Generatore di password

Cos’è un generatore di password casuali?

Un generatore di password casuali è uno strumento che crea una password scegliendo i caratteri con un generatore di numeri casuali crittograficamente sicuro, invece di lasciarli scegliere a una persona. Le persone sono prevedibili: usiamo nomi, date, sequenze della tastiera e le solite varianti di “Password1!” che gli attaccanti provano per prime. Un generatore non ha abitudini, quindi ogni carattere è una scelta indipendente e imprevedibile.

Questo generatore di password sicure funziona interamente nel tuo browser. Usa crypto.getRandomValues, la Web Crypto API che i browser mettono a disposizione per la sicurezza, e usa il campionamento con rifiuto, così ogni carattere dell’insieme ha esattamente la stessa probabilità (un semplice “numero casuale modulo dimensione dell’insieme” favorirebbe leggermente alcuni caratteri). L’ordine dei caratteri viene poi mescolato con la stessa fonte sicura.

Come generare una password sicura

1. Imposta la lunghezza con il cursore, da 6 a 64 caratteri. Parte da 16 e una nuova password compare mentre trascini.
2. Scegli i tipi di carattere: Maiuscole (A-Z), Minuscole (a-z), Numeri (0-9) e Simboli (!@#$%^&*()-_=+[]{};:,.?/). Sono tutti e quattro attivi di default. La password contiene sempre almeno un carattere di ogni tipo selezionato. Se deselezioni tutto, le minuscole vengono riattivate.
3. Spunta “Evita caratteri simili (0O1lI)” se dovrai leggere la password ad alta voce o digitarla da un foglio. Rimuove 0, O, 1, l e I.
4. Controlla l’indicatore di sicurezza. La barra e l’etichetta (Debole, Discreta, Forte, Molto forte) si basano sull’entropia in bit, mostrata accanto all’etichetta.
5. Tocca Rigenera per una nuova password con le stesse impostazioni, poi Copia password e salvala subito nel tuo password manager.

L’entropia delle password spiegata in modo semplice

L’entropia misura quanti tentativi servirebbero a un attaccante, espressa in bit. Ogni bit in più raddoppia il numero di password possibili. La formula per una password casuale è: bit = lunghezza × log2(numero di caratteri possibili).

Con tutti e quattro i tipi di carattere attivi, questo strumento sceglie tra 86 caratteri, quindi ogni carattere aggiunge circa 6,4 bit. Senza i caratteri simili l’insieme è di 81 caratteri (circa 6,3 bit ciascuno).

L’indicatore usa queste fasce: sotto i 40 bit Debole, 40-63 Discreta, 64-95 Forte, da 96 in su Molto forte.

Per dare un’idea, immagina un attaccante che ha rubato un database di password e può provare 100 miliardi di combinazioni al secondo (un ipotetico attacco offline ben finanziato). 51 bit cedono in poche ore. 77 bit richiederebbero in media decine di migliaia di anni. 103 bit sono fuori portata per qualsiasi hardware prevedibile. Nota che la lunghezza batte la complessità: 16 lettere minuscole (75 bit) sono quasi sicure quanto 12 caratteri di ogni tipo (77 bit).

L’entropia vale solo per password davvero casuali. “Estate2026!” sembra usare quattro tipi di carattere, ma gli attaccanti provano per primi parole, anni e un simbolo finale, quindi la sua sicurezza reale è minima.

Quanto deve essere lunga una password?

• 12 caratteri (tutti i tipi): il minimo pratico per account poco importanti.
• 16 caratteri: una buona scelta predefinita per tutto ciò che salvi in un password manager.
• 20 o più: email, banca, l’account principale del tuo password manager (come passphrase, vedi sotto) e account di amministrazione. Con la tua email si possono reimpostare tutte le altre password, quindi proteggila più di tutte.

Le attuali linee guida NIST (SP 800-63B) privilegiano la lunghezza rispetto alle regole di composizione, dicono che le password non vanno cambiate obbligatoriamente a scadenza se non ci sono prove di compromissione e, al momento della stesura, raccomandano almeno 15 caratteri quando la password è l’unico fattore di accesso. Alcuni siti più vecchi limitano ancora la lunghezza a 12 o 16 caratteri o rifiutano certi simboli; se un sito rifiuta una password, deseleziona Simboli o accorciala invece di passare a qualcosa di facile da ricordare.

Quali impostazioni usare: esempi

• Rete Wi-Fi: WPA2 e WPA3 accettano da 8 a 63 caratteri. Usane 20 o più, deseleziona Simboli e spunta “Evita caratteri simili” perché gli ospiti possano digitarla, oppure condividila con un QR code per il Wi-Fi.
• Social e email: da 16 a 20 caratteri, tutti i tipi attivi, salvata nel password manager e con l’autenticazione a due fattori attiva.
• Accesso a smart TV o console: digitare con il telecomando è lento, quindi usa da 16 a 20 caratteri senza caratteri simili né simboli; è la lunghezza a renderla sicura.
• Account condiviso dal team (l’Instagram di un negozio, l’area admin del sito di un cliente): genera una nuova password ogni volta che qualcuno lascia il team.
• PDF o file ZIP cifrato: 20 o più caratteri, perché un file rubato può essere attaccato offline senza limiti di tentativi. Invia la password su un canale diverso da quello del file.

Passphrase: password facili da ricordare ma comunque sicure

Una passphrase è una password composta da più parole casuali, come orbita-cactus-lanterna-velluto-novanta-piuma. È più facile da ricordare e digitare di q7#Rk!2vX9@m e può essere altrettanto sicura, purché le parole siano scelte a caso e non da te.

Con il diffuso metodo Diceware, ogni parola viene scelta da un elenco di 7.776 parole lanciando cinque dadi, il che dà circa 12,9 bit per parola. Cinque parole casuali danno circa 65 bit, sei circa 78 bit e sette circa 90 bit. Usa sei o più parole per una password principale.

Questo strumento genera password di caratteri, non elenchi di parole. Usa una passphrase per le poche password che devi memorizzare (il password manager, l’accesso al computer) e le password di caratteri generate qui per tutto ciò che salvi nel manager. Anche la maggior parte dei password manager include un’opzione per le passphrase.

Perché ti serve un password manager

Le password casuali sicure funzionano solo se ne usi una diversa per ogni account, e nessuno riesce a ricordarne 100. Un password manager le conserva cifrate dietro un’unica passphrase principale, le compila al posto tuo e ti avvisa delle password riutilizzate o compromesse.

• Opzioni integrate: Apple Password (iPhone, Mac), Gestore delle password di Google (Chrome, Android) e Microsoft Edge salvano e sincronizzano le password gratis.
• Manager dedicati: Bitwarden, 1Password, Proton Pass e le app in stile KeePass funzionano su ogni browser e dispositivo e aggiungono condivisione e report di sicurezza.
• Aggiungi l’autenticazione a due fattori (un’app di autenticazione o una passkey) su email, banca e social. Dove un sito offre le passkey, resistono al phishing ancora meglio delle password.

Password, passphrase o passkey

Le passkey si stanno diffondendo su Google, Apple, Microsoft, Amazon e molti altri servizi, ma la maggior parte dei siti richiede ancora una password e molti account con passkey mantengono una password di riserva. Una password generata più l’autenticazione a due fattori resta la scelta giusta per tutto il resto.

Errori comuni con le password da evitare

• Riutilizzare le password. Quando un sito subisce una violazione, gli attaccanti provano la stessa email e password ovunque (“credential stuffing”). Una password unica per account lo impedisce.
• Piccole modifiche a vecchie password. Cambiare “Milano@2025” in “Milano@2026” è la prima variante che un attaccante prova.
• Informazioni personali. Nomi, compleanni, nomi di animali, numeri di telefono e il tuo handle Instagram sono facili da trovare online.
• Salvare le password in note o chat. Un’app di note, un messaggio WhatsApp a te stesso o un foglio di calcolo non sono cifrati come un password manager.
• Password corte piene di simboli. 8 caratteri di ogni tipo (51 bit) sono più deboli di 16 lettere minuscole (75 bit).
• Condividere con uno screenshot. Se devi dare accesso a un collega, usa la funzione di condivisione del tuo password manager.

Questo generatore di password è sicuro?

Sì. Le password vengono generate sul tuo dispositivo da JavaScript usando il generatore di numeri casuali crittografico del browser. Nulla viene inviato al nostro server, nulla viene salvato e la pagina non fa richieste di rete quando generi o copi una password; puoi verificarlo negli strumenti per sviluppatori del browser, nella scheda Rete. Ogni password esiste solo sul tuo schermo e negli appunti finché non la salvi. Come per qualsiasi segreto copiato, svuota gli appunti sui computer condivisi.

Proteggi gli account dietro il tuo link in bio

Instagram, email e account del link in bio sono la porta d’ingresso della tua attività, quindi ognuno merita una password generata e l’autenticazione a due fattori. Quando crei la tua pagina Biolinko, usa una password di questo strumento e salvala nel tuo manager. Altri strumenti gratuiti utili: il generatore di QR code e il generatore di link UTM.