Come scegliere un gestore di password: sicurezza, recupero e portabilità

Un gestore di password conserva le credenziali e permette di recuperarle quando servono, invece di affidarsi a una password diversa da ricordare per ogni sito. A seconda del servizio, può compilare moduli, sincronizzare i dati tra dispositivi e archiviare altri elementi, come note sicure o passkey. Il vantaggio pratico è ridurre il riutilizzo delle password e rendere più realistico l’uso di password lunghe e diverse. Lo strumento aiuta a gestire le credenziali; non rende invulnerabile un account e non sostituisce le misure di sicurezza dei siti a cui accedi.

Un gestore concentra anche informazioni preziose. Se qualcuno riesce a sbloccare il vault, potrebbe accedere a molti account; per questo sono importanti sia la protezione dell’account del gestore sia il meccanismo di recupero. Non basta trovare una promessa di «crittografia end-to-end»: è opportuno scoprire quali dati vengono cifrati, dove avviene la cifratura, cosa può vedere il fornitore e cosa succede se perdi la password principale. La guida di OWASP sull’archiviazione crittografica offre principi per valutare la protezione dei dati conservati, ma non certifica né verifica autonomamente un prodotto specifico.

La scelta non dovrebbe ridursi a una classifica universale del «più sicuro». Una funzione può essere utile e al tempo stesso inadatta ai tuoi dispositivi o alla tua capacità di conservare una copia di emergenza. L’obiettivo è raccogliere prove verificabili e decidere se il servizio si adatta al tuo modo di usarlo. Le affermazioni del fornitore descrivono ciò che documenta; non equivalgono automaticamente a una valutazione indipendente della sua implementazione.

Prima di confrontare i piani, fai l’inventario dei luoghi in cui ti serve il gestore: telefono, computer, tablet, browser e, se necessario, dispositivi condivisi. Verifica che siano disponibili app o estensioni compatibili con i tuoi sistemi e che la sincronizzazione funzioni nella combinazione che usi davvero. Un lungo elenco di piattaforme non serve se manca quella di cui hai bisogno ogni giorno. Controlla anche se puoi accedere alle credenziali quando il dispositivo è offline e quali condizioni impone il fornitore per farlo.

Pensa anche alla condivisione. Potresti voler condividere alcune password con familiari o colleghi, gestire account di casa o permettere a una persona fidata di accedervi in caso di emergenza. Verifica se il servizio offre queste opzioni, quali controlli mette a disposizione — per esempio, limitare chi può consultare o modificare un elemento — e se sono inclusi nel piano che pagheresti. Non confondere una cartella condivisa con una procedura di emergenza: hanno scopi diversi e possono prevedere requisiti differenti.

Se al momento salvi le password nel browser, verifica le opzioni di migrazione prima di iniziare. Le istruzioni di Google Chrome e Microsoft Authenticator documentano possibilità di importazione o esportazione; anche Apple descrive l’esportazione da iPhone. Procedure e condizioni possono cambiare in base al dispositivo e alla versione. Prima di affidarti a un percorso specifico, consulta la documentazione aggiornata per la tua piattaforma e verifica se comprende anche altri dati, come note, nomi utente o passkey. La compatibilità che conta è quella del tuo flusso completo di ingresso e uscita, non il numero di marchi menzionati in una pagina commerciale.

Cerca spiegazioni specifiche sulla crittografia del vault, sulla protezione della password principale e sul trattamento dei dati nei server e sui tuoi dispositivi. Distingui ciò che il fornitore spiega da ciò che non specifica. Un algoritmo noto, da solo, non dimostra che un’app sia ben realizzata: contano anche il suo utilizzo, la gestione delle chiavi, gli aggiornamenti, la sicurezza dell’account e la gestione degli errori. Se la spiegazione si limita a formule generiche come «livello militare», cerca dettagli verificabili nella documentazione tecnica o di sicurezza.

L’autenticazione a più fattori aggiunge una verifica oltre alla password. Controlla quali metodi supporta il fornitore e quali alternative offre se perdi il telefono o il dispositivo di autenticazione. I metodi non hanno tutti le stesse caratteristiche e attivare l’autenticazione a più fattori non elimina i rischi di phishing, recupero debole o dispositivi compromessi. La documentazione di Tableau, per esempio, descrive l’autenticazione a più fattori per il proprio servizio; non dimostra che un altro gestore abbia controlli equivalenti. Valuta la documentazione del prodotto che stai effettivamente considerando.

Cerca anche informazioni su audit o valutazioni esterne: chi li ha svolti, quale ambito hanno coperto, quando sono stati pubblicati e se riguardano il prodotto e le app che userai. «Verificato» senza data o ambito è una descrizione incompleta. Un rapporto può esaminare solo una parte del sistema o una versione precedente. Considera gli audit dichiarati come un elemento di prova, non come una garanzia permanente. OWASP e le linee guida NIST sull’identità aiutano a formulare domande su archiviazione e autenticazione, ma non vanno presentati come certificazioni di uno specifico gestore.

La domanda scomoda è semplice: cosa succede se dimentichi la password principale, perdi il telefono o non hai più il secondo fattore? Leggi la procedura ufficiale prima di conservare tutte le informazioni nel vault. Scopri se il recupero dipende da una chiave di recupero, da un dispositivo già autorizzato, da un’altra persona o da un backup; se ogni metodo richiede preparativi anticipati; e se il ripristino dell’accesso può comportare la perdita dei dati cifrati. I dettagli variano tra servizi e tipi di account, quindi non dare per scontato che «recuperare l’account» significhi recuperare il contenuto.

Distingui il recupero dell’accesso a un account dal recupero del vault. Un fornitore può aiutarti a reimpostare le credenziali di accesso senza poter decifrare i dati, oppure offrire un meccanismo di recupero che richiede una configurazione anticipata. La documentazione sul trasferimento di Microsoft Authenticator mostra perché conviene verificare le condizioni per trasferire un autenticatore invece di presumere che gli account vengano ripristinati automaticamente su un nuovo telefono. Non è una guida per tutti i gestori, ma illustra l’importanza di consultare la procedura specifica del servizio utilizzato.

Prepara un piano che puoi mettere in pratica senza dipendere dal dispositivo che potresti perdere. Può includere la conservazione delle informazioni di recupero in un luogo protetto e separato, il mantenimento di un dispositivo fidato aggiornato o un metodo di emergenza concordato con una persona autorizzata, se il servizio lo consente. Verifica di aver capito cosa conserva ogni copia e come viene protetta. Evita di lasciare una copia leggibile di tutte le password in una cartella comune o sullo stesso dispositivo che contiene il vault. Il recupero migliore è quello che hai compreso e preparato prima di averne bisogno.

La portabilità conta anche se pensi di restare con il servizio. Controlla se consente di esportare il vault, da quale app, in quale formato e con quali limitazioni. Un’esportazione può facilitare la migrazione, ma può anche creare temporaneamente un file leggibile contenente credenziali. Decidi dove conservarlo durante il trasferimento ed eliminalo in modo sicuro quando non ti serve più; svuotare il cestino o cancellare un file non garantisce sempre che sia sparito da tutte le copie o sincronizzazioni.

Non dare per scontato che vengano esportati tutti i dati. Controlla se il formato comprende nomi utente, indirizzi web, note, allegati, elementi condivisi e altri record che ti interessano. Verifica poi se il servizio verso cui migri può importare quel formato e quali elementi supporta. Le istruzioni di Bitwarden sull’importazione da Password Safe, insieme alle guide di esportazione di Apple e Google, sono esempi di documentazione relativa a prodotti specifici: possono aiutare a valutare quei percorsi, ma non dimostrano che ogni combinazione di origine e destinazione sia compatibile.

Un piano di uscita ragionevole è semplice e verificabile: consulta la guida ufficiale, conferma cosa viene esportato, individua una destinazione compatibile e proteggi il file durante il processo. Se il fornitore non spiega il formato o il percorso di esportazione, chiedi all’assistenza prima di archiviare lì tutte le credenziali. Le limitazioni all’esportazione non dimostrano da sole pratiche di sicurezza scadenti, ma influiscono sulla tua dipendenza dal servizio. Poter andare via senza perdere informazioni è un criterio di scelta, non un dettaglio da considerare alla fine.

Confronta solo i piani che potrebbero adattarsi al tuo utilizzo. Annota il prezzo e il periodo di fatturazione attuali per il tuo paese, quali funzioni sono gratuite, quanti utenti o dispositivi sono inclusi e quali opzioni richiedono un piano superiore. Considera anche la continuità: se il prezzo può cambiare, se la cancellazione influisce sull’accesso al vault o alle funzioni condivise e cosa succede ai dati quando smetti di pagare. Non trattare il prezzo pubblicato in un’altra regione o un’offerta temporanea come se fosse il costo abituale applicabile al tuo account.

Il prezzo non misura la sicurezza. Un piano gratuito può bastare a una persona e ai suoi dispositivi, mentre una famiglia o un team potrebbe aver bisogno di permessi, recupero condiviso o amministrazione. Il confronto utile mette il costo in rapporto a esigenze concrete, non al numero assoluto di funzioni. Se una caratteristica è disponibile solo in un livello che non useresti, non dovrebbe influenzare la decisione. Documenta anche le condizioni che potrebbero incidere sull’esportazione o sull’accesso dopo la cancellazione.

Prima di trasferire l’intero vault, puoi fare una valutazione prudente con una quantità limitata di dati non critici. Verifica che le app provengano dal fornitore, configura il secondo fattore disponibile, controlla il blocco automatico e prova l’esportazione senza esporre un file di credenziali in un luogo condiviso. Questo non sostituisce un audit tecnico né dimostra che il servizio sia sicuro; permette di controllare che tu abbia capito il flusso quotidiano e le condizioni di uscita.

Usa queste domande per confrontare due o tre opzioni in modo coerente. Se la documentazione non fornisce una risposta, segnala il punto come irrisolto invece di colmare la lacuna con una supposizione. La chiarezza e la possibilità di verificare le procedure fanno parte dell’utilità del prodotto.

• Funziona su tutti i miei dispositivi e browser e ho capito cosa succede offline?
• Spiega come viene cifrato il vault e quali informazioni può conoscere il fornitore?
• Quali metodi di autenticazione a più fattori offre e come recupero l’accesso se perdo il secondo fattore?
• Posso esportare i dati di cui ho bisogno in un formato accettato da un altro servizio?
• Ho preparato un metodo di recupero e so cosa potrei perdere usandolo?
• Il piano copre le mie esigenze di condivisione e conosco costo e condizioni di cancellazione?
• La documentazione di sicurezza e degli audit indica ambito e data delle valutazioni?

Una scelta solida non richiede di trovare un servizio perfetto. Richiede di poter spiegare perché è adatto ai tuoi dispositivi, come recupereresti l’accesso, quali prove sostengono la tua fiducia e come cambieresti fornitore. Se non sai ancora rispondere, metti in pausa la migrazione e chiarisci i dubbi prima di concentrare le credenziali. Dai priorità alla sicurezza documentata, a un recupero praticabile e a una via d’uscita fattibile; poi confronta comodità e prezzo.