Scegli lunghezza e tipi di caratteri: la password sicura appare subito. Viene creata nel tuo browser e non viene inviata da nessuna parte.
Oggi una password sicura ha almeno 12 caratteri, e se è l'unica protezione dell'account almeno 15. Google consiglia almeno 12 caratteri, lo standard statunitense NIST ne chiede almeno 15 per l'accesso con la sola password. Il Garante per la protezione dei dati personali indica «intorno ai 15 caratteri» e almeno 4 tipi di caratteri diversi.
La lunghezza conta più della complessità: ogni carattere in più moltiplica il numero di combinazioni che un attaccante deve provare. Il generatore in alto crea di default password di 16 caratteri.
| Regola | Perché |
|---|---|
| Almeno 12 caratteri, meglio 16 | ogni carattere moltiplica le combinazioni |
| Tipi di caratteri diversi | maiuscole e minuscole, cifre, caratteri speciali: più simboli possibili, più tentativi necessari |
| Niente nomi, date di nascita, parole comuni | vengono provati per primi, con dizionari e schemi tipici |
| Una password per ogni account | il furto di dati da un servizio non apre tutti gli altri |
Il Garante per la protezione dei dati personali ha pubblicato la scheda «Suggerimenti per creare e gestire password a prova di privacy» (edizione aggiornata 2023). Le indicazioni principali:
| Tema | Indicazione |
|---|---|
| Lunghezza | più caratteri ci sono, più la password è robusta; per esempio intorno ai 15 |
| Tipi di caratteri | almeno 4: maiuscole, minuscole, numeri, caratteri speciali |
| Da evitare | nome, cognome, data di nascita, nome utente, parole di uso comune «da dizionario» |
| Riutilizzo | password diverse per account diversi, mai password già usate in passato |
| Protezione in più | autenticazione multifattore, per esempio codici OTP |
| Conservazione | niente bigliettini o file non protetti; valuta un gestore di password |
Fonte: Garante per la protezione dei dati personali, «Suggerimenti per creare e gestire password a prova di privacy», verificato il 01.11.2026.
I caratteri di una password sono lettere maiuscole e minuscole, cifre e caratteri speciali: ! @ # $ % ^ & * ( ) - _ = + [ ] { } ; : , . ? / ~. Più tipi usi, più possibilità ci sono per ogni posizione: solo cifre — 10, solo minuscole — 26, tutti e quattro i tipi del generatore — 87.
Le lettere accentate (à, è, ì, ò, ù) è meglio lasciarle fuori: un account Google accetta solo caratteri ASCII standard, senza accenti, e non uno spazio all'inizio o alla fine. Anche su una tastiera straniera potresti non trovarle.
Una sequenza di 5–6 parole casuali unite da trattini si ricorda più facilmente di una stringa di simboli e arriva comunque a 30–50 caratteri. La sua forza non sta nelle singole parole ma nel caso: le parole vanno estratte a sorte, non scelte, e non devono formare una citazione o un verso di una canzone, perché frasi del genere sono nei dizionari usati per gli attacchi.
La modalità «Frase di parole» in alto pesca le parole a caso da un dizionario italiano di circa 2.950 parole di 4–8 lettere, senza accenti. Sei parole danno circa 69 bit. Il Garante sconsiglia le singole parole «da dizionario»: se vuoi la massima resistenza, usa una password di caratteri; la frase di parole è il compromesso per una password da ricordare a memoria.
Numero di combinazioni = (numero di caratteri possibili) elevato alla (lunghezza). Una password di 6 cifre ha 10⁶ = 1.000.000 di combinazioni: un computer le prova all'istante. 12 caratteri presi da 87 simboli danno circa 87¹² ≈ 1,9 × 10²³ combinazioni. La scala sotto il generatore mostra questa stima in bit e come tempo necessario per forzarla.
| Password | Bit | Tempo |
|---|---|---|
| 8 cifre | 27 | all'istante |
| 8 lettere minuscole | 38 | 10 secondi |
| 8 caratteri di tutti i tipi | 52 | 1 giorno |
| 12 caratteri di tutti i tipi | 77 | 297.000 anni |
| 16 caratteri di tutti i tipi | 103 | più dell'età dell'universo |
| Frase di 6 parole del generatore | 69 | circa 1.000 anni |
Tempo medio per provare le combinazioni a 10 miliardi di tentativi al secondo: è lo stesso calcolo del generatore in alto. Un attacco reale dipende anche da come il servizio conserva le password e se limita i tentativi di accesso.
Scrivi la password nel campo «Verifica la tua password»: la valutazione avviene nel tuo browser e la password non viene inviata da nessuna parte. Segnali di debolezza: meno di 12 caratteri, una parola del dizionario, una data, un nome, sequenze della tastiera come qwerty o 123456, un carattere ripetuto.
Ogni account ha la sua password: così una fuga di dati da un servizio non apre tutti gli altri. Decine di password diverse non si ricordano a memoria, per questo esistono i gestori di password nel browser, nel sistema operativo o come app separata. Il Garante consiglia di non tenere le password su bigliettini o in file non protetti e di non inviarle via email, SMS o chat. Per gli account di lavoro aggiungi un secondo fattore: una password rubata da sola non basta più.
In comune: la lunghezza conta più della complessità, una password per account e, per gli account importanti, un secondo fattore. La differenza principale riguarda i tipi di caratteri: il Garante ne chiede almeno quattro, il NIST punta solo sulla lunghezza.
Estate2025 a Estate2026: queste varianti gli attaccanti le provano per prime.! all'inizio.Il Garante privacy suggerisce di «camuffare» le parole comuni per renderle meno prevedibili: per esempio «caffè» può diventare «caf-f3».
Fonte: Garante privacy, «Suggerimenti per creare e gestire password a prova di privacy», verificato il 01.11.2026Secondo il Garante, le password temporanee rilasciate da un sistema o da un servizio vanno sempre cambiate subito con una personale.
Fonte: Garante privacy, «Suggerimenti per creare e gestire password a prova di privacy», verificato il 01.11.2026Lo standard statunitense NIST vieta ai servizi di imporre il cambio periodico della password: si cambia solo se ci sono segnali di compromissione.
Fonte: NIST SP 800-63B, verificato il 01.11.2026Google consiglia password di almeno 12 caratteri e nell'account Google accetta solo caratteri ASCII standard: le lettere accentate non sono supportate.
Fonte: Guida dell'Account Google sulle password sicure, verificato il 01.11.2026Una password forte è metà della sicurezza. In Elbuz l'accesso dei collaboratori è protetto anche in altri modi: dopo la password Elbuz chiede un codice inviato per email, blocca i tentativi ripetuti di indovinare la password e, se vuoi, consente l'accesso solo dagli indirizzi IP autorizzati. Ogni persona vede solo ciò che il suo ruolo permette.
Il modo più semplice è generarla: 12–16 caratteri tra maiuscole, minuscole, cifre e caratteri speciali. Se devi ricordarla a memoria, usa una sequenza di 5–6 parole estratte a caso: è lunga e non è una singola parola del dizionario.
Almeno 12, meglio 16. Il Garante privacy indica a titolo di esempio circa 15 caratteri di almeno 4 tipi diversi; il NIST ne chiede almeno 15 se l'accesso avviene con la sola password.
Da sola di solito no: anche con tutti i tipi di caratteri, 8 caratteri a 10 miliardi di tentativi al secondo si forzano in circa un giorno. Con un secondo fattore di accesso il rischio si riduce molto.
Password lunghe (per esempio intorno ai 15 caratteri) con almeno 4 tipi di caratteri, niente dati personali né parole comuni, una password diversa per ogni account, autenticazione multifattore e un gestore di password.
Meglio di no. Un account Google accetta solo caratteri ASCII standard, e su una tastiera straniera le lettere accentate potrebbero mancare.
Qui sì: la password nasce nel tuo browser con un generatore casuale crittografico (crypto.getRandomValues) e non viene né inviata né salvata.
Scrivila nel campo «Verifica la tua password»: la valutazione in base a lunghezza, tipi di caratteri e schemi tipici (123456, qwerty, ripetizioni) avviene solo nel tuo browser.