Una password sicura è lunga, casuale e unica. Le linee guida NIST SP 800-63B fissano un minimo di 8 caratteri per le password scelte dall'utente, ma raccomandano di consentirne almeno 64 e di privilegiare la lunghezza rispetto a regole rigide di composizione. Per gli account che ti interessano davvero punta ad almeno 14-16 caratteri casuali, oppure a una passphrase di 4 o più parole non correlate, e usala su un solo servizio.

Le Linee Guida AgID sulla sicurezza nello sviluppo del software e sulla protezione delle credenziali stabiliscono lunghezza minima, complessità e politiche di gestione per i sistemi della PA italiana. In generale richiedono almeno 8 caratteri (12+ per utenze privilegiate), conservazione delle password tramite hash con salt e algoritmi resistenti (ad esempio Argon2, bcrypt o PBKDF2), e divieto di trasmissione o memorizzazione in chiaro. AgID si allinea progressivamente alle raccomandazioni internazionali NIST, spostando il focus dalla scadenza periodica al monitoraggio delle compromissioni.

NIST SP 800-63B (Digital Identity Guidelines) raccomanda di permettere password lunghe (fino ad almeno 64 caratteri), accettare qualsiasi carattere stampabile incluso lo spazio, eliminare le regole obbligatorie di composizione e i cambi periodici imposti, e confrontare le password scelte con liste di credenziali compromesse. Per gli account a rischio non banale prescrive inoltre l'autenticazione multifattore, preferendo fattori resistenti al phishing come chiavi FIDO2 o passkey rispetto agli SMS.

L'ACN, istituita con il D.L. 82/2021, è l'autorità nazionale italiana per la cybersicurezza e gestisce lo CSIRT Italia. Pubblica avvisi, linee guida e campagne di sensibilizzazione (ad esempio le iniziative "Cybersecurity 101" e i bollettini per la PA) che invitano a usare password robuste e uniche, abilitare la MFA, sfruttare password manager e aggiornare regolarmente i sistemi. Per le aziende che rientrano nel perimetro NIS2 e nel Perimetro di Sicurezza Nazionale Cibernetica, le indicazioni ACN sulla gestione delle credenziali diventano requisiti vincolanti.

Sì. Sia ACN sia NIST sia CISA raccomandano i password manager come modo più realistico per avere una password lunga, casuale e diversa su ogni servizio. Devi ricordare solo una passphrase principale robusta, proteggerla con la MFA e mantenere il vault sincronizzato e cifrato. Soluzioni open source come Bitwarden o KeePassXC e password manager commerciali affidabili sono adatti sia all'uso personale sia a piccole imprese; l'importante è non riutilizzare la stessa password tra siti diversi.

L'entropia misura in bit quanto è imprevedibile una password generata a caso, secondo la formula E = L × log2(N), dove L è la lunghezza e N la dimensione del pool di caratteri. Con N = 94 (ASCII stampabili) una password di 12 caratteri vale circa 78 bit, una di 16 caratteri circa 105 bit. Al di sopra di 75-80 bit di entropia un attacco brute-force diventa impraticabile anche con hardware specializzato, a patto che il sito conservi le password con un hash lento e salato come previsto da AgID e NIST.

No, non per regola fissa. NIST SP 800-63B sconsiglia esplicitamente le scadenze periodiche obbligatorie perché spingono gli utenti a varianti prevedibili come "Password1!", "Password2!". AgID si è allineata a questo approccio: cambia la password solo quando hai un motivo concreto, ad esempio una violazione segnalata dal servizio, un alert dello CSIRT Italia/ACN o la conferma su Have I Been Pwned che la tua credenziale è apparsa in un data breach.

Sì. Il generatore funziona interamente nel tuo browser usando l'API Web Crypto (crypto.getRandomValues), un generatore pseudo-casuale crittograficamente sicuro raccomandato dalle linee guida OWASP. Nessuna password viene inviata a un server né salvata sui nostri sistemi. Per ridurre ulteriormente i rischi, copia la password generata direttamente nel tuo password manager invece di incollarla in chat, note o email, e chiudi la scheda quando hai finito.