Verifica password: quanto è sicura la tua password?

Dipende soprattutto dalla lunghezza, dalla casualità e dalla presenza di schemi riconoscibili. Il verificatore di password classifica la tua password in cinque livelli, da «Molto debole» a «Molto forte». Per esempio, passwort123 è «Molto debole» e viene individuata subito se il suo hash viene rubato; anche Sommer1987! resta molto debole nonostante il carattere speciale. Una password casuale come kT9#mQ2$vL8!pX4z è «Molto forte».

La verifica avviene solo nel tuo browser: nessuna richiesta a un server, nessun salvataggio, nulla nell'URL e nessuna registrazione. Finché la password è nascosta, anche le parti riconosciute restano mascherate. Ti consigliamo comunque di testare una password simile invece di quella vera.

Il verificatore stima quanti tentativi servirebbero a un malintenzionato e li divide per la frequenza degli attacchi: 100 all'ora per un accesso online con blocco, 10.000 al secondo per un hash bcrypt rubato e 10 miliardi al secondo per un hash veloce come MD5. Oltre 13,8 miliardi di anni mostra «più dell'età dell'universo». Sono stime, non garanzie.

L'entropia in bit si applica se ogni carattere è scelto a caso. La robustezza effettiva sottrae il vantaggio che gli schemi riconosciuti offrono a un aggressore. La differenza tra i due valori mostra quanto gli schemi riducono la robustezza.

Password e parole comuni, anche con maiuscole o sostituzioni come 0 al posto di o, sequenze di lettere simili a parole, schemi sulla tastiera, sequenze come abc o 1234, ripetizioni, anni e date. L'elenco di parole integrato è limitato e contiene soprattutto termini inglesi e tedeschi. Le altre parole vengono valutate in base al loro suono, quindi la stima per queste è più ottimistica.

Lo strumento consiglia almeno 14 caratteri o una passphrase composta da quattro o più parole casuali. La passphrase Gartenzaun-Wolkenmeer-Teekanne-Bleistift risulta «Molto sicura», mentre la breve ma complessa Tr0ub4dor&3 è solo «Media». Per email, password manager e accessi ai server, da 16 a 20 caratteri sono una buona scelta. La tabella dei tempi di violazione qui sopra mostra quanto conta ogni carattere in più.

No. Per confrontare la password con i dati delle violazioni bisognerebbe trasmettere la password o il suo hash, e questo strumento non lo fa. Ne valuta solo la robustezza e le caratteristiche direttamente nel tuo browser.

Segui i suggerimenti visualizzati, per esempio aumenta la lunghezza ed evita parole, anni e sequenze da tastiera. Se il risultato è inferiore a «Molto forte», il pulsante «Genera una password forte» ti porta al generatore di password, che ne crea una nuova casuale.