Password sicure con le frasi: un metodo semplice per crearle e ricordarle

Per anni ci hanno insegnato che una password sicura deve essere piena di simboli strani: una maiuscola, un numero, un carattere speciale, da cambiare ogni tre mesi. Il risultato è che quasi tutti usano password come “Mario1975!” o “Estate2024#”, che rispettano le regole formali ma sono facili da indovinare, e le riutilizzano ovunque.

Le indicazioni degli esperti di sicurezza sono cambiate. Oggi la parola chiave è lunghezza. E il modo più semplice per avere password lunghe e ricordabili è usare frasi composte da più parole. Questa guida spiega il metodo, gli errori da evitare e come gestire le poche password che vanno davvero ricordate a memoria.

Perché la lunghezza conta più dei simboli

Chi tenta di violare una password, in genere, non lo fa a mano: usa programmi che provano miliardi di combinazioni, partendo da parole comuni, nomi, date e varianti tipiche come la “a” sostituita da “@” o il punto esclamativo finale. Questi programmi conoscono bene le abitudini umane. Una password corta, anche se piena di simboli, ha relativamente poche combinazioni possibili. Una password lunga ne ha moltissime di più: ogni carattere in più moltiplica il lavoro necessario per indovinarla.

Gli esempi sono a scopo illustrativo: non usare mai una password pubblicata, nemmeno questa.

Anche le linee guida internazionali di riferimento sulla gestione delle identità digitali vanno in questa direzione: privilegiano la lunghezza, sconsigliano regole di composizione rigide e il cambio periodico obbligatorio senza motivo, e raccomandano di controllare che le nuove password non compaiano negli elenchi di password già violate.

Il metodo delle frasi

1. Scegli quattro o cinque parole a caso, che non abbiano un legame logico tra loro. L’ideale è sceglierle davvero a caso, per esempio aprendo un dizionario in punti diversi o usando un generatore.
2. Uniscile, con un separatore come un trattino o uno spazio, se il servizio lo accetta.
3. Crea un’immagine mentale che le colleghi: una tegola che cade su una matita, in un fiume pieno di garofani. È questa immagine che ti aiuterà a ricordarle.
4. Aggiungi un numero o una maiuscola solo se il servizio lo richiede, senza seguire schemi prevedibili.

Gli errori da evitare con le frasi

• Frasi celebri, citazioni, titoli di film o canzoni.
• Informazioni personali: nomi di familiari e animali, date, città, squadre del cuore.
• Parole in sequenza logica (“casa-tetto-camino-fumo”): meglio parole slegate.
• Troppo poche parole: due o tre non bastano per le password importanti.
• Usare la stessa frase su più servizi, magari cambiando solo una parola finale.

Una password diversa per ogni account

Anche la password più robusta diventa debole se viene riutilizzata. Quando un servizio subisce una violazione e le password finiscono online, i criminali le provano automaticamente su email, banche, social, negozi. È il modo più comune con cui vengono violati gli account delle persone comuni.

Ma nessuno può ricordare cinquanta frasi diverse. La soluzione è un gestore di password: un programma che genera e conserva password diverse e casuali per ogni servizio, protetto da una sola password principale. Per i servizi che lo supportano, le passkey sono un’alternativa ancora più comoda. Per sapere dove conservare le password, vedi la guida su dove conservare le password.

Le poche password da memorizzare

Con un gestore di password, le password da ricordare a memoria si riducono a poche. Sono proprio queste a dover essere create con il metodo delle frasi, con particolare cura:

• la password principale del gestore di password: protegge tutte le altre;
• il codice di sblocco del telefono: il telefono dà accesso a email, app bancarie, codici di verifica;
• la password dell’account principale del telefono o dell’email, da cui dipende il recupero di quasi tutto il resto;
• la password del computer, se contiene dati importanti.

Per queste password, cinque parole scelte a caso sono una buona scelta. E vanno sempre accompagnate dalla verifica in due passaggi, che protegge l’account anche se la password viene scoperta: vedi la guida su come proteggere gli account importanti.

PIN e codici numerici

Non tutte le protezioni sono password di parole. Il codice di sblocco del telefono, il PIN della carta, il codice dell’allarme sono numerici, e qui valgono regole un po’ diverse. Gli errori più frequenti sono sempre gli stessi: date di nascita, anni, sequenze come 1234 o 0000, numeri ripetuti, lo stesso PIN per carta, telefono e allarme.

• per il telefono, conviene usare un codice di almeno sei cifre, o un codice alfanumerico, e non una data;
• il PIN della carta non va mai scritto sulla carta o conservato insieme a essa;
• codici diversi per dispositivi e servizi diversi;
• attenzione a chi guarda mentre si digita, in negozio o sui mezzi pubblici.

Lo sblocco con impronta o volto è comodo e sicuro nell’uso quotidiano, ma il codice resta la chiave di riserva: deve essere robusto quanto la protezione che sostituisce.

Insegnare il metodo in famiglia

Il metodo delle frasi è particolarmente adatto alle persone che faticano con la tecnologia, come molti genitori anziani: è più facile ricordare “tegola, matita, fiume, garofano” che una sequenza di simboli. Per insegnarlo può aiutare sceglierle insieme, a caso, e costruire una piccola storia che le colleghi. Allo stesso tempo, conviene spiegare con pazienza le regole di base: non comunicare mai le password al telefono o via messaggio, nemmeno a chi dice di chiamare dalla banca; non scriverle su fogli lasciati vicino al computer; chiedere aiuto a un familiare in caso di dubbio. Per gli anziani, vedi anche la guida su genitori anziani, password e SPID.

Quando cambiare una password

Cambiare tutte le password ogni tre mesi, senza motivo, porta spesso a password più deboli e prevedibili (“Estate2024”, “Autunno2024”…). Le indicazioni attuali suggeriscono di cambiare una password quando c’è un motivo concreto:

• il servizio ha subito una violazione di dati;
• la password è stata usata anche altrove e uno di quei servizi è stato violato;
• sospetti che qualcuno l’abbia vista o scoperta;
• hai condiviso la password con qualcuno che non deve più conoscerla;
• ricevi avvisi di accessi che non riconosci.

Alcuni servizi e gestori di password avvisano automaticamente quando una password compare negli elenchi di quelle violate: è una funzione utile da attivare.

Il problema delle emergenze

C’è un aspetto che le guide sulle password trascurano quasi sempre. Le poche password memorizzate, proprio perché esistono solo nella tua testa, sono quelle che nessun altro conosce. È giusto così dal punto di vista della sicurezza; ma se ti succede qualcosa, la tua famiglia può trovarsi esclusa dal telefono, dall’email e dal gestore di password, cioè da tutto.

Non si tratta di scrivere la password principale su un foglio nel cassetto. Si tratta di decidere, con calma:

• cosa dovrebbe poter fare la tua famiglia se tu non potessi agire: spesso non serve entrare nei tuoi account, ma sapere quali sono e come gestirli;
• quali strumenti ufficiali usare: accesso di emergenza del gestore di password, contatti erede, gestione account inattivo;
• per gli atti formali, quali deleghe attivare, perché SPID, firma digitale e home banking non vanno mai usati da altri.

Ne parliamo nella guida sull’accesso di emergenza alle password e nel confronto sull’accesso di emergenza dei password manager.

Checklist

1. Frasi di quattro o cinque parole scelte a caso per le password da memorizzare.
2. Gestore di password per tutte le altre, diverse per ogni servizio.
3. Verifica in due passaggi sugli account importanti.
4. Cambio solo quando c’è un motivo concreto.
5. Avvisi sulle password violate attivati.
6. Piano per le emergenze: strumenti ufficiali, deleghe, istruzioni.

Gli errori più comuni

• Password corte con sostituzioni prevedibili.
• La stessa password su più servizi.
• Frasi famose o legate alla propria vita.
• Post-it sul monitor o foglio nel portafoglio.
• Nessun piano per l’accesso in caso di emergenza.

Come aiuta La Cassaforte Digitale

La Cassaforte Digitale non sostituisce il gestore di password: lo completa. Ti permette di lasciare alle persone di fiducia le istruzioni su come è organizzata la tua vita digitale: quali account esistono, quale gestore usi, quali strumenti di accesso di emergenza hai attivato, quali deleghe esistono, cosa fare nei primi giorni.

• Accesso a tre fattori: password, codice OTP e Chiave Privata (PIN Master).
• Livelli Verde, Giallo e Rosso per separare istruzioni pratiche e informazioni riservate.
• Ogni delegato riceve una propria Chiave di Accesso Delegato: nessuno usa le tue credenziali né il tuo SPID.

Domande frequenti

Staff La Cassaforte Digitale: la redazione di AVANET SRL (Cuneo), che sviluppa e gestisce La Cassaforte Digitale. Le informazioni su norme e procedure sono verificate sulle fonti ufficiali indicate in fondo alla pagina, alla data di aggiornamento. Questo articolo ha scopo informativo e non sostituisce il parere di un avvocato, di un notaio o del tuo istituto bancario. Chi siamo

Fonti

1. NIST SP 800-63B — Digital Identity Guidelines — lunghezza, composizione e cambio delle password
2. ACN — Agenzia per la Cybersicurezza Nazionale — buone pratiche sulle password
3. Garante Privacy — Password sicure — consigli per i cittadini
4. Have I Been Pwned — verifica delle violazioni di dati

Verificate il 10 novembre 2026.

Approfondimenti