Aiuto tecnico
Quanto deve essere lunga una password nel 2026?
NIST ora richiede 15 caratteri per una password a fattore singolo. CISA raccomanda 16 o più, casuali e uniche. Vedi quale lunghezza usare nel 2026.
Per una password che crei oggi contano lunghezza, casualità e unicità. NIST SP 800-63-4 richiede che una password a fattore singolo abbia almeno 15 caratteri. Usata solo come parte di MFA, può essere più corta, con un minimo NIST di 8.
La guida per i consumatori di CISA raccomanda password di almeno 16 caratteri, casuali e uniche. Per un uso personale pratico, una password generata a caso di 16 caratteri o più è un buon punto di partenza quando il servizio lo consente.
Più lunga può aiutare, ma la lunghezza da sola non rende sicura una password prevedibile o riutilizzata. 15 o 16 caratteri non sono una garanzia di sicurezza.
Questo articolo risponde a quanto deve essere lunga una password nel 2026. Usa le regole attuali per i verifier di NIST SP 800-63-4 / SP 800-63B e il consiglio pubblico di CISA. Non è una guida completa di cybersecurity.
Allora, quanto deve essere lunga la mia password?
Se un password manager può salvarla, genera una password casuale e unica di 16+ caratteri. Usa una stringa casuale più lunga quando il servizio lo consente. Se devi memorizzarla, una passphrase lunga è spesso più pratica di una stringa corta con sostituzioni forzate. 16 non è infrangibile e 15 non è una garanzia.
Cosa richiede NIST nel 2026?
NIST SP 800-63-4 dice ai verifier cosa richiedere, non uno slogan personale. Una password a fattore singolo deve avere almeno 15 caratteri. Se è usata solo come parte di MFA, può essere più corta, ma il minimo resta 8. I verifier SHOULD accettare almeno 64 caratteri. SHALL NOT richiedere un mix forzato di tipi di caratteri né cambi periodici senza evidenza di compromissione. Le password comuni o trapelate andrebbero bloccate.
Cosa raccomanda CISA?
La guida Secure Our World di CISA è più semplice per le persone: rendi le password lunghe (almeno 16 caratteri), casuali e uniche, e usa un password manager. Questo non contraddice NIST. Il 15 di NIST è un requisito del verifier per il fattore singolo. Il 16+ di CISA è una raccomandazione pubblica pratica.
8 vs 12 vs 16 caratteri: la lunghezza conta davvero?
La lunghezza conta, ma i «tempi di crack» pubblicati no. Quei tempi cambiano con hardware, hash, casualità, modello di attacco e come viene memorizzata la password.
| Lunghezza | Vista pratica |
|---|---|
| 8 | Troppo corta come raccomandazione generale per una nuova password a fattore singolo. NIST consente 8 solo come minimo quando la password è usata unicamente come parte di MFA. |
| 12 | Meglio delle password legacy corte, ma sotto il minimo attuale NIST a fattore singolo, che è 15. |
| 15 | Minimo attuale NIST a fattore singolo per i verifier. |
| 16+ | Coincide con la raccomandazione pubblica semplice di CISA ed è un punto di partenza ragionevole per le password generate. |
La lunghezza è più importante della complessità?
Le indicazioni attuali preferiscono abbastanza lunghezza e una buona scelta rispetto a regole di composizione prevedibili. Un schema come una parola comune più «1!» può restare indovinabile anche con tipi misti. I caratteri speciali non sono inutili: in una password generata a caso, un insieme più ampio può aggiungere combinazioni. Il nucleo è casualità, lunghezza e unicità.
Una password lunga può comunque essere debole
Un valore lungo può restare debole se è prevedibile, una frase comune, riutilizzato o basato su informazioni personali. Ripetere lo stesso carattere molte volte è lungo, non forte. Non riutilizzare una frase che tutti già conoscono.
Perché ogni account dovrebbe avere una password diversa
Se un servizio perde una password e l’hai riutilizzata, gli altri account che la condividono sono a rischio. Ogni account ha bisogno della propria. Provare coppie trapelate su altri siti (credential stuffing) è comune. Password uniche limitano quel danno.
Dovresti usare un password manager?
NIST chiede ai verifier di consentire password manager e compilazione automatica. Anche CISA raccomanda un manager. Non devi memorizzare una password casuale unica per ogni sito. Questo articolo non raccomanda un prodotto specifico.
Password o passphrase?
Se un manager memorizza il valore, una password casuale generata è comoda. Se devi ricordarla, una passphrase lunga di più parole può essere più pratica. Evita citazioni famose, testi di canzoni, frasi comuni e dettagli personali. Questa è una nota breve, non una guida completa alla passphrase.
Le password servono maiuscole, numeri e simboli?
NIST dice che i verifier SHALL NOT richiedere un mix di tipi di caratteri. Un sito che impone una maiuscola, un numero e un simbolo non segue quella direzione. Un generatore casuale può comunque usare un insieme ampio, e va bene. I simboli non indeboliscono le password.
Dovresti cambiare le password ogni 90 giorni?
NIST dice che i verifier SHALL NOT richiedere cambi periodici arbitrari salvo evidenza di compromissione. Cambia la password se è trapelata, se l’account è stato compromesso o se il servizio te lo chiede. Non è «non cambiare mai le password».
MFA rende la lunghezza della password poco importante?
No. MFA aggiunge protezione. Non rende facoltativa l’igiene delle password. NIST può consentire un minimo di 8 caratteri quando la password è usata solo come parte di MFA. Non è una raccomandazione generale di usare password di 8 caratteri.
Cosa la lunghezza non può fermare
Una password molto lunga non ferma ogni attacco. La lunghezza da sola non ferma phishing, malware o keylogging, ingegneria sociale o un dispositivo compromesso. MFA, aggiornamenti software e attenzione al phishing restano importanti. Questo articolo resta sulla lunghezza della password.
Una password forte è lunga, casuale e unica. Usa un password manager quando puoi e attiva MFA quando è disponibile.
Una guida semplice per decidere la lunghezza
Serve una nuova password di account? Se un password manager può salvarla, genera una password casuale unica: 16+ caratteri è un inizio pratico, più lunga se supportata. Se devi memorizzarla, usa una passphrase lunga e unica ed evita frasi comuni. Poi attiva MFA quando disponibile.
- Serve una nuova password di account?
- Un password manager può salvarla?
- Sì → password casuale unica, 16+ (più lunga se consentito)
- No → passphrase lunga e unica; evita frasi comuni
- Attiva MFA quando disponibile
Genera una password lunga e casuale nel browser
NEXNARA Generatore di password può creare una password, una passphrase o un PIN. Questo articolo riguarda le password di account, non i PIN del dispositivo. Un PIN è un segreto diverso e più corto, e non è la stessa raccomandazione.
Modalità password: lunghezza 4–128, predefinito 16. Scegli le classi di caratteri, escludi caratteri ambigui o escludi caratteri personalizzati. Genera 1, 5, 10 o 20 valori, poi copia o scarica un file TXT.
La modalità passphrase usa la grande lista di parole inglesi di EFF (7776 parole): 3–8 parole, predefinito 5, con separatore, maiuscole e un numero opzionale.
La generazione usa il generatore di numeri casuali crittograficamente sicuro del browser (crypto.getRandomValues), con campionamento per rifiuto a 32 bit e un rimescolamento sicuro. Math.random non viene usato. L’entropia mostrata è una stima da set di caratteri e lunghezza (o dimensione della lista e numero di parole), non una misura di password umane né una promessa che non si possa indovinare.
La generazione avviene nel tuo browser. I valori non vengono inviati a un server NEXNARA per questo strumento. Annunci e altre funzioni del sito usano ancora la rete.
Ti serve una password casuale di 16 caratteri per partire? Apri Generatore di password e generane una che memorizzerai, non riutilizzerai.
FAQ
Quanto deve essere lunga una password nel 2026?
NIST richiede almeno 15 caratteri per una password a fattore singolo. CISA raccomanda almeno 16 casuali e uniche. 16+ caratteri generati sono un solido inizio pratico quando il servizio lo consente. Non è una garanzia.
Una password di 12 caratteri è abbastanza lunga?
È meglio di una password legacy corta, ma è sotto il minimo attuale di 15 caratteri a fattore singolo di NIST. Preferisci 16+ quando puoi.
Una password di 16 caratteri è sicura?
16 caratteri casuali e unici sono un inizio ragionevole. Non è automaticamente sicura. Valori di 16 caratteri prevedibili o riutilizzati restano deboli.
Le password più lunghe sono sempre migliori?
Password più lunghe, casuali e uniche di solito aggiungono combinazioni. Un valore più lungo ma prevedibile o riutilizzato non è automaticamente migliore.
Mi servono numeri e caratteri speciali nella password?
NIST dice ai servizi di non richiedere un mix forzato. Un generatore casuale può comunque includerli. I simboli non sono obbligatori per essere «forti» e non sono inutili.
Devo cambiare la password ogni 90 giorni?
NIST dice di non richiedere cambi periodici arbitrari senza evidenza di compromissione. Cambiala dopo una fuga, una compromissione o un avviso del servizio, non per un calendario vuoto di 90 giorni.