Vai al contenuto principale
Bethemesh
Sicurezza e privacy

Verificatore di robustezza della password

Analizza una password in tempo reale mentre digiti: entropia stimata, penalità per password comuni, sequenze di tastiera, ripetizioni, sequenze e date, livello da molto debole a molto forte, tempo di violazione online e offline e consigli concreti. Nulla esce dal tuo browser.

  • Appunti

Integra questo widget

Personalizza il risultato, controlla l’anteprima e copia il codice.

Anteprima

Tipo di codice di integrazione

Codice da copiare

Responsive e ridimensionato automaticamente da Bethemesh.

Stima locale: la password non viene inviata né confrontata con violazioni di dati. Usa una password diversa per ogni servizio.

Questo strumento ti è stato utile?

Come funziona questo strumento?

Questo verificatore stima la robustezza di una password mentre la digiti, tenendo conto degli schemi che gli attaccanti provano per primi. È pensato per chi vuole valutare una password prima di usarla e per i team che fanno formazione sulla sicurezza, con un livello, un’entropia, un tempo di violazione e dei consigli.

Lo strumento calcola prima un’entropia di base con la formula lunghezza × log2(dimensione dell’alfabeto), ricavando l’alfabeto dai tipi presenti: 26 minuscole, 26 maiuscole, 10 cifre e i simboli. Poi penalizza gli schemi prevedibili: presenza nell’elenco delle password più comuni, sequenze di tastiera come qwerty, azerty o 12345, caratteri ripetuti (aaaa), sequenze alfabetiche o numeriche (abcd, 6789), anni e date. Così Qwerty2024! ha 11 caratteri e 4 tipi, ma combina una sequenza di tastiera e un anno, due elementi che i dizionari d’attacco provano subito, e la sua stima crolla. Il risultato è un livello da molto debole a molto forte, con l’entropia stimata in bit.

Il tempo di violazione è il numero di combinazioni (2 elevato all’entropia) diviso per una velocità di tentativi, in due scenari. Online, l’attaccante passa dal modulo di accesso, limitato a pochi tentativi al secondo dal rate limiting o dal blocco dell’account. Offline, ha rubato un database di hash veloci (MD5, SHA-1, SHA-256 senza sale) e prova 10 miliardi di password al secondo, l’ordine di grandezza di una macchina di cracking con GPU. Una password casuale di 8 minuscole (circa 2 × 10¹¹ combinazioni) resiste quindi secoli online, ma una ventina di secondi offline. È una stima, non una garanzia: lo strumento non controlla se la password compare in una violazione di dati, perché non effettua chiamate di rete.

Come usare questo strumento

  1. Inserisci la password

    Digita o incolla la password nel campo mascherato; usa il pulsante mostra/nascondi per controllare ciò che hai scritto. L’analisi si aggiorna a ogni carattere.

  2. Leggi la diagnosi

    Guarda il livello (da molto debole a molto forte), l’entropia stimata in bit e i due tempi di violazione: attacco online limitato e attacco offline a 10 miliardi di tentativi al secondo.

  3. Applica i consigli

    Segui i suggerimenti mostrati, per esempio allungare la password o togliere un anno o una sequenza di tastiera, poi riprova finché il livello è soddisfacente.

Stima dell’entropia

Stima dell’entropia

H = bit dei punti deboli rilevati + caratteri non coperti × log₂(dimensione dell’insieme di caratteri)

Casi d’uso

Convalidare una password principale

Prima di adottare la password principale del tuo password manager o dell’accesso al computer, verifica che raggiunga il livello molto forte e che non si basi su sequenze di tastiera o date personali.

Tenere una sessione di sensibilizzazione

Mostra dal vivo perché Password2024! o Qwerty123 cadono in pochi secondi offline mentre una lunga passphrase resiste, per convincere i colleghi a cambiare abitudini.

Confrontare due strategie di password

Prova una password corta piena di sostituzioni, come Tr0ub4dor&3, accanto a una passphrase di quattro parole casuali per vedere quale vince davvero in entropia e tempo di violazione.

Esempi

Rileva una password comune

Input

Password da valutare: password

Risultato

Lunghezza: 8 caratteri; minuscole: sì; maiuscole: no; cifre: no; simboli: no; Punti deboli rilevati: Una delle password più usate; entropia stimata: 10 bit; Consigli: Allungala: punta ad almeno 15 caratteri quando la password è l’unico fattore di autenticazione. Dai priorità a lunghezza e imprevedibilità: aggiungere una maiuscola, una cifra o un simbolo non basta a rendere forte una password corta. Evita le password comuni, anche con sostituzioni come @ al posto di a. Preferisci una passphrase di più parole casuali o una password generata.

Consigli e buone pratiche

  • Sostituire lettere con cifre o simboli (p@ssw0rd) non inganna gli strumenti di cracking, che applicano queste sostituzioni in automatico: allunga piuttosto la password.
  • Su un computer condiviso o aziendale, prova una variante con la stessa struttura invece della tua password reale, per semplice prudenza verso estensioni o programmi installati.
  • Un livello molto forte non protegge una password riutilizzata su più siti: se trapela da uno, tutti gli account sono esposti. Usa una password unica per sito e attiva l’autenticazione a due fattori.

Fonti e riferimenti

Domande frequenti

È rischioso digitare la mia password in un verificatore online?

Con questo verificatore la password viene analizzata da codice eseguito nel tuo browser e non viene mai trasmessa: durante l’analisi non parte alcuna richiesta di rete. Per prudenza generale, evita comunque di digitare una password reale su un dispositivo che non controlli.

Quanto tempo serve per violare la mia password?

Dipende soprattutto dallo scenario. Online, i limiti ai tentativi rendono difficile indovinare anche una password media; offline, dopo il furto di un database di hash veloci, un attaccante può provare 10 miliardi di password al secondo. Lo strumento mostra entrambe le stime, che presuppongono che la password non sia già nota.

Lo strumento controlla se la mia password è stata violata?

No, non effettua chiamate di rete e non consulta database di violazioni. Per questo usa un servizio come Pwned Passwords di Have I Been Pwned, che confronta solo un prefisso dell’hash SHA-1 (k-anonimato); una password presente in una violazione va cambiata qualunque sia il suo punteggio.

Cosa rende forte una password?

Essere lunga, imprevedibile e unica: almeno 15 caratteri secondo NIST SP 800-63B-4 quando è usata da sola, senza parole ovvie del dizionario, date, nomi o sequenze di tastiera. Una password casuale creata da un generatore o una passphrase di più parole scelte a caso soddisfa questi criteri.

Basta aggiungere una maiuscola e un numero alla fine?

Quasi mai. Maiuscola iniziale, numero o anno in fondo e punto esclamativo finale sono proprio le trasformazioni che le regole di cracking provano per prime. Lo strumento rileva in particolare anni e sequenze; qualche carattere casuale in più aiuta molto di più.

Perché il mio punteggio è diverso da un altro verificatore?

Ogni verificatore usa un proprio modello: dimensione dei dizionari, schemi rilevati, velocità d’attacco ipotizzata. I risultati sono stime e possono variare da uno strumento all’altro; tieni conto soprattutto degli schemi segnalati e dell’ordine di grandezza del tempo di violazione.

Strumenti correlati

Continua con questi strumenti

Strumenti simili o complementari a questo.

Strumenti simili

Generatore di password

Genera password sicure e casuali da 8 a 128 caratteri, con l’entropia indicata.

Sicurezza e privacyIn evidenzaUsa questo strumento

Generatore di policy per password

Crea una policy per password moderna: lunghezza, liste di blocco, passphrase, scadenza e limite dei tentativi.

Sicurezza e privacyUsa questo strumento

PBKDF2: hash e verifica password

Deriva un hash PBKDF2-SHA-256 o SHA-512 con salt da una password, o verifica una password rispetto a un valore codificato.

Sicurezza e privacyUsa questo strumento

Leggi anche