Password: sceglierle bene e non perderle

Una password è come la chiave di casa: se la perdi, qualcuno può entrare. Con le chiavi vere te ne accorgi. Con le password no. Per questo vale la pena sceglierle bene, una volta sola.

Come funziona una password

Quando apri un servizio ti servono due cose: il nome utente, cioè chi sei, e la password, cioè la prova che sei tu. Vale per la posta, per la banca, per un social. Il computer confronta quello che scrivi con quello che ha registrato quando ti sei iscritto.

Una regola vale sempre: nessun ente serio ti chiede la password per email, al telefono o con un SMS. Non la banca, non le Poste, non l'INPS. Se qualcuno la chiede, sta provando a rubartela.

La lunghezza conta più dei simboli

«Marco1980!» sembra sicura: ha una maiuscola, dei numeri, un simbolo. In realtà è tra le prime che un programma prova, perché nome e anno di nascita si trovano sui social con una ricerca.

Quello che conta è la lunghezza: ogni carattere in più moltiplica le combinazioni. Una frase di parole comuni è più robusta di otto lettere a caso. Si chiama frase d'accesso, e funziona così: tre o quattro parole unite da trattini.

Una frase così è lunga, si scrive in fretta e si ricorda con un'immagine. Evita invece i dati personali: nome, compleanno, nome del cane, squadra del cuore. Sono le prime cose che un estraneo prova.

Una password diversa per ogni servizio

La stessa password per la posta e per la banca è comoda, ma pericolosa. Se un sito qualsiasi viene violato, qualcuno prova quella coppia di nome utente e password sugli altri servizi. Una sola porta debole apre tutte le stanze.

Il problema è ricordarle. Qui aiuta il gestore di password: un programma che le ricorda al posto tuo, dentro una cassaforte chiusa da una sola password principale. Si installa sul computer o sul telefono, oppure si usa quello del browser. Tu ne ricordi una, lui tutte le altre.

Il secondo controllo: il codice OTP

Anche la password migliore può finire nelle mani sbagliate. Per questo molti servizi chiedono un secondo codice: si chiama autenticazione a due fattori, e nell'app compare come «verifica in due passaggi».

Il codice si chiama OTP: è usa e getta, vale pochi minuti e arriva per SMS o dentro un'app. Se qualcuno ha la password ma non il telefono, non entra. Attivala prima su posta, banca e account del telefono.

Il PIN del telefono è dello stesso genere: quattro o sei cifre che sbloccano lo schermo. Non usare 0000, 1234 o la data di nascita.

Se la password è stata rubata

Può succedere, e non è una vergogna. Se sospetti che qualcuno conosca una tua password:

1. Cambiala subito, dal sito ufficiale, da un dispositivo che usi di solito.
2. Controlla gli accessi recenti: quasi tutti i servizi mostrano da dove sono entrati. Se vedi un posto che non riconosci, esci da tutte le sessioni.
3. Cambia anche le altre dove usavi la stessa, a partire dalla posta elettronica: chi entra nella posta può resettare tutto il resto.
4. Avvisa la banca se la password riguardava carta o conto.

Anche le domande di sicurezza — il nome del primo animale, la città di nascita — hanno risposte che spesso sono pubbliche. Scegline una inventata ma memorabile.