Generatore di Password

Cosa Rende una Password Forte?

Secondo NIST SP 800-63B (2024) e le linee guida CISA, la forza di una password dipende da tre fattori: lunghezza, casualità e unicità. Gli standard federali aggiornati hanno abbandonato le regole di complessità obbligatoria (lettere maiuscole, caratteri speciali) a favore di password più lunghe, perché ogni carattere aggiuntivo aumenta esponenzialmente la difficoltà di un attacco brute-force.

Ecco 5 regole per creare password forti nel 2026:

• Rendila lunga — minimo 16 caratteri. NIST ora raccomanda almeno 15 caratteri per l'autenticazione single-factor (SP 800-63B Rev. 4). Ogni carattere aggiuntivo moltiplica la difficoltà di cracking esponenzialmente.
• Rendila casuale — Usa un generatore di password. Gli umani sono terribili nella casualità — gravitiamo verso pattern, parole di dizionario e informazioni personali che gli attaccanti sfruttano.
• Rendila unica — Una password per account. Il 94% delle password viene riutilizzato su più account. Quando un servizio viene compromesso, tutti i tuoi account che usano quella password sono compromessi.
• Salta i trucchi di complessità — “P@$$w0rd!” sembra complessa ma è banalmente crackabile. Una stringa casuale di 20 caratteri minuscoli è molto più forte di una stringa di 8 caratteri con simboli forzati.
• Usa un gestore di password — L'unico modo pratico per mantenere password uniche di 16+ caratteri per ogni account. Un generatore crea le password; un gestore le memorizza.

Perché le Password Forti Importano nel 2026

Le violazioni di dati non sono più eventi rari — sono una costante. Solo nel 2024, oltre 1,7 miliardi di credenziali sono state esposte in violazioni pubblicamente segnalate, e il numero reale è probabilmente molto più alto. Database come la compilazione “RockYou2024” contengono quasi 10 miliardi di voci di password univoche, dando agli attaccanti un enorme dizionario per attacchi di credential-stuffing.

Il problema principale è il riutilizzo di password. Quando un servizio viene violato, gli attaccanti testano automaticamente le stesse coppie email-password su migliaia di altri siti — banche, provider di posta, archiviazione cloud, social media. Una singola password rubata può portare al compromesso completo dell'identità se sblocca la tua email primaria, che a sua volta ripristina tutti gli altri account.

Ecco perché un gestore di password non è più opzionale. La persona media ha 70–100 account online. Nessuno può memorizzare tante password univoche e ad alta entropia. Un gestore di password ti consente di generare una password casuale distinta per ogni servizio e richiamarla istantaneamente. Ricordi una sola password master forte; il gestore gestisce il resto. Combinato con l'autenticazione a due fattori, questo approccio elimina la stragrande maggioranza degli attacchi basati su credenziali prima che inizino.

Forza della Password per Lunghezza

Quanto tempo ci vorrebbe per crackare la tua password? Questi dati si basano su dati 2025 da Hive Systems, assumendo un cluster GPU moderno (12× RTX 5090) che attacca hash bcrypt (cost factor 10):

I tempi assumono brute-force offline su hash bcrypt. Gli attacchi online con rate limiting sono molto più lenti. L'hash debole (MD5, SHA-1) riduce i tempi di ordini di grandezza.

Password vs. Passphrase

Una passphrase è una sequenza di parole casuali e non correlate (ad esempio, “correct-horse-battery-staple”). Ecco come si confrontano con le password casuali tradizionali:

Punto chiave: Le passphrase scambiano densità di entropia per memorabilità. Una passphrase casuale di 5 parole (~86 bit) è più facile da ricordare di una password casuale di 12 caratteri (~79 bit) mentre è più sicura. Per la massima sicurezza, usa password casuali memorizzate in un gestore di password.

Errori Comuni nelle Password

Secondo l'analisi 2025 di NordPass dei dati del dark web, le 10 password più comuni sono:

Ognuna di queste viene crackata istantaneamente. I 5 errori principali che le persone fanno con le password:

• Riutilizzo di password — L'80-85% delle persone riutilizza password su più siti. Una violazione compromette tutti i tuoi account.
• Utilizzo di informazioni personali — Nomi, compleanni, nomi di animali domestici e indirizzi si trovano facilmente su social media e pubblici registri.
• Pattern di tastiera — “qwerty,” “asdf,” e “zxcv” sono tra le prime combinazioni che gli attaccanti provano.
• Sostituzioni semplici — Sostituire “a” con “@” o “e” con “3” (leet speak) è ben noto ai cracker e aggiunge una sicurezza trascurabile.
• Cambiamenti incrementali — Cambiare “Password1” in “Password2” quando forzato a ruotare. NIST ora raccomanda esplicitamente contro la rotazione obbligatoria delle password.