Proteggere i propri account online richiede tre strumenti che lavorano insieme: una password robusta e unica, la verifica in due passaggi e, dove disponibile, la passkey. Presi singolarmente hanno limiti; combinati offrono una protezione solida anche quando una credenziale viene esposta. Ecco come funzionano e come usarli nel modo giusto.
La password: lunga, unica, gestita
Una password efficace è lunga e diversa per ogni servizio. Una frase di tre o quattro parole poco collegate tra loro è più robusta di molte sequenze complicate e più facile da ricordare. Il problema vero non è la complessità, ma il riutilizzo: una password uguale ovunque viene provata automaticamente su altri siti dopo ogni violazione. Un gestore di password risolve il problema generandone e conservandone una diversa per ogni account.
La verifica in due passaggi
Aggiunge un secondo elemento al login, di solito un codice generato da un’app di autenticazione, una conferma sul telefono o una chiave di sicurezza fisica. Anche se la password è stata rubata, l’accesso resta bloccato. Le app di autenticazione sono più sicure dei codici via SMS, che possono essere dirottati. Attivala sull’email per prima, perché la posta è la chiave per recuperare gli altri account.
La passkey
Una passkey sostituisce la password con una coppia di chiavi crittografiche: la parte privata resta sul dispositivo, quella pubblica sul servizio. L’accesso avviene con impronta o codice del dispositivo, e la credenziale funziona solo sul sito per cui è stata creata. Questo la rende resistente al phishing: una pagina falsa non riceve nulla di utile. Non tutti i servizi la supportano ancora, ma la diffusione cresce.
Come combinarli
- Usa un gestore di password per generare e conservare password uniche.
- Attiva la verifica in due passaggi su email, banca e social.
- Passa alla passkey dove il servizio la offre, mantenendo un metodo di recupero funzionante.
- Conserva i codici di recupero in un luogo sicuro, separato dal telefono.
Errori da evitare
Non attivare la verifica via SMS come unico metodo se esistono alternative migliori. Non conservare i codici di recupero nella stessa email che ti serve per accedere. E non fidarti di un messaggio che chiede di confermare un accesso che non hai avviato: è un segnale di attacco.
Un primo passo
Parti dalla email, poi banca e servizi finanziari, poi social e spazio cloud. Un account protetto al giorno, e in poche settimane il livello di sicurezza sarà molto diverso.