Chiavi, lucchetti
e doppi lucchetti
Come creare password che non si dimenticano e non si indovinano, attivare il 2FA, scegliere il provider SPID giusto nel 2026 e capire cosa fa il QR code quando lo inquadri con il telefono.
La password giusta
Non "lunga" — giusta. C'è differenza
Per anni ci hanno detto di usare password lunghe, con maiuscole, numeri e simboli. Il risultato? Tutti usano Rossi1980! o Milano@2024 — password che sembrano forti ma sono prevedibilissime.
Una buona password ha due caratteristiche: è difficile da indovinare per un computer e facile da ricordare per te. Sono obiettivi compatibili, ma richiedono un approccio diverso.
Il metodo della passphrase
Invece di una parola storpiata, usa quattro parole casuali separate da un trattino o uno spazio. Esempio: tavolo-nuvola-scarpa-fiume. È più lunga di qualsiasi password "complessa", impossibile da indovinare, e puoi immaginarla come una scena assurda che ti aiuta a ricordarla.
Devono essere casuali — non "cane-casa-amore-Italia" che sono troppo comuni. Apri un libro a caso, prendi la prima parola di 4 pagine diverse. Oppure usa un dado e una lista di parole (metodo Diceware). L'imprevedibilità è tutto.
Le password da evitare sempre
La regola più importante: una password diversa per ogni account
Non importa quanto sia forte la tua password: se la riusi, un attacco a un sito qualsiasi può compromettere tutti gli altri. L'email e la banca devono avere password uniche, mai usate altrove. Per gestire password diverse senza impazzire, serve lo strumento della prossima sezione.
Vai su haveibeenpwned.com, inserisci il tuo indirizzo email e scopri se è comparso in qualche database rubato. È gratuito, sicuro e gestito da un ricercatore di sicurezza indipendente. Se il tuo indirizzo compare: cambia subito la password di quell'account.
Il gestore di password
L'unico strumento che ti permette di avere password diverse e non ricordarle tutte
Un gestore di password (o password manager) è un programma che memorizza tutte le tue password in modo sicuro, le protegge con un'unica password principale, e le inserisce automaticamente quando accedi a un sito. Tu devi ricordare solo una password: quella del gestore.
Perché non è pericoloso
La preoccupazione comune è: "E se hackerebbero il gestore?" I gestori seri cifrano le password sul tuo dispositivo prima di sincronizzarle — il server non vede mai le tue password in chiaro. È molto più sicuro di usare la stessa password dappertutto o di tenerle in un foglio di carta.
Non è un file Excel con le password. Non è un notes sullo smartphone. Non è la rubrica del telefono con le password scritte come "note". Queste soluzioni non cifrano nulla e sono vulnerabili se il dispositivo viene perso o rubato.
Quale scegliere
Come iniziare con Bitwarden
- Vai su bitwarden.com e crea un account gratuito con la tua email.
- Scegli una password principale forte e memorabile — usa il metodo passphrase della sezione precedente. Questa è l'unica password che devi ricordare a memoria.
- Installa l'estensione del browser (Chrome, Firefox, Safari) — si aggiunge con un clic dal sito ufficiale.
- Installa l'app sul telefono — disponibile su App Store e Google Play.
- Inizia ad aggiungere le tue password man mano che accedi ai siti — Bitwarden te lo propone automaticamente.
Scrivila su carta e conservala in un posto fisico sicuro (non sul telefono, non in email). Se la dimentichi e non hai un metodo di recupero, perdi l'accesso a tutto. Una volta sola, cartaceo, custodito bene.
Il doppio lucchetto: il 2FA
Perché una sola password non basta più
Immagina di avere una cassaforte con due serrature diverse, che richiedono due chiavi diverse. Anche se qualcuno ruba una delle tue chiavi, senza l'altra non entra. Questo è il principio del 2FA — autenticazione a due fattori.
Con il 2FA attivo, per accedere a un account servono due cose: la password (qualcosa che sai) e un codice temporaneo generato sul tuo telefono (qualcosa che hai). Chi conosce la tua password ma non ha il tuo telefono non entra.
I tre fattori di autenticazione
L'autenticazione a tre fattori (tutti e tre i fattori insieme) esiste in contesti ad altissima sicurezza: banche centrali, sistemi militari, dati sanitari critici. Per la vita quotidiana il 2FA è più che sufficiente.
Come si usa nella pratica
Quando attivi il 2FA su un account (es. Gmail), ogni volta che accedi da un dispositivo nuovo o sconosciuto, dopo aver inserito la password ti viene chiesto un codice di 6 cifre che cambia ogni 30 secondi. Lo trovi sull'app authenticator sul tuo telefono. Inserisci il codice, e sei dentro.
Attiva il 2FA prima di tutto sull'account email principale — è la chiave di tutti gli altri account. Poi sull'account Google o Apple. Poi, gradualmente, su banca e social. Non devi fare tutto subito.
App authenticator
Il modo più sicuro per ricevere i codici 2FA
Un'app authenticator è un'applicazione sul tuo telefono che genera codici temporanei di 6 cifre — cambiano ogni 30 secondi e sono legati al tuo specifico account. Non servono connessione internet né SIM: l'app funziona anche offline.
Quale app scegliere
Se non hai abilitato il backup dell'app, perdere il telefono significa perdere l'accesso agli account con 2FA. Per questo: scegli un'app con backup cloud (Microsoft Authenticator o Authy) e salva i codici di backup che ogni servizio ti fornisce al momento dell'attivazione del 2FA — sono una serie di codici monouso da usare in caso di emergenza.
Come attivare il 2FA con app authenticator su Gmail
- Installa Microsoft Authenticator o Authy sul telefono dall'App Store o Google Play.
- Sul computer, vai su myaccount.google.com → Sicurezza e accesso → Verifica in due passaggi.
- Clicca su "Inizia" e segui la procedura guidata. Google ti proporrà diversi metodi — scegli "App Authenticator".
- Google mostra un QR code sullo schermo (spiegato nella sezione 8). Apri l'app authenticator, tocca il tasto "+" e inquadra il QR code con la fotocamera.
- L'account appare nell'app con un codice a 6 cifre. Inserisci quel codice in Google per confermare che tutto funziona.
- Salva i codici di backup che Google ti fornisce — stampali o scrivili su carta e conservali in un posto sicuro.
SMS come 2FA
Meglio dell'app o peggio? La risposta onesta
Molti servizi offrono il 2FA via SMS: dopo la password ti mandano un codice sul telefono. È il sistema più diffuso perché non richiede di installare nulla. Ma ha dei limiti.
- Funziona senza connessione
- Non intercettabile da terzi
- Non dipende dal numero di telefono
- Immune al SIM swapping
- Vulnerabile al SIM swapping
- Intercettabile su reti compromesse
- Dipende dalla copertura telefonica
- Ma: molto meglio di nessun 2FA
Un attaccante convince il tuo operatore telefonico — spesso con dati personali rubati — di essere te, e fa trasferire il tuo numero su una SIM di sua proprietà. Da quel momento riceve tutti i tuoi SMS, inclusi i codici 2FA. È raro ma reale. Se il servizio offre entrambe le opzioni, scegli sempre l'app.
La regola pratica: usa l'app authenticator dove puoi. Usa SMS dove l'app non è disponibile. Usa entrambi se ti viene offerta la scelta. Non usare nessuno dei due solo se il servizio non lo supporta — in quel caso, priorità ancora maggiore a una password forte e unica.
SPID — cos'è e i tre livelli
L'identità digitale italiana per accedere ai servizi della Pubblica Amministrazione
Lo SPID — Sistema Pubblico di Identità Digitale — è una coppia di credenziali (username e password) che permette di accedere con un'unica identità a tutti i servizi online della Pubblica Amministrazione italiana: INPS, Agenzia delle Entrate, fascicolo sanitario, bonus, concorsi pubblici, Università, Comune e molto altro.
Non è un'app — è un'identità. La gestisce uno dei provider autorizzati da AGID (l'agenzia governativa del digitale), e funziona su qualsiasi sito che espone il pulsante "Entra con SPID".
I tre livelli di sicurezza
Lo SPID livello 2 è, a tutti gli effetti, un sistema di autenticazione a due fattori: password (fattore 1) + codice temporaneo (fattore 2). La differenza rispetto al 2FA classico è che qui il sistema è standardizzato a livello nazionale e riconosciuto dalla PA.
Scegliere il provider SPID
Cosa è cambiato nel 2026 e quale conviene attivare
Lo SPID si attiva tramite uno dei provider autorizzati da AGID. Fino al 2025 era quasi tutto gratuito; dal 2026 la situazione è cambiata. Ecco il quadro aggiornato.
Poste Italiane — il provider più usato con oltre 25 milioni di utenti — ha introdotto un canone di 6€/anno dal secondo anno. Altri provider (Aruba, InfoCert) hanno fatto lo stesso. Restano opzioni gratuite, ma richiedono di avere la CIE con chip NFC attivo.
Confronto provider — luglio 2026
| Provider | Canone annuo | Identificazione gratuita | Note |
|---|---|---|---|
| Namirial Consigliato | Gratuito | Con CIE via NFC o firma digitale | Attivazione rapida, buona app. Webcam a pagamento (~15€). |
| Sielte ID | Gratuito | Con CIE, CNS o firma digitale | Sempre gratuito per cittadini. Meno diffuso, ma affidabile. |
| TIM ID | Gratuito | Identificazione online | Gratuito per uso personale. Può richiedere numero TIM per alcune procedure. |
| Lepida | Gratuito | Con CIE o CNS | Principalmente per residenti in Emilia-Romagna e regioni convenzionate. |
| PosteID (Poste Italiane) | 6€/anno (1° anno gratis) | In ufficio postale (6€), online se cliente Poste | Il più usato e supportato. Rete capillare di sportelli fisici. Esenzioni per over 75, minorenni e residenti all'estero. |
| Aruba ID | ~6€/anno (1° anno gratis) | Con CNS (gratis), CIE a pagamento | Integra bene con altri servizi Aruba (PEC, fatturazione). Webcam tra le più care (~30€). |
| InfoCert | ~6€/anno (1° anno gratis) | Dipende dal metodo | Storico provider, buona assistenza. Canone dal 2° anno. |
⚠️ Prezzi e condizioni possono variare. Verifica sempre sul sito ufficiale del provider prima di procedere.
Come scegliere
Attivazione con CIE — il percorso consigliato
- Verifica che il tuo telefono abbia NFC attivo (quasi tutti gli smartphone moderni ce l'hanno — cerca "NFC" nelle impostazioni).
- Vai sul sito di Namirial (namiriaid.it) e clicca su "Attiva SPID".
- Scegli il metodo di riconoscimento: "CIE — Carta d'Identità Elettronica".
- Installa l'app Namirial ID sul telefono, segui la procedura guidata e appoggia la CIE sul retro del telefono quando richiesto.
- Crea username, password e scegli il metodo per i codici OTP (app authenticator o SMS).
- Il tuo SPID è pronto. Testa subito l'accesso su un servizio come inps.it.
Il QR code
Quel quadrato con i puntini: cosa fa e quando usarlo in sicurezza
Un QR code è un'immagine che contiene informazioni codificate — un po' come un codice a barre, ma in versione quadrata e molto più capiente. Il telefono lo "legge" con la fotocamera e interpreta il contenuto: può essere un link, un testo, dati di accesso, o istruzioni per un'app.
Come si usa nella pratica digitale
Come si legge un QR code
Su quasi tutti gli smartphone moderni basta aprire la fotocamera e puntarla sul QR code — appare automaticamente un link o una notifica da toccare. Se non funziona, cerca "lettore QR" nell'app store: ce ne sono molti gratuiti.
Quando NON inquadrare un QR code
Un QR code può contenere qualsiasi link — anche uno pericoloso. Non inquadrare QR code trovati su volantini sconosciuti, ricevuti via email da mittenti non verificati, o affissi in luoghi pubblici sopra adesivi (tecnica usata per sostituire QR code legittimi). Prima di toccare il link che appare, leggi l'URL e chiediti: mi aspettavo questo sito?
La CIE
La carta d'identità elettronica come alternativa allo SPID
La CIE — Carta d'Identità Elettronica è la versione digitale della carta d'identità italiana. Oltre alla funzione classica come documento fisico, contiene un chip NFC che permette di usarla per autenticarsi online — senza bisogno di SPID.
Dal 2021 la CIE è accettata come metodo di accesso alternativo allo SPID su tutti i siti della Pubblica Amministrazione. Per molti utilizzi è equivalente al livello 2 di SPID.
Come funziona
- Installa l'app CIEid dal tuo app store (sviluppata dal Ministero dell'Interno — è quella ufficiale).
- Apri l'app e segui la procedura di primo avvio: ti chiede di appoggiare la CIE al retro del telefono per leggerla via NFC.
- Inserisci il PIN della CIE — ti è stato consegnato in busta chiusa al comune al momento del rilascio della carta.
- Quando un sito offre "Entra con CIE", clicca, inquadra il QR code con l'app CIEid e conferma. Sei dentro.
La CIE non ha canoni annuali — la paghi una volta sola al comune (circa 22€) e dura 10 anni. Non richiede provider, non ha abbonamenti. Lo svantaggio: se hai dimenticato il PIN o non hai NFC sul telefono, ti blocchi. SPID è più flessibile da dispositivi diversi. Soluzione ideale: averli entrambi.
Il PIN viene consegnato in due parti: metà nella busta consegnata allo sportello, metà per posta (o tutto insieme, dipende dal comune). Se lo perdi, devi andare fisicamente al comune per ottenere il PUK e reimpostarlo. Conservalo in un posto sicuro — insieme alla password principale del gestore di password.