Introduzione

La maggior parte delle intrusioni su account di titolari e uffici non parte da un attacco sofisticato. Parte da una password già usata altrove. Un forum, un e-commerce, un vecchio gestionale. Quella coppia email + password viene riprovata su PEC, banca, cloud, registrar.

Il 2FA spezza quella catena. Un password manager la rende gestibile. Senza i due pezzi resti esposto: riutilizzi, Excel, o password nel browser che perdi al cambio PC.

In questa guida:

perché il riutilizzo costa l'account
come funziona il vault e l'estensione
come scegliere lo strumento
i 10 account da cambiare prima
2FA, recovery, telefono perso

Ti serve un'ora per il setup e qualche giorno per sostituire le password importanti. Non serve diventare esperto di crittografia. Serve finire i passi, nell'ordine.

Devi mettere in ordine password e 2FA su più account aziendali? Contattaci

Perché riutilizzare le password ti espone

Una password unica e lunga resiste a un indovinare grezzo. Una password riutilizzata no: basta che un sito la perda. Non ti avvisano sempre. A volte lo scopri mesi dopo, da un accesso strano in Gmail o dalla PEC che non arriva più a te.

La sequenza tipica è banale:

un servizio minore subisce una fuga di credenziali
qualcuno riprova email e password sui siti che contano
entra nella casella di posta
da lì resetta il resto: cloud, social, fatturazione, dominio

L'email è il master key di quasi tutto. Se quella password è la stessa del negozio online, hai già perso. Se è "solo" una variante (Azienda2024! / Azienda2025!), hai perso lo stesso: quelle si indovinano.

La password dell'email non è "una password tra le altre". È la chiave per resettare le altre. Trattala come tale.

Altri errori che vediamo spesso:

la stessa password su INPS, Agenzia Entrate, home banking e Facebook
password del Wi-Fi o del NAS scritte in un documento sul Desktop
"password dell'azienda" condivisa in chat, uguale per tutti
2FA via SMS sull'unica SIM, senza piano B

Il password manager non è un vezzo da nerd. È il modo per avere una password diversa per ogni sito senza doverle ricordare. Il 2FA è il secondo paletto: anche se la password esce, manca il codice (o la passkey). Recupero account dopo un furto: giorni, a volte niente. Meglio un pomeriggio adesso.

Come funziona un password manager

Tu ricordi una password lunga (la master password). Il programma tiene un archivio cifrato: il vault. Login, note, carte se servono. Si apre con la master password e, se lo imposti, con un 2FA sul vault.

Vault e master password

Quando crei il vault succedono due cose:

il client genera una chiave a partire dalla master password
i dati vengono cifrati prima di partire verso il cloud, se usi un servizio online

Bitwarden e 1Password: modello "zero knowledge", il fornitore tiene il blob cifrato. KeePass: file locale (.kdbx), sync a carico tuo. Se perdi la master password e non hai recovery, il vault è carta straccia. Nessuno può "mandartela via email".

Regole per la master password

Lunga: una frase di 5–6 parole casuali, non una citazione famosa
Solo tua: non è la password dell'email e non sta in un foglio condiviso
Scritta una volta su carta, in un cassetto, non in una foto sul telefono
Mai digitata su un PC che non è tuo

Il generatore del manager crea password da 20+ caratteri, casuali, diverse per ogni sito. Non le scegli tu. Non le "adatti" per ricordarle. Le copi o le fa inserire l'autofill. Se ti serve una password lunga subito, senza aprire il vault, c'è il generatore di password. Per capire se quella che usi ancora è debole, verifica quanto regge.

Estensione del browser: utile e rischiosa

L'estensione è comoda. Riconosce il dominio, propone il login, evita di incollare a mano. È anche la superficie più esposta.

Rischi concreti:

un sito falso con un dominio quasi uguale non deve ricevere l'autofill: se il manager è impostato bene, non propone la password. Se la copi a mano, hai già perso. Per riconoscere le truffe sul login, leggi come riconoscere il phishing
una pagina compromessa può tentare di pescare campi password. Vault bloccato = meno danni
un'estensione falsa dal marketplace sbagliato legge tutto. Installa solo dal sito ufficiale o dallo store verificato del produttore

Non lasciare il vault sbloccato "per sempre" sul browser di un PC condiviso o di un ufficio. Timeout breve. Blocco a schermo spento. Su un portatile che viaggia, ancora di più.

Export, cambio master password, 2FA del vault: falla dall'app, non dall'estensione.

Tre prodotti, quattro criteri (niente classifica da spot)

Bitwarden, 1Password e KeePass coprono tre modi diversi di tenere le chiavi. Non ti dico "compra X". Ti dico cosa confrontare. Poi scegli in base a chi deve usare il vault e a chi può permettersi di gestirlo.

Criterio	Cosa chiedere
Sync	I login ti servono su telefono, PC e browser, o basta un file sul disco?
2FA sul vault	Puoi mettere TOTP o chiave hardware sull'account del manager?
Export	Puoi uscire? Export cifrato o almeno CSV, documentato?
Chi tiene le chiavi	Cloud zero-knowledge, self-host, o file che tieni tu?

Come si posizionano, in pratica

Bitwarden: open source, cloud o server tuo. Export chiaro. 2FA sul vault. Titolare o piccolo team.
1Password: commerciale, team con ruoli, vault cifrato lato cliente, recovery kit nel flusso. Paghi per non gestirti il server.
KeePass (o KeePassXC): file locale, chiavi tue, sync fai-da-te. Se sbagli il backup del .kdbx, hai sbagliato tutto.

Ti serve sync e poco lavoro

Bitwarden o 1Password. Un vault, più dispositivi, 2FA sull'account. Meno pezzi da tenere in vita.

Vuoi il file e basta

KeePassXC. Backup del .kdbx in due posti. Nessun account sul cloud di un vendor. Più disciplina tua.

Altri criteri: chi paga, se ti serve una voce condivisa (login "fatturazione" per due persone, non la master in chat), se vuoi una chiave hardware sul vault. Self-host di Bitwarden ha senso se sai aggiornare un server. Altrimenti è un secondo lavoro.

Il prodotto "giusto" è quello da cui puoi uscire e che qualcuno in azienda sa ripristinare. Un caveau senza export e senza recovery è una trappola.

Percorso di setup: da zero ai 10 account che contano

Non migrare cento siti il primo giorno. Chiudi il perimetro. Poi diluisci.

1) Installa dal canale ufficiale

Scarica l'app da bitwarden.com, 1password.com o keepassxc.org. Sul telefono: store ufficiale, sviluppatore verificato. Niente APK "mirror". Niente "Bitwarden Pro Free" da siti a caso.

Crea l'account (o il file KeePass). Imposta la master password. Accendi il 2FA sul vault subito, non "dopo". Stampa o salva il kit di emergenza se il prodotto lo propone.

Se salti il 2FA sul password manager, hai costruito un unico tesoro con una sola serratura. È il primo account da proteggere, non l'ultimo.

2) Crea il vault e fai un backup di recovery

Prima di importare qualsiasi cosa:

conferma di saper sbloccare il vault su un secondo dispositivo
salva i codici di recovery del manager (non solo dei siti)
per KeePass: copia il .kdbx su un disco esterno. Verifica che si apra

Senza master password e senza recovery non rientri, cloud o no. La carta nel cassetto è il piano B.

3) Importa, poi non fidarti alla cieca

Chrome, Edge, Firefox e Safari tengono già decine di password. I manager importano da CSV o dallo store del browser. Va bene per non ripartire da zero. Non va bene prenderle per buone.

Dopo l'import:

cerca duplicati e password ripetute (Bitwarden e 1Password hanno report)
cancella dal browser le password che hai portato nel vault, o almeno togli la sincronizzazione come "fonte di verità"
non lasciare il CSV di export sul Desktop. Cifralo o eliminalo. Quel file è il vault in chiaro

Un CSV di password in una cartella OneDrive o WhatsApp è peggio di un foglietto. Chiunque con accesso a quella cartella ha tutti i login.

4) Sostituisci prima i 10 account che tengono in piedi il resto

Entra in ciascuno. Genera una password nuova dal manager. Salvala. Abilita il 2FA se manca. Scarica i recovery code. Poi passa al successivo.

I 10 da fare per primi (adatta i nomi alla tua vita)

Email principale (Gmail, Microsoft, libero.it: quella del reset)
Seconda email, se esiste: è il recovery della prima
PEC e SPID / CIE, se li usi per la ditta
Home banking e home banking dello commercialista, se hai accesso
INPS, Agenzia Entrate, portali della PA che usi davvero
Apple ID o account Google del telefono
Cloud file: Drive, OneDrive, iCloud, NAS esposto
Registrar del dominio e pannello hosting / email aziendale
Social o marketplace da cui si resetta altro (Facebook, Amazon)
Il password manager stesso: già fatto al passo 1, ricontrolla il 2FA

Il resto (newsletter, forum, shop usati una volta) può aspettare: ruoti al prossimo login. Login condivisi in ufficio: una voce nel vault di team, non uno Slack con Admin123. Chi esce: ruoti quella voce.

2FA: app authenticator, SMS, passkey

Il secondo fattore non sta nella password. CISA lo chiede come misura di base. Email, cloud, admin: devono averlo. I tre tipi non sono uguali.

Tipo	Cosa è	Va bene se	Debolezza
SMS / chiamata	Ti arriva un codice sul numero	Meglio di niente, account che non offrono altro	SIM swap, SMS in chiaro, numero che cambi e dimentichi
App authenticator (TOTP)	App che genera un codice ogni 30 secondi	Default per email, hosting, vault	Telefono perso senza backup = lockout
Passkey	Chiave sul dispositivo o sincronizzata (account Apple/Google/password manager)	Siti che la supportano, resistente al phishing	Recovery legato all'ecosistema; non tutti i siti ce l'hanno

SMS: solo se il sito non offre altro. Non è un piano di recovery. TOTP: Aegis, 2FAS, Ente Auth, o l'app del manager. Passkey: quando il sito la propone, è il gradino sopra. Il dominio falso non riceve la chiave.

Dettagli che evitano disastri:

non usare come unico 2FA l'SMS del numero che "gestisce il commercialista"
un authenticator senza export è una trappola: verifica il backup prima
TOTP dentro il password manager è comodo e un singolo punto di fallimento. Se lo fai, i recovery su carta sono obbligatori
le passkey sincronizzate dipendono da quanto proteggi Apple / Google / il manager. Chi entra lì entra anche alle passkey

Password unica + TOTP (o passkey) + recovery code su carta. Se manca uno dei tre, non hai finito: hai spostato il rischio.

Il 2FA non ti salva se approvi tu la richiesta. Una notifica push "Approvi l'accesso?" mentre sei al telefono con "l'assistenza Microsoft" è il punto debole. Non approvare. Riaggancia. Verifica dal sito ufficiale.

Codici di recovery: il pezzo che tutti saltano

Quando attivi il 2FA, quasi ogni sito ti mostra 8–10 codici monouso. Servono senza telefono. Se chiudi la schermata e basta, il giorno del furto non rientri.

Cosa fare:

genera i codici dopo aver salvato la password nel vault
copiali in una nota del manager e stampali
foglio etichettato (sito, data), cassetto, non una foto in chat
se ne usi uno, il sito lo invalida. Quando ne restano pochi, rigenera

Uno screenshot dei recovery nella galleria, sincronizzata su Google Foto, è un secondo vault senza master password. Trattalo come un export in chiaro.

Microsoft, Google, Apple: chiavi di recovery e dispositivi fidati. Revisionali. Togli il telefono venduto e il numero che non usi.

Se perdi il telefono

Il telefono è authenticator, SMS e spesso sessione già loggata. Perderlo è un incidente. Non è la fine se hai fatto i passi sopra. Se non li hai fatti, è una corsa.

Ordine delle operazioni (telefono perso o rubato)

Da un altro dispositivo, blocca o cancella il telefono (Find My, Trova il mio dispositivo)
Cambia la password dell'Apple ID / Google / Microsoft se il telefono era sbloccato
Entra nei 10 account critici dal PC, col vault
Usa i recovery code dove l'app 2FA non c'è più
Rigenera i 2FA sul telefono nuovo e invalida i vecchi dispositivi fidati
Se la SIM era sul telefono: parla con l'operatore, blocca la SIM, verifica che il numero non sia stato portato via

Senza recovery e con l'authenticator solo su quel telefono restano le procedure del sito: documenti, attesa, a volte niente. Per questo si stampano prima. Telefono nuovo: vault, poi authenticator dal backup o QR rifatti. I QR vecchi in una cartella email sono segreti: cancellali.

Vuoi una procedura di recovery che regga se perdi il telefono? Parliamone

Problemi comuni

Di solito il dominio non coincide (www, login.banca.it). Aggiungi l'URI o una voce dedicata. Non incollare su un dominio che non riconosci. Se "sembra" la banca e l'URL no, è phishing.

"Ho due authenticator e i codici non vanno"

Orologio del telefono fuori sync, o hai scansionato il QR due volte e stai usando il segreto vecchio. Nel dubbio: recovery code, disattiva 2FA, riattiva, un solo QR, backup subito.

"Devo condividere una password con il commercialista"

Voce condivisa nel vault di team, o un invio temporaneo se il prodotto lo ha. Poi ruoti. Non: email, WhatsApp, foglio in Drive "Password ufficio".

"KeePass su tre PC e il file si è sdoppiato"

Conflitto di sync. Un solo flusso. Chiudi KeePass prima di spegnere. Due scritture insieme su una cartella cloud corrompono. Se vuoi zero pensieri, un servizio con sync nativo riduce questo errore.

Hai finito il setup se: vault con 2FA, master password solo tua, 10 account ruotati, 2FA attivi, recovery su carta, e sai sbloccare il vault da un secondo dispositivo.

Conclusione

Riutilizzare le password è il modo più economico per farsi svuotare gli account. Il manager rende unica ogni password. Il 2FA (app o passkey; SMS solo se non c'è altro) fa sì che una fuga non basti. Recovery e piano per il telefono perso sono la parte noiosa: è quella che decide se resti fuori dal tuo ufficio. Ordine: vault, 2FA sul vault, dieci account, carta nel cassetto.

Hai bisogno di impostare password manager e 2FA per il team? Contattaci

Risorse utili (autorevoli):

Bitwarden Help Center — setup del vault, 2FA, import ed export
CISA: Require multifactor authentication — perché l'MFA è la misura di base
1Password Support — recovery kit
KeePassXC User Guide — file locale e backup