La risposta breve: se la password è l’unica protezione, deve avere almeno 15 caratteri. Se l’accesso richiede anche un codice o una chiave di sicurezza, il minimo è 8, ma più è lunga, meglio è.
- Unica protezione: almeno 15 caratteri. Con un secondo fattore: almeno 8.
- Siti e servizi: password manager, password casuali e uniche da almeno 15 caratteri e secondo fattore dove disponibile.
- Da digitare a memoria: 5-6 parole casuali, solo lettere latine senza accenti per la password di avvio.
- Nessun cambio a scadenza, ma subito dopo una fuga di dati.
Cosa raccomanda il NIST
Il NIST, l’istituto statunitense per gli standard e la tecnologia, nel 2025 ha aggiornato la sua guida sull’autenticazione SP 800-63B. È un riferimento molto usato anche fuori dagli Stati Uniti.
| Regola | NIST SP 800-63B |
|---|---|
| La password è l’unico fattore | almeno 15 caratteri |
| Con un secondo fattore (codice da app, chiave hardware) | almeno 8 caratteri |
| Maiuscole, numeri e simboli obbligatori | non raccomandati |
| Cambi a scadenza fissa | non necessari |
Sono regole pensate per i servizi, ma valgono anche per le password personali: cambiatele quando ci sono segnali di una fuga di dati, non ogni 90 giorni.
Perché la lunghezza batte la complessità
Il numero di password possibili è la dimensione dell’alfabeto elevata alla lunghezza: ogni carattere in più lo moltiplica per l’intero alfabeto, mentre la «complessità» allarga solo un po’ l’alfabeto. Per password casuali:
| Password casuale | Combinazioni |
|---|---|
| 8 caratteri da tutta la tastiera (circa 94) | circa 6 biliardi |
| 5 parole dalla lista Diceware (7.776 parole) | circa 4.700 volte di più |
| 15 lettere minuscole | circa 275.000 volte di più |
- Da 8 a 15 minuscole: circa 8 miliardi di volte più combinazioni
- Alcune parole casuali sono lunghe ma facili da ricordare
- Da 8 minuscole a tutti i caratteri della tastiera: solo circa 29.000 volte di più
- Le persone scelgono in modo prevedibile: le regole diventano
Estate2026!oP@ssw0rd, schemi che i programmi di cracking provano per primi
La passphrase: lunga ma facile da ricordare
Una passphrase è formata da alcune parole casuali, per esempio secchio-cometa-gelato-spiffero-ontano. È lunga, eppure molto più facile da ricordare di T7#qL!x9.
Dadi con una lista di parole o il generatore del password manager. Versi di canzoni, citazioni e «amoilmiocane» non valgono.
4 parole per una password con secondo fattore, 5-6 per una che protegge da sola, come una password di crittografia.
Separatori e una maiuscola non guastano, ma il lavoro vero lo fanno lunghezza e casualità.
Prima del caricamento del sistema operativo i caratteri non latini non si possono digitare. Per la password di Disk Password Protection usate solo lettere latine, cifre e simboli comuni, e per sicurezza evitate le lettere accentate (à, è, ì, ò, ù).
Dove serve il password manager e dove no
Per i siti web il password manager è la scelta migliore: genera password casuali della lunghezza che volete, le ricorda e le inserisce da solo. Rendete la sua password principale una lunga passphrase e proteggetela con un secondo fattore. Alcune password, però, si digitano prima che qualsiasi manager sia in funzione:
Qui serve una lunga passphrase che conoscete a memoria. I passaggi: come mettere la password all’avvio del computer.
PBKDF2: il controllo lento aiuta, ma non salva una password corta
Un buon software di crittografia ricava la chiave dalla password con PBKDF2, facendola passare molte volte attraverso una funzione di hash insieme a un «sale» casuale. Voi pagate un solo controllo all’accesso, chi attacca ne paga milioni.
- Cryptic Disk ricava la chiave dell’intestazione con PBKDF2 (PKCS #5 v2.0) e SHA-2 o SHA-3.
- Disk Password Protection 5.6 verifica anche la password di avvio con PBKDF2.
Una password corta non si salva così. Il rallentamento moltiplica il tempo d'attacco per un fattore fisso, mentre ogni carattere in più moltiplica le combinazioni. Una password degli elenchi di password trapelate, o una parola più l'anno di nascita, viene provata presto comunque.
File chiave in Cryptic Disk
Cryptic Disk può chiedere, oltre alla password, dei file chiave (va bene qualsiasi file, fino a 900) oppure un token hardware o una smart card. Così una password sbirciata alle vostre spalle non basta più.
Tenete i file chiave separati dal disco, per esempio su una chiavetta USB, e fatene sempre una copia: se un file chiave va perso o si danneggia, il disco non si apre più. La password deve comunque restare lunga.
Mai la stessa password due volte
I database di password trapelano di continuo, e chi attacca prova in automatico le coppie email e password rubate su altri siti: con una sola password ovunque, il servizio più debole apre tutti gli altri. La password del disco cifrato e quella di avvio non devono comparire da nessun’altra parte.
Se dimenticate la password
Se avete dimenticato l'unica password di un disco Cryptic Disk, i dati sono persi per sempre: non esiste una porta di servizio.
Una lunga passphrase si può tranquillamente scrivere su carta e custodire a casa in un posto sicuro, purché non accanto al computer. Per proteggere backup e copie delle chiavi leggete come crittografare un disco esterno per i backup.
Domande frequenti
Quanti caratteri deve avere una password sicura?
Almeno 15 se la password è l’unica protezione, almeno 8 con un secondo fattore. Per le password di avvio e di crittografia sono ideali 5-6 parole casuali, di solito più di 20 caratteri.
Servono i caratteri speciali nella password?
Non necessariamente. La lunghezza conta molto di più, e un punto esclamativo alla fine di una parola prevedibile non aggiunge quasi nulla.
Ogni quanto bisogna cambiare la password?
Non a scadenza fissa. Cambiatela se un servizio segnala una fuga di dati o se l’avete digitata su un sito sospetto o su un computer altrui.
Una passphrase fatta di parole comuni è sicura?
Sì, se almeno 4-6 parole sono scelte a caso. Versi di canzoni, proverbi e frasi di senso compiuto sono deboli, perché vengono provati con i dizionari.
Posso salvare la password del disco cifrato nel password manager?
Come copia di riserva sì, ma dovete anche saperla a memoria: potrebbe servirvi proprio quando il manager non è disponibile.
Nessuna limitazione durante la prova. Windows 11, 10, 8.1, 8, 7, Vista e XP.
Scarica gratis Prezzi