Un account di lavoro raramente vive da solo. L’indirizzo di posta può reimpostare la password del gestionale; il gestore del dominio controlla il sito; l’archivio cloud contiene i documenti necessari per dimostrare chi sei a un nuovo fornitore; il numero telefonico riceve codici di verifica. Se una persona perde un dispositivo o lascia un’organizzazione, la domanda non è soltanto «qual è la password?». È: quali passaggi consentono di rientrare, chi può autorizzarli, quali altri accessi dipendono da questo e come si revocano quelli che non servono più?
Password manager, passkey e recupero account rispondono a problemi collegati ma diversi. Il primo aiuta a non riutilizzare segreti e a custodirli; la seconda sostituisce la password in alcuni servizi con una credenziale crittografica; il terzo è il percorso con cui un servizio ristabilisce l’accesso quando i mezzi ordinari sono persi. Scambiarli per tre versioni della stessa cosa porta a un piano fragile: una credenziale molto forte può risultare inutile se il canale di recupero è debole, e una cassaforte ben organizzata può diventare un punto critico se l’unica chiave per aprirla è indisponibile.
Disegnare la mappa prima di scegliere lo strumento
Per un freelance, un piccolo studio o una persona che gestisce più progetti, una mappa utile non deve diventare un catalogo di ogni servizio mai usato. Comincia dai nodi che possono ripristinare altri accessi o causare un danno ampio. Di solito meritano una prima riga la posta principale, l’identità usata per accedere a più strumenti, il registrar del dominio, l’archivio dei file, il sistema di fatturazione e i canali che permettono di recuperare il numero telefonico. Poi aggiungi gli account che pubblicano o amministrano contenuti e quelli che custodiscono dati dei clienti.
Immagina un’attività ipotetica in cui la casella principale riceve i link di reimpostazione, un’identità cloud fornisce l’accesso al calendario e ai documenti, e il registrar del dominio controlla gli indirizzi che i clienti usano per contattarla. Se la casella viene sottratta, un intruso può tentare di raggiungere gli altri due nodi. Se il dominio scade, la posta può smettere di funzionare e le verifiche via email diventano inutili. Se invece viene perso un account social, il danno può essere visibile ma non necessariamente permette di riprendere il controllo degli strumenti amministrativi. Questa distinzione suggerisce priorità diverse: protezione e recupero dei nodi di identità prima degli account periferici.
La mappa può stare in un documento accessibile soltanto alle persone autorizzate e non deve contenere password in chiaro. Per ogni account registra il titolare, lo scopo, il livello di impatto se indisponibile, il metodo principale di accesso, i metodi alternativi, il contatto amministrativo e la procedura di revoca. Il documento descrive dove sono le credenziali e chi le amministra, non le credenziali stesse. Per gli accessi condivisi, annota se il servizio offre utenti separati o ruoli: usare un login comune per tutto il team cancella la distinzione fra «chi può entrare» e «chi ha fatto cosa».
Questo inventario non è un esercizio burocratico. Aiuta a stabilire che cosa va verificato oggi e che cosa può aspettare. Un account di prova mai più usato può essere chiuso; un vecchio indirizzo che compare come email di recupero va sostituito; un amministratore che ha cambiato ruolo deve perdere i privilegi non più necessari. Un controllo trimestrale, o quando cambia una persona o un dispositivo, è spesso più pratico di una revisione totale ogni volta che si sente parlare di una nuova minaccia.
Che cosa aggiunge un password manager
Una password diversa per ogni servizio riduce il rischio che una password sottratta da un sito venga provata su altri. Il problema è ricordarne decine, soprattutto quando devono essere casuali e non correlate a nomi, date o progetti. Un password manager risolve il problema operativo generando password uniche e conservandole in una cassaforte cifrata, così che la persona debba ricordare un numero ridotto di segreti e usare il riempimento automatico quando possibile. NIST, nelle linee guida per l’autenticazione remota dei credential service provider (CSP), richiede ai verificatori nel proprio ambito di consentire password manager e autofill, e raccomanda che sia possibile incollare la password quando il riempimento automatico non funziona. Non è una norma universale per tutti i siti: chiarisce però perché bloccare l’incolla o costringere a inventare una password memorabile peggiora l’usabilità senza offrire un vantaggio equivalente (NIST SP 800-63B).
Il gestore non rende ogni passaggio sicuro per magia. Crea un punto di concentrazione: se la cassaforte non è raggiungibile, molti login diventano più complicati; se il segreto principale o il processo di recupero vengono compromessi, l’impatto può essere ampio. Questo non è un motivo per tornare a riutilizzare la stessa password. È una ragione per scegliere consapevolmente come si sblocca la cassaforte, come si recupera l’account del gestore, quali dispositivi possono farlo e dove si conserva un eventuale codice di emergenza. Le funzioni e le garanzie cambiano fra servizi, piani e configurazioni: vanno controllate nei documenti del prodotto scelto, senza dedurre che ogni gestore usi lo stesso modello.
Per una persona sola, la decisione può ruotare attorno alla disponibilità offline, al supporto dei dispositivi effettivamente usati e alla procedura per passare a un nuovo telefono. Per una squadra, entrano in gioco anche amministrazione, revoca degli accessi e separazione fra segreti personali e condivisi. In entrambi i casi conviene fare una prova non distruttiva: salvare una credenziale di test, verificare che venga proposta sul dominio corretto, usare il flusso di esportazione previsto per capire che cosa contiene e cancellare il test. Non serve esportare l’intero archivio per conservarne una copia: un file esportato in chiaro, dimenticato nella cartella Download, può vanificare la cifratura della cassaforte.
Quando si attiva un gestore, si può trasferire gradualmente le password più importanti e cambiare prima quelle riutilizzate o esposte in servizi con conseguenze serie. Evita di affrontare la migrazione come una gara a sistemare tutto in un pomeriggio: un processo sostenibile assegna una priorità agli account di posta, amministrazione, pagamenti e archiviazione, poi procede agli altri. Dopo ogni cambio, verifica l’accesso da un dispositivo secondario già autorizzato e aggiorna l’inventario. Se l’accesso fallisce, fermarsi e capire il motivo è meglio che cancellare subito il vecchio metodo.
La passkey non è una password salvata
Una passkey è una credenziale basata su una coppia di chiavi crittografiche, registrata per uno specifico servizio. Durante la registrazione il servizio conserva la parte pubblica; l’autenticatore che gestisce la passkey usa la parte privata per dimostrare il possesso durante il login, con il consenso dell’utente. La specifica W3C WebAuthn descrive credenziali a chiave pubblica limitate a una relying party: una credenziale registrata per un dominio può essere usata con l’entità corrispondente a quell’identificatore, dettaglio alla base del legame fra credenziale e sito (W3C WebAuthn).
Quel legame riduce la possibilità che una pagina falsa raccolga una password riutilizzabile: il browser non consegna la chiave privata al sito, e il protocollo verifica il contesto del servizio. NIST considera WebAuthn un esempio di autenticazione con resistenza al phishing attraverso il legame con il nome del verificatore (NIST SP 800-63B, sezione sulla resistenza al phishing). La proprietà riguarda il protocollo nel flusso di accesso; non protegge un dispositivo già controllato da malware, non impedisce a una persona di approvare una richiesta che non capisce e non dimostra che il servizio stesso sia affidabile.
In pratica, il gesto visibile può essere una verifica locale tramite PIN, impronta o riconoscimento del dispositivo. Questi metodi autorizzano l’uso dell’autenticatore: non sono necessariamente dati biometrici inviati al sito. Le implementazioni però differiscono. Una passkey sincronizzata può essere disponibile su più dispositivi associati allo stesso account di piattaforma; una credenziale legata a un singolo dispositivo o a una chiave fisica può richiedere un percorso diverso per sostituirla. NIST segnala che la sincronizzazione introduce domande proprie, perché la copia e il recupero delle chiavi possono dipendere da un’infrastruttura cloud e dalla relativa procedura di recupero. Perciò la parola «passkey» non basta a descrivere la resilienza: occorre capire dove è conservata e come se ne ottiene una seconda.
Una chiave di sicurezza fisica può costituire una credenziale di riserva per servizi compatibili. Prima di affidarsi a essa, controlla se l’account consente di registrare più autenticazioni, quali interfacce supporta e se la procedura funziona con i dispositivi usati. Conservare la seconda chiave nello stesso portafoglio della prima significa avere una copia soltanto sulla carta. Una collocazione separata e controllata è più utile, purché sia accessibile alle persone autorizzate e non diventi una chiave dimenticata in un cassetto senza inventario.
La scelta fra password manager, passkey e chiave fisica non è una gara per stabilire il vincitore assoluto. Il manager aiuta con password diverse e con la loro gestione; la passkey elimina la password nel servizio che la supporta e può legare il login al sito; la chiave fisica offre un autenticatore concreto che può restare indipendente dal telefono. Alcuni gestori conservano anche passkey, ma il supporto e la portabilità dipendono dall’implementazione. Per una persona che lavora fra più sistemi, una combinazione ragionevole può essere usare passkey dove sono supportate e desiderate, mantenere un password manager per servizi che richiedono password e predisporre un metodo alternativo per gli account che non possono restare inaccessibili durante un viaggio o una sostituzione del computer.
Il recupero è parte dell’autenticazione
L’accesso ordinario è la porta principale; il recupero è la porta che si apre quando quella porta è bloccata. NIST definisce il recupero dell’account come il ripristino dell’accesso quando la persona perde gli autenticatori richiesti, con possibilità di usare codici di recupero, contatti predisposti o una nuova verifica dell’identità. La procedura può essere meno comoda e più lenta proprio perché si usa raramente e deve affrontare un contesto diverso dal login abituale (NIST SP 800-63B, account recovery). Questo è un riferimento tecnico per le identità digitali, non una promessa che ogni servizio commerciale applichi gli stessi requisiti.
Per ogni account centrale, apri la sezione di sicurezza e trasforma il recupero da sorpresa a informazione concreta. Quale indirizzo riceve le comunicazioni? Chi controlla quell’indirizzo? Il numero di telefono è ancora attivo? Esiste un codice di recupero e dove dovrebbe essere conservato? Si può aggiungere un secondo dispositivo o una seconda chiave? Un contatto di emergenza può intervenire, e che cosa gli viene chiesto? Le risposte non vanno lasciate soltanto nella memoria di chi ha creato l’account. Documenta le istruzioni senza copiare i codici segreti nello stesso spazio non protetto che contiene l’inventario.
Per un’attività con due persone, un esempio ipotetico può essere preparare due amministratori nominativi per il servizio principale, con autenticazione indipendente e avvisi sulle modifiche di sicurezza. Non è opportuno creare un solo account condiviso chiamato “admin” e conservare la sua password nel documento comune: diventa difficile capire chi l’ha usato e come revocare una persona senza cambiarla per tutti. Se il servizio non offre ruoli separati, registra questa limitazione, riduci il numero di persone che conoscono la credenziale e concorda chi può accedere durante un’emergenza. La soluzione imperfetta va resa visibile e riesaminata quando lo strumento o le dimensioni del gruppo cambiano.
Il numero di telefono merita un controllo separato. Un SMS può essere un metodo di recupero o verifica previsto da un servizio, ma la possibilità che un numero sia trasferito, riemesso o non più controllato rende rischioso trattarlo come unica prova di titolarità. Mantieni aggiornati i metodi indicati dal servizio e proteggi l’account dell’operatore secondo le opzioni disponibili, ma non assumere che aggiungere un telefono equivalga ad aggiungere una passkey o un secondo fattore indipendente. Dove il servizio permette più opzioni, considera quale canale sarebbe ancora accessibile se il telefono fosse perso insieme al computer.
Prima di cancellare un vecchio dispositivo, aggiungi e verifica il metodo sostitutivo. La sequenza è importante: registrare una nuova passkey, confermare che funzioni, controllare il metodo di recupero, poi rimuovere la vecchia credenziale. Per un password manager vale lo stesso principio: prima di dismettere il telefono, accertati di poter sbloccare il vault sul nuovo dispositivo o tramite la procedura ufficiale. Un piano di continuità non si prova togliendo l’unico mezzo utile a metà della giornata lavorativa, ma può essere controllato con un dispositivo secondario o con la documentazione del fornitore.
Un controllo pratico per i prossimi trenta minuti
Apri la mappa e scegli i tre account che, se bloccati, fermerebbero più lavoro o permetterebbero di raggiungere altri account. Per ognuno verifica l’email e il numero di recupero, controlla l’elenco delle sessioni e dei dispositivi, rimuovi gli accessi che non riconosci solo dopo aver verificato che non siano un tuo dispositivo rinominato, e individua un metodo alternativo. Poi verifica l’account che controlla la posta: un indirizzo di recupero non aiuta se la casella che lo ospita è essa stessa irraggiungibile.
Non cambiare ogni password in modo indiscriminato. Se una password è unica, lunga, conservata nel manager e non ci sono segnali di compromissione, una rotazione periodica non è automaticamente un miglioramento. NIST raccomanda di non imporre cambi arbitrari e di forzare il cambio quando ci sono prove di compromissione; in questo contesto la distinzione è fra manutenzione motivata e rituale senza un rischio identificato (NIST, indicazioni sulle password). Se emerge una password riutilizzata o un accesso sospetto, la risposta è invece specifica: cambiare quel segreto, revocare sessioni e metodi che non si riconoscono, controllare gli account collegati e seguire la procedura ufficiale del servizio.
Infine, pianifica chi può intervenire se la persona titolare è indisponibile. La risposta può essere semplicemente «nessun altro deve poter leggere i messaggi, ma un collega deve poter rinnovare il dominio». In tal caso la soluzione è assegnare un ruolo amministrativo separato e documentare il rinnovo, non condividere la casella personale. Al contrario, se un account contiene dati che devono restare privati, è opportuno mantenere accessi individuali e una procedura che consenta il recupero senza trasformare la continuità aziendale in sorveglianza.
Un sistema ben organizzato accetta che ogni metodo abbia un costo: la cassaforte richiede attenzione sul suo accesso principale; le passkey dipendono da compatibilità, sincronizzazione o disponibilità dell’autenticatore; i codici di recupero devono rimanere segreti ma reperibili; un account amministrativo aggiuntivo va protetto e riesaminato. Il risultato è un lavoro meno dipendente dalla fortuna quando un telefono scompare o una persona cambia ruolo.
Fonti e approfondimenti
- NIST SP 800-63B, Digital Identity Guidelines: Authentication and Lifecycle Management — consultato il 25 ottobre 2026. Riferimento per password manager, autofill, autenticazione resistente al phishing, credenziali WebAuthn e procedure di recupero.
- W3C, Web Authentication: An API for accessing Public Key Credentials, Level 3 — consultato il 25 ottobre 2026. Specifica le credenziali a chiave pubblica e il legame della credenziale al relying party.
- NIST, Digital Identity Guidelines Implementation Resources: FAQ — consultato il 25 ottobre 2026. Chiarisce i requisiti della revisione 4 sull’uso di password manager e riempimento automatico.