Guida alla sicurezza

Come verificare se una password è stata divulgata

Scopri modi sicuri per rispondere a possibili fughe di password senza incollare password reali in siti web non affidabili.

Riepilogo

Se sospetti che una password sia stata divulgata, la risposta più sicura è spesso sostituirla piuttosto che incollarla in siti sconosciuti. Un controllo delle fughe è utile solo quando il servizio ha un design affidabile per la privacy e tu capisci cosa viene inviato.

Usa il controllore di robustezza delle password per l’analisi locale dei pattern, ma non trattarlo come un database di violazioni.

Cosa fare prima

Cambia la password da un dispositivo fidato. Se la stessa password è stata riutilizzata, cambia ogni account interessato. Inizia con email, banca, lavoro, cloud storage e account di recupero del password manager.

Verifica lo stato dell’account

Revoca le sessioni attive, controlla le impostazioni dell’email e del telefono di recupero, rivedi le regole di inoltro, rimuovi l’accesso di app sospette e abilita MFA o passkey.

Guida dettagliata

Questa guida si concentra su come verificare se una password potrebbe essere apparsa in violazioni senza esporla incautamente. È scritta per utenti che hanno sentito parlare di una violazione e vogliono reagire in modo sicuro, quindi l’obiettivo pratico non è creare un’affermazione di sicurezza drammatica. L’obiettivo è scegliere un’abitudine per le password che possa sopravvivere all’uso quotidiano: moduli di accesso, password manager, tastiere mobili, recupero account, dispositivi condivisi e il servizio occasionale con strane regole di validazione. Una raccomandazione sicura è utile solo se una persona reale può seguirla coerentemente.

Il punto di partenza più sicuro è casualità più unicità. Casualità significa che il valore è selezionato da uno spazio ampio da una fonte casuale crittograficamente adeguata, non inventato da un compleanno, un nome di animale domestico, un pattern di tastiera o una citazione preferita. Unicità significa che la stessa password non viene usata altrove. Una password lunga ma riutilizzata può fallire rapidamente dopo una violazione non correlata, mentre una password unica e casuale limita il danno al singolo account in cui è stata usata.

Per questo argomento, un preset pratico è prima l’analisi locale dei pattern, poi servizi di allerta violazioni fidati quando necessario. Puoi applicare questo preset con il controllore di robustezza delle password e poi memorizzare il valore finale in un password manager fidato. PwdGen genera valori localmente nel browser con Web Crypto; la password generata non viene inviata a un server PwdGen. Questo design locale riduce l’esposizione lato server, ma non protegge da ogni minaccia. Un’estensione del browser dannosa, un dispositivo compromesso, una pagina di phishing o una gestione non sicura degli appunti possono ancora esporre un segreto dopo la generazione.

I problemi più comuni da evitare sono digitare password reali in siti sconosciuti, cercare password esatte nei log e presumere che nessun risultato significhi nessun rischio. Questi problemi contano perché gli aggressori raramente hanno bisogno di forzare ogni possibile password quando le abitudini umane danno loro una scorciatoia. Credential stuffing, phishing, elenchi di password divulgate e abuso del recupero account sono spesso più realistici di una pura ricerca matematica. Ecco perché il miglior consiglio combina la qualità della password con controlli a livello di account come MFA, passkey, archiviazione dei codici di recupero e revisione regolare delle impostazioni di email o telefono di recupero.

Usa questa checklist quando applichi la raccomandazione:

• Cambia le password riutilizzate dopo una violazione.
• Inizia con email e account di alto valore.
• Usa solo strumenti di notifica violazioni fidati.
• Non incollare mai una password sensibile in pagine casuali.

Se un sito web rifiuta l’impostazione ideale, non forzare la password in un pattern più debole manualmente. Regola una variabile alla volta. Se i simboli sono rifiutati, mantieni maiuscole, minuscole e numeri abilitati e aumenta la lunghezza. Se la lunghezza massima è bassa, usa la lunghezza accettata più grande e assicurati che il valore sia unico. Se una password deve essere letta ad alta voce, stampata o digitata su uno schermo TV o router, considera di escludere caratteri confondibili e aumentare la lunghezza per compensare l’alfabeto più piccolo.

Infine, ricorda il confine del consiglio sulle password. Una password forte è uno strato di difesa, non una garanzia. Non può rendere sicura una pagina di phishing, riparare malware o compensare un servizio che memorizza le credenziali in modo inadeguato. L’abitudine utile è noiosa ma duratura: genera un valore unico, conservalo in modo sicuro, proteggi il percorso di recupero e sostituiscilo rapidamente se sospetti un’esposizione.

Un prossimo passo sicuro

Dopo aver letto questa guida, fai un piccolo audit di un account invece di cercare di sistemare tutto in una volta. Scegli l’account che causerebbe più problemi se fosse preso in controllo, conferma che la sua password sia unica e controlla l’email di recupero, il telefono di recupero, il metodo MFA e l’archiviazione dei codici di backup. Se qualche parte di quella catena è debole, migliora quella parte prima di passare agli account a rischio più basso. Questo ordine mantiene il lavoro gestibile e protegge gli account che gli aggressori hanno più probabilità di usare come trampolino di lancio. Per come verificare se una password è stata divulgata, il miglior risultato è un’abitudine ripetibile: genera localmente, conserva con cura ed evita il riutilizzo.

Domande frequenti

Dovrei incollare la mia password in siti casuali di controllo fughe?

No. Usa solo servizi di controllo violazioni fidati con un design chiaro per la privacy, o cambia la password invece di testarla.

Cosa dovrei fare dopo una fuga?

Cambia la password interessata, cambia le password riutilizzate, revoca le sessioni, rivedi le impostazioni di recupero e abilita MFA.

PwdGen può controllare i database di violazioni?

No. PwdGen fornisce stime locali di robustezza e tempo di cracking, non una ricerca remota di password violate.