Ti chiedi se la tua password reggerebbe davvero contro un attaccante? Digitala o incollala nello strumento di verifica per vedere in tempo reale la sua robustezza stimata: la sua entropia in bit, all'incirca quanto tempo servirebbe per violarla e una lista di controllo di ciò che è solido e di ciò che migliorare. Tutto viene analizzato localmente nel tuo browser tramite JavaScript, così la tua password non viene mai inviata, registrata o memorizzata da nessuna parte.

Come si misura la robustezza di una password

La robustezza si riduce a una sola domanda: quanti tentativi servirebbero a un attaccante prima di indovinare la tua? Più la tua password è imprevedibile, più tentativi sono necessari. Questo si misura con l'entropia, espressa in bit, e ogni bit aggiuntivo raddoppia il numero di possibilità. Una password con 40 bit di entropia può essere violata rapidamente dall'hardware moderno; una con 80 bit o più è oggi ampiamente fuori dalla portata di un attacco a forza bruta.

Il nostro strumento stima l'entropia da due fattori: quanto è lunga la password e quanto è ampio il suo insieme di caratteri (minuscole, maiuscole, numeri e simboli ne ampliano ciascuno l'insieme). Riduce poi questa stima quando rileva sequenze prevedibili: una password comune, una digitazione di tasti consecutivi come qwerty, una sequenza come 1234 o lo stesso carattere ripetuto, perché gli attaccanti provano prima questi. Il dato sul tempo di violazione presuppone un attacco offline veloce di circa un bilione di tentativi al secondo, uno scenario volutamente pessimistico, così una password valutata qui come "Molto robusta" ha un buon margine nel mondo reale.

Cosa rende debole una password

La maggior parte delle password compromesse condivide lo stesso piccolo gruppo di difetti. Lo strumento li segnala uno per uno:

• Troppo corta. La lunghezza conta più di ogni altra cosa. Una password corta, anche se casuale, ha semplicemente troppe poche combinazioni.
• Password comuni. Parole come password, 123456 e qwerty compaiono nella lista di ogni attaccante e cadono all'istante.
• Sequenze prevedibili. Tasti consecutivi sulla tastiera (asdf), sequenze numeriche (1234) e caratteri ripetuti (aaaa) aggiungono lunghezza senza aggiungere vera imprevedibilità.
• Un solo tipo di carattere. Le password composte solo da minuscole o solo da numeri mantengono ristretto l'insieme di caratteri e bassa l'entropia.
• Informazioni personali. Nomi, date di nascita e nomi di animali domestici sono facili da indovinare o da trovare online, quindi evitali anche se uno strumento di verifica non può rilevarli.

Cosa rende robusta una password

• Prima la lunghezza. Punta ad almeno 12 caratteri, e 16 o più per gli account importanti. Più lunga è sempre meglio di più corta.
• Una combinazione di tipi di carattere. Combinare maiuscole, minuscole, numeri e simboli amplia l'insieme e aumenta l'entropia.
• Casualità, non sequenze. Le password più robuste non hanno parole, né sequenze, né alcuna struttura che un attaccante possa prevedere.
• Unicità. Anche una password robusta è rischiosa se la riutilizzi: un solo sito violato espone allora ogni account che la condivide.

Il modo più semplice per soddisfare tutti e quattro i criteri in una volta è lasciare che sia un generatore a farlo per te. Creane una ora con il nostro generatore di password gratuito, poi incollala qui per confermarne la robustezza.

Come leggere i risultati

Mentre digiti, l'indicatore si sposta da Debole a Molto robusta, e la lista dei requisiti spunta ciascuna proprietà che la tua password possiede: lunghezza, maiuscole, minuscole, numeri, simboli e l'assenza di parole o sequenze comuni. La riga di feedback ti indica l'unica cosa più importante da correggere. Punta a soddisfare ogni requisito e a raggiungere "Molto robusta" prima di affidare una password a un account importante.

È sicuro digitare qui la mia password?

Sì. Lo strumento di verifica funziona interamente nel tuo browser: nessun server è coinvolto nell'analisi. Ciò che digiti non viene mai trasmesso sulla rete, mai scritto in un registro e mai memorizzato; scompare nel momento in cui chiudi o ricarichi la pagina. Puoi anche disconnetterti da internet e lo strumento continua a funzionare. Per sapere quali dati limitati e anonimi raccoglie il sito web stesso, consulta la nostra Informativa sulla privacy. Come buona abitudine generale, inserisci le tue password reali solo in strumenti di cui ti fidi e che, come questo, svolgono tutto il lavoro localmente.

Domande frequenti

Questo strumento invia la mia password da qualche parte?

No. Tutta l'analisi avviene nel tuo browser con JavaScript. La tua password non viene mai inviata, registrata o memorizzata, e sparisce non appena lasci la pagina.

Quanto è accurata la stima della robustezza?

È una stima solida e trasparente basata sulla lunghezza, sulla varietà dei caratteri e sul rilevamento delle sequenze comuni: gli stessi fattori che contano di più negli attacchi reali. Nessuno strumento di verifica può essere perfetto (non può sapere, ad esempio, che una password è il nome del tuo cane), quindi considera il risultato come un'indicazione affidabile più che come una garanzia.

Cosa sono una buona entropia o un buon tempo di violazione?

Oltre circa 80 bit di entropia è difficile da violare con la forza bruta usando l'hardware odierno, e oltre 100 bit lascia un ampio margine di sicurezza. Se il tempo di violazione stimato si misura in secoli o più, sei in una buona posizione.

La mia password ha ottenuto un punteggio basso anche se sembra complessa. Perché?

Una complessità che segue una sequenza non è robusta quanto sembra. Sostituzioni come P@ssw0rd, tasti consecutivi sulla tastiera e una lunghezza ridotta abbassano tutte il punteggio perché gli attaccanti se le aspettano. La lunghezza e una casualità autentica lo aumentano di più.

Cosa dovrei fare con una password debole?

Sostituiscila. Generane una lunga e casuale con il nostro generatore di password, conservala in un gestore di password e attiva l'autenticazione a due fattori sull'account per un ulteriore livello di protezione.