Generatore di policy per password

Questo strumento ti aiuta a scrivere una policy per password coerente partendo da tre modelli e una decina di impostazioni. È pensato per amministratori, responsabili della sicurezza e sviluppatori che devono documentare o implementare regole, e produce una sintesi leggibile e una configurazione JSON.

Il riferimento attuale è NIST SP 800-63B-4, pubblicato a luglio 2025: almeno 15 caratteri quando la password è l’unico fattore di autenticazione, 8 quando è richiesto un secondo fattore, supporto di almeno 64 caratteri, nessuna regola di composizione per classi di caratteri e nessun cambio periodico di routine. Richiede inoltre di rifiutare password comuni, compromesse o legate al contesto e di limitare a non più di 100 i tentativi falliti consecutivi. I modelli seguono ora questi principi: Bilanciato usa 15 caratteri senza regole di composizione, senza scadenza forzata e con una soglia di 10 errori; Rigoroso passa a 20 caratteri e una soglia di 5; Passphrase usa 24 caratteri senza regole di composizione. La cronologia resta disponibile per le organizzazioni che ne hanno bisogno, ma non viene trattata come requisito NIST.

I valori sono limitati agli intervalli dello strumento: lunghezza minima da 6 a 128, cronologia da 0 a 50, scadenza da 0 a 3650 giorni e soglia di errori da 0 a 100. Il livello stimato è indicativo e non costituisce una certificazione NIST: premia un minimo di 15 caratteri, aggiunge un bonus da 20, valorizza il blocco delle password comuni e dei dati personali evidenti, l’assenza di scadenza periodica, un limite di tentativi configurato e l’uso delle passphrase. I requisiti di maiuscole, minuscole, numeri o simboli riducono invece il punteggio perché il NIST li vieta; la cronologia è neutra. Gli avvisi compaiono per qualsiasi scadenza forzata, una lunghezza inferiore a 15 caratteri, regole di composizione o l’assenza del blocco delle password comuni.