e non dopo esserti bloccato fuori.

Poi regola alcune impostazioni: blocca il vault dopo un breve periodo di inattività, richiedi la password principale o i dati biometrici dopo un riavvio e tieni aggiornate le app e le estensioni del browser per ricevere le correzioni di sicurezza.

La maggior parte dei gestori può importare le password salvate nel browser o esportate da un altro gestore, di solito come file CSV. Quel file è testo semplice, non cifrato, quindi esportalo, importalo subito e poi eliminalo, compresa la copia nella cartella dei download e nel cestino.

Dopo l'importazione, disattiva il salvataggio delle password del browser se sei passato a un gestore autonomo, così i nuovi accessi non finiscono in due posti. Poi apri il rapporto di sicurezza del gestore e inizia a sistemare le password riutilizzate e deboli. Parti dai tuoi account e-mail, perché possono reimpostare tutto il resto, poi passa agli account finanziari, di lavoro e social.

Non serve cambiare tutto in una sera. Aggiorna ogni password rimasta la prossima volta che accedi a quel sito e nel giro di qualche settimana la maggior parte del tuo vault sarà fatta di password uniche e generate.

I dati di accesso che ti arrivano in un'e-mail, in un documento condiviso o su una pagina dell'ordine vanno nel tuo gestore, non in screenshot o note semplici. Crea una nuova voce con l'indirizzo del sito, il nome utente e la password e aggiungi l'e-mail di recupero, i codici di backup e ogni altro dato di configurazione nel campo note della voce.

Se hai acquistato un account su rStock, il contenuto consegnato compare nella pagina dell'ordine come registro di consegna collegato all'ordine. Copialo nel tuo gestore, poi cambia la password con una appena generata, imposta le tue opzioni di recupero e attiva l'autenticazione a due fattori. Farlo senza ritardi ti permette anche di verificare che tutto funzioni finché puoi ancora aprire una controversia entro il periodo limitato dopo la consegna. Usa sempre questi account in linea con i termini di utilizzo del marchio. rStock non è affiliata a nessun marchio citato in questo articolo.

Quando l'account è al sicuro, rimuovi ogni copia in più incollata in note, chat o file di testo. Il tuo gestore dovrebbe essere l'unico posto in cui vive la password attuale, così è facile da aggiornare e difficile da trovare per chiunque altro.