Come scegliere un gestore di password: cosa confrontare prima di decidere

Un gestore di password serve a conservare le credenziali e ad aiutarti a usare password diverse per ogni servizio. Il vantaggio quotidiano è non doverle memorizzare tutte né riutilizzare la stessa password. La Electronic Frontier Foundation (EFF) spiega che questi programmi possono generare password, conservarle in una cassaforte e compilare i dati di accesso; molti sincronizzano anche le informazioni tra dispositivi. L’obiettivo non è trovare l’app con più funzioni, ma sceglierne una che puoi usare con regolarità e a cui puoi mantenere l’accesso. (EFF)

Prima di guardare i marchi, annota a quali servizi accedi e quali dispositivi usi: per esempio, un telefono e un computer, più browser oppure dispositivi condivisi in casa. Aggiungi due domande: devi condividere credenziali con un’altra persona? Conserverai soltanto password o anche note e altri dati? Le risposte cambiano le funzioni a cui vale la pena prestare attenzione. Un uso individuale semplice non richiede necessariamente le stesse opzioni di un gruppo familiare o di un team di lavoro; è una distinzione pratica, non una classificazione di sicurezza.

È utile anche riconoscere il compromesso che comporta concentrare le credenziali. Una cassaforte facilita l’uso di password diverse, ma riunisce informazioni sensibili in un unico account e in un’unica app. L’EFF avverte che questo può creare un singolo punto di vulnerabilità e consiglia di prestare attenzione alla robustezza della password principale e all’autenticazione a due fattori. Comodità e rischio non vanno valutati separatamente: più il tuo accesso dipende da un solo account, più è importante capire come proteggerlo e cosa fare se non riesci ad accedere. (EFF)

Per stabilire la compatibilità non basta consultare un elenco generale di sistemi operativi. Controlla la documentazione del servizio per ogni dispositivo e browser che usi e verifica se offre un’app, un’estensione del browser o entrambe. Poi assicurati che le funzioni importanti — come salvare nuove credenziali, compilare i dati di accesso e sincronizzare le modifiche — siano disponibili proprio in quella combinazione. La disponibilità può cambiare da una piattaforma all’altra: non dare per scontato che una funzione descritta nella pagina principale sia presente in tutte le versioni.

Prova il tuo normale percorso: apri un account dal telefono, controlla se la credenziale compare sul computer e prova ad accedere dal browser che usi davvero. Se passi da un browser all’altro, verifica che il gestore li supporti senza costringerti a un flusso di lavoro scomodo. Considera anche cosa succede sui dispositivi prestati o condivisi: potresti preferire non lasciare una sessione aperta né attivare la compilazione automatica in un profilo che non controlli. Sono aspetti d’uso da verificare nella documentazione, non da dedurre dal nome di una funzione.

La sincronizzazione è utile, ma chiedi come funziona quando un dispositivo è offline o quando cambi una password in due posti contemporaneamente. Se il fornitore documenta l’uso offline e la risoluzione dei conflitti, controlla questi dettagli. Se la spiegazione non è chiara, annota la domanda e chiedi informazioni prima di migrare una cassaforte importante. La compatibilità effettiva è quella che puoi verificare nella tua combinazione di dispositivi, non quella che deduci da una promessa generica di disponibilità su più dispositivi.

Distingui la password principale che protegge la cassaforte dal metodo aggiuntivo eventualmente usato per accedere all’account del servizio. Non sono necessariamente la stessa cosa. Verifica se il fornitore supporta l’autenticazione a più fattori, quali metodi offre e quali passaggi richiede per attivarli. CISA consiglia di prendere in considerazione l’autenticazione a più fattori perché aggiunge un controllo oltre alla password; la disponibilità di un metodo specifico, come una chiave di sicurezza, va confermata nella documentazione del gestore. (CISA)

Leggi con particolare attenzione le informazioni sul recupero. Scopri quali opzioni sono disponibili se dimentichi la password principale, perdi il telefono o non puoi più usare il secondo fattore. Il ripristino dell’accesso può avere implicazioni di sicurezza: una procedura che consente di recuperare facilmente un account dovrebbe anche spiegare cosa può ripristinare il fornitore e cosa dipende da te. Non interpretare la parola «recupero» come garanzia che sia sempre possibile ripristinare tutti i contenuti; cerca la procedura documentata e i requisiti previsti.

NIST ha pubblicato raccomandazioni sull’autenticazione digitale, ma SP 800-63-3, ancora citata in parte della documentazione, è stata sostituita da SP 800-63-4 dal 1° agosto 2025. Quella versione precedente, quindi, non va presentata come guida attuale. Per confrontare un prodotto, dai la priorità alla documentazione aggiornata del fornitore e ai riferimenti NIST correnti; una certificazione o una frase di marketing, da sole, non dimostrano che una configurazione specifica soddisfi tutte le tue esigenze. (NIST, avviso di sostituzione) Il recupero merita la stessa attenzione dell’accesso: una cassaforte sicura a cui non puoi più accedere può diventare un serio problema operativo.

Prima di trasferire le credenziali, cerca come esportare la cassaforte e quale formato offre il servizio. Verifica se l’esportazione comprende tutti gli elementi che conservi davvero — per esempio, note o campi personalizzati — e se un eventuale gestore alternativo dispone di uno strumento di importazione compatibile. La presenza di un pulsante di esportazione non basta a dimostrare che una migrazione futura sarà semplice: strutture e campi possono essere diversi da un servizio all’altro.

Chiedi anche se l’esportazione è cifrata o se genera un file leggibile senza protezione, e consulta le istruzioni ufficiali per conservarlo ed eliminarlo. Un’esportazione in testo semplice può esporre molte credenziali se rimane in una cartella sincronizzata, su un computer condiviso o in un backup che non avevi previsto. Evita di conservare copie inutili: dopo aver verificato la migrazione, segui le istruzioni del fornitore per rimuovere in sicurezza i file temporanei. Non affermare che un formato specifico sia universale senza averlo verificato nella documentazione di entrambi i servizi.

La portabilità è una verifica del controllo sui tuoi dati, non soltanto una funzione di comodità. Prima di cambiare gestore, mantieni l’accesso al servizio originale finché non hai verificato che le voci importanti siano state importate correttamente e che tu riesca ad accedere con quelle credenziali. Confronta account di tipo diverso, non una sola password semplice. In questo modo riduci il rischio di scoprire in seguito che mancano note, indirizzi web o campi che usavi. Se la documentazione non spiega con precisione cosa viene esportato, considera questa mancanza di chiarezza un costo pratico della scelta.

Gli elenchi di funzionalità possono mescolare elementi essenziali e aggiunte che forse non userai mai. Separa ciò che è indispensabile — per esempio, il supporto ai tuoi dispositivi, la sincronizzazione e l’esportazione — da ciò che è auspicabile, come la condivisione di elementi o la conservazione di altri tipi di informazioni. Per confrontare i piani, consulta le condizioni correnti sul sito ufficiale: cosa comprende il livello gratuito, se esiste un limite di dispositivi o elementi, quali funzioni richiedono un abbonamento e come viene addebitato il rinnovo. I prezzi possono cambiare in base a paese, valuta, promozioni e data; senza una fonte aggiornata del venditore, non è corretto presentare una cifra come universale.

Una tabella comparativa preparata da te può evitare che una funzione appariscente nasconda una carenza importante. Valuta soltanto gli aspetti che hai verificato e segna «non documentato» quando non trovi una risposta nelle informazioni ufficiali. Non trasformare la mancanza di informazioni nell’affermazione che il servizio non offre la funzione: è un’incertezza da chiarire. Il costo utile è quello del piano che copre le tue esigenze reali, non il prezzo iniziale considerato da solo né il valore apparente di un lungo elenco di extra.

Quando confronti privacy e sicurezza, cerca spiegazioni concrete su cifratura, accesso del fornitore ai dati, protezione dell’account e aggiornamenti. L’EFF ricorda che i gestori di password non eliminano tutti i rischi e che contano anche la configurazione e le abitudini d’uso. Non considerare un’etichetta come «cifratura end-to-end» una risposta completa senza capire a quali dati e processi si applica. Se le informazioni tecniche non sono chiare, chiedi al fornitore oppure scarta l’opzione se quel dato è decisivo per te. (EFF)

Prima di impegnarti, controlla questi punti nella documentazione aggiornata del servizio e nelle condizioni applicabili al tuo mercato:

• Dispositivi: sono supportati il telefono, il computer e i browser che usi abitualmente.
• Accesso: capisci come viene protetto l’account e quali metodi di autenticazione aggiuntivi sono supportati.
• Recupero: conosci le opzioni se perdi un dispositivo o dimentichi la password principale.
• Portabilità: sai come esportare i dati, cosa contiene il file e come proteggerlo.
• Costi e limiti: le funzioni che ti servono sono disponibili nel piano e nel paese in cui lo userai.
• Condivisione: le regole di accesso e revoca sono adatte alle persone con cui condivideresti informazioni, se pertinente.

Se il servizio consente di provarlo senza migrare subito tutte le informazioni, inizia con pochi account a basso impatto. Controlla che il gestore salvi e compili le credenziali sui dispositivi previsti e prova l’esportazione seguendo le istruzioni ufficiali prima di affidargli l’intera cassaforte. Non usare credenziali reali in strumenti di test di terze parti e non lasciare senza protezione un file esportato. Una prova limitata può far emergere difficoltà d’uso; non equivale a una verifica di sicurezza indipendente e non dimostra che il servizio sia invulnerabile. Mantieni un piano di transizione: conserva temporaneamente l’accesso al gestore precedente finché non hai verificato che le voci essenziali funzionino nel nuovo sistema e non hai capito come recuperare l’account.