Il foglio Excel “password.xlsx” sul desktop, il quaderno nel cassetto della reception, la stessa password con un numero diverso alla fine per ogni portale: lo vedo in tantissimi studi e piccole aziende. Non per pigrizia, ma perché le password da ricordare sono decine e nessuno ti ha mai dato uno strumento migliore. Quello strumento esiste e si chiama password manager (gestore di password). In questa guida ti spiego cos’è, perché oggi è considerato una buona pratica anche dagli standard internazionali, come scegliere quello adatto allo studio o alla PMI e come introdurlo senza mettere in crisi colleghi e collaboratori.
Perché le password “come le abbiamo sempre fatte” non funzionano più
Il problema principale non è la password debole, ma la password riutilizzata. Quando un sito qualunque subisce un furto di dati, le coppie email e password finiscono in elenchi che i criminali provano automaticamente su posta, home banking, portali dei fornitori e gestionali in cloud. Se usi la stessa password (o quasi) ovunque, una sola fuga apre molte porte.
Anche le vecchie regole aziendali spesso peggiorano le cose. Obbligare a cambiare password ogni 90 giorni o a inserire per forza maiuscole, numeri e simboli porta a password prevedibili come “Studio2026!” che diventa “Studio2027!”. Non lo dico io: le linee guida del NIST statunitense sull’identità digitale (SP 800-63B, revisione 4, pubblicata il 31 luglio 2025) chiedono di non imporre regole di composizione né cambi periodici senza motivo, e indicano come lunghezza minima 15 caratteri quando la password è l’unico fattore di accesso.
Password lunghe, tutte diverse, per decine di servizi: a memoria è impossibile. Ed è qui che entra in gioco il password manager.
Cos’è un password manager e come funziona
Un password manager è una cassaforte digitale cifrata: conserva tutte le tue credenziali e le protegge con una sola password principale (la “master password”), possibilmente affiancata dall’autenticazione a due fattori. In pratica:
- genera password lunghe e casuali, diverse per ogni servizio;
- le compila da solo nel browser e nelle app, così non devi copiarle a mano;
- le sincronizza tra PC, portatile e smartphone;
- ti avvisa se una password è debole, riutilizzata o compare in un furto di dati noto.
C’è anche un vantaggio meno evidente: il riempimento automatico funziona solo sul sito vero. Se finisci su una pagina falsa che imita la tua banca, il password manager non propone la password, e questo è un campanello d’allarme utilissimo contro il phishing.
Le stesse linee guida NIST chiedono ai servizi online di permettere l’uso dei password manager, compreso il copia-incolla della password: segno che non sono più visti come un rischio, ma come parte della soluzione. Anche il Garante per la protezione dei dati personali dedica una pagina con i suoi consigli su password e conservazione.
Come scegliere un password manager per lo studio o la PMI
Per uso aziendale non basta la versione gratuita per privati. Ecco i criteri che uso quando consiglio uno strumento.
Cassaforti condivise e permessi
In ufficio molte credenziali sono comuni: il portale dell’Agenzia delle Entrate per gli adempimenti, il pannello del sito, il fornitore di energia. Serve la possibilità di creare cartelle condivise con permessi diversi: la segreteria vede le credenziali dei portali, solo il titolare quelle della banca.
Gestione centralizzata degli utenti
Una console di amministrazione permette di aggiungere un nuovo collaboratore in pochi minuti e, soprattutto, di togliere l’accesso quando qualcuno se ne va, senza dover cambiare a mano tutte le password che conosceva. È un passaggio chiave della checklist IT per gli ex dipendenti.
Sicurezza dell’architettura
- Cifratura “zero knowledge”: i dati vengono cifrati sul tuo dispositivo e il fornitore non è in grado di leggerli;
- autenticazione a due fattori per entrare nella cassaforte, meglio se con app o chiave di sicurezza;
- verifiche di sicurezza indipendenti pubblicate dal produttore;
- per il GDPR, chiarezza su dove sono conservati i dati e disponibilità del contratto di trattamento (DPA).
Facilità d’uso e procedura di emergenza
Se lo strumento è scomodo, i colleghi torneranno al foglio Excel. Conta che abbia estensioni per i browser usati in ufficio e app per smartphone. E chiedi sempre come funziona il recupero dell’accesso se un utente dimentica la master password: nelle soluzioni aziendali di solito esiste una procedura gestita dall’amministratore.
Sul mercato ci sono diverse soluzioni affidabili con piani business, come Bitwarden, 1Password o Keeper; i browser includono un gestore integrato, comodo per uso personale ma meno adatto a condividere credenziali e gestire utenti in un team.
Come introdurlo in ufficio in 6 passi
- Fai l’inventario: elenca i servizi usati dallo studio e chi deve accedere a cosa;
- scegli lo strumento e prova la versione di valutazione con una o due persone;
- crea le cassaforti condivise per aree (amministrazione, portali pubblici, fornitori, IT);
- importa e poi elimina i vecchi file: dopo l’importazione, il foglio Excel e il quaderno vanno distrutti, non archiviati “per sicurezza”;
- cambia le password più importanti, partendo da posta, banca e accessi amministrativi, sostituendole con password generate dal gestore;
- forma i colleghi con mezz’ora pratica: come salvare una password nuova, come usare il riempimento automatico, cosa fare se qualcosa non va.
Due regole da non dimenticare: la master password deve essere lunga e mai usata altrove (una frase di quattro o cinque parole è facile da ricordare e difficile da indovinare), e sulla cassaforte va sempre attivata l’autenticazione a due fattori.
Se preferisci che sia qualcuno a fare la scelta, la configurazione e la formazione al posto tuo, nella pagina come lavoro trovi come affronto questi progetti con studi e piccole aziende.
Domande frequenti
Mettere tutte le password in un unico posto non è rischioso?
Il rischio esiste, ma è molto più basso di quello di password riutilizzate o scritte su un foglio. La cassaforte è cifrata e, con master password robusta e autenticazione a due fattori, rubarla è molto difficile.
Il gestore di password del browser va bene?
Per uso personale è meglio di niente. In azienda mancano spesso condivisione controllata, permessi e gestione degli utenti che lasciano lo studio: per questo consiglio una soluzione business.
Ogni quanto devo cambiare le password?
Secondo le linee guida NIST più recenti, solo quando c’è un motivo: un sospetto di furto, un collaboratore che se ne va, un avviso del password manager. Più che il cambio frequente contano lunghezza e unicità.
Quanto costa un password manager aziendale?
I piani business si pagano di solito per utente all’anno, con costi contenuti per un piccolo team. Conviene confrontare le offerte aggiornate sui siti ufficiali dei produttori.