Generatore di password online gratuito
Crea password forti in pochi secondi

Un attacco a forza bruta prova in sequenza tutte le possibili combinazioni di caratteri — più la password è lunga e casuale, più tempo richiede. Un attacco a dizionario prova password comuni e le loro varianti (es. «password123»). Il credential stuffing riutilizza dati provenienti da fughe precedenti: se riutilizzi la stessa password in più luoghi, la violazione di un account facilita quella degli altri. Il phishing, invece, non viola tecnicamente la password, ma ti induce a fornirla volontariamente su un sito falso.

L’entropia misura l’imprevedibilità di una password, espressa in bit: più è alta, più tentativi richiede un attacco a forza bruta. Dipende dalla lunghezza della password e dal numero di caratteri possibili in ogni posizione. Aggiungere un solo carattere aumenta esponenzialmente il numero di combinazioni possibili, per questo la lunghezza incide sulla sicurezza più delle sole regole di complessità. Passly.pl mostra l’entropia di ogni password generata, in bit.

L’istituto statunitense NIST (Special Publication 800-63B) ha abbandonato il cambio forzato e frequente della password e le regole di complessità rigide, poiché tali pratiche portavano spesso a password più deboli e prevedibili (es. «Password1!» → «Password2!»). Raccomanda invece password o passphrase lunghe, il controllo rispetto a database di fughe note, e il cambio solo in caso di sospetta compromissione.

La 2FA (o MFA — autenticazione multifattore) richiede, oltre alla password, un secondo elemento per confermare l’identità: un codice da un’app di autenticazione, una chiave hardware (es. una YubiKey) o un’impronta biometrica. Anche se la password viene compromessa, un attaccante privo del secondo fattore non può accedere. È la singola modifica più efficace per limitare i danni di una fuga di password.

Le passkey sono uno standard di accesso basato sulla crittografia a chiave pubblica (FIDO2/WebAuthn): invece di una password, il tuo dispositivo conserva una chiave privata, mentre il server conosce solo la chiave pubblica, inutilizzabile per accedere senza il dispositivo. Questo elimina il phishing e le fughe di password alla fonte. Sempre più servizi supportano le passkey, ma le password resteranno diffuse ancora per molti anni — perciò un generatore di password robuste ha ancora senso.