Wi-Fi sicuro in casa e in ufficio

Introduzione

Il Wi-Fi è la porta di casa che lasci aperta per comodità. Telefono, PC, stampante, telecamera, lampadina: tutto passa dal router. Se quel router ha ancora admin / admin, la rete non è "un po' debole". È di chiunque sia a portata di segnale.

Questa guida è vendor-agnostica. Non ti dice i click sul menu del tuo modello. Ti dice cosa cambiare, in che ordine, e cosa non serve. Vale per il box dell'operatore in salotto e per l'access point in ufficio.

In pratica: password di amministrazione, WPA3 (o WPA2-AES), SSID visibile, WPS spento, firmware, rete ospiti e IoT separati. In ufficio, la passphrase non vive per sempre in una chat.

Prima regola: la password di amministrazione non è quella del Wi-Fi

Due password diverse. Due ruoli diversi.

La password Wi-Fi (passphrase WPA) fa entrare i dispositivi in rete. La password di amministrazione apre il pannello: DHCP, port forwarding, firmware, utenti, WPS. Se un vicino o un ospite entra nel pannello, non "naviga un po'". Cambia le regole della tua rete.

Molti router escono di fabbrica con utente admin e password stampata, o peggio con una password uguale per tutti i lotti. Quella va cambiata al primo accesso. Lunga, unica, salvata nel password manager. Non su un post-it sotto il modem.

Se il router offre un secondo account "ospite" per il pannello, non lo creare "per comodità". Un account in meno da proteggere.

WPA3, WPA2, e quello che non devi più vedere

La cifratura del Wi-Fi è ciò che impedisce a chi è sotto casa di leggere il traffico come se fosse in chiaro. Non è un dettaglio. È il lucchetto.

Ordine di preferenza:

1. WPA3-Personal (o WPA3-SAE). Oggi è lo standard da usare se router e client lo supportano.
2. WPA2/WPA3 misto, se hai ancora un dispositivo vecchio. I nuovi usano WPA3, i vecchi restano su WPA2.
3. WPA2-AES (a volte scritto WPA2-PSK AES). Accettabile. Non è WPA3, ma è ancora una base seria.

Cosa spegnere se lo vedi ancora:

• WEP: rotto da anni. Non è "meglio di niente". È niente.
• WPA (senza 2) e TKIP: vecchi, deboli. Se il menu propone "WPA/WPA2" con TKIP, scegli solo AES.
• Rete aperta in casa o in ufficio: no. L'aperto è per un hotspot dichiarato tale, non per i file dell'azienda.

La passphrase del Wi-Fi non è una parola con un numero in fondo. È una frase lunga, o una stringa generata dal password manager. Venti caratteri non sono esagerati. Li digiti una volta per dispositivo, o li inquadri dal QR se il router lo offre.

Nascondere l'SSID non è sicurezza

"Nascondi il nome della rete" sta in tanti menu. Sembra intelligente. Non lo è.

L'SSID nascosto non sparisce. I dispositivi che già lo conoscono lo cercano a voce alta: "c'è ancora ReteDiMario?". Un attaccante con uno scanner vede comunque i beacon e le probe. Tu, intanto, hai client che si riconnettono peggio, stampanti che spariscono, ospiti che non capiscono perché "la rete non c'è".

Cambia l'SSID di default, quello sì. Vodafone-1234 o TP-Link_XXXX dice modello e, a volte, zona. Scegli un nome che non sia il tuo cognome, né "NomeAzienda-Ufficio" sulla vetrina. Non serve un nome furbo. Serve un nome che non ti identifichi.

Spegnere il WPS

WPS (Wi-Fi Protected Setup) esiste per collegare un dispositivo con un PIN o un tasto. Il PIN, su molti router, si può tentare a forza. Il tasto fisico si preme se hai il router in mano. In un ufficio con il rack nel corridoio, "in mano" è chiunque.

Disabilita WPS nel menu wireless. Se dopo un aggiornamento firmware ricompare acceso, spegnilo di nuovo. Colleghi i dispositivi a mano, una volta. Non è un costo. È togliere una porta laterale.

Stessa logica per UPnP verso Internet, se il router lo espone senza controllo: comodo per i giochi, utile a chi apre porte al posto tuo. In un ufficio, UPnP acceso "perché così le app funzionano" è una decisione. Prendila sapendo cosa apri. In casa, se non giochi e non hai bisogno, spegnilo.

Firmware: il router è un computer, si aggiorna

Il box in soggiorno esegue software. Quel software ha buchi. I produttori (e a volte l'operatore) pubblicano aggiornamenti. Se non li installi, il Wi-Fi "sicuro" di tre anni fa è il Wi-Fi di tre anni fa.

Cosa fare:

1. Entra nel pannello. Cerca "Firmware", "Aggiornamento router", "System".
2. Se c'è "controlla aggiornamenti", lancialo da rete fidata, non nel mezzo di un temporale sul file.
3. Se l'ISP gestisce il box e non ti lascia aggiornare, chiedi se il modello è ancora supportato. Un modem fuori supporto si sostituisce. Non si "spera".
4. Dopo l'update, ricontrolla: WPS, gestione remota, password admin. Alcuni reset parziali riportano default.

Se il router ha più di cinque-sei anni e non vede più update, il piano è sostituirlo. Non è consumo. È togliere un dispositivo che non riceve più correzioni.

Rete ospiti: sì, anche in casa

La rete ospiti è una SSID seconda, isolata. Chi si collega non vede i PC, i dischi, la stampante, le cartelle condivise. Naviga. Stop.

Usala per:

• amici, clienti, tecnici di passaggio
• il telefono del collaboratore che "è solo un'ora"
• qualsiasi dispositivo che non deve toccare i file di lavoro

In casa vale lo stesso. L'ospite non ha bisogno del NAS. Il tecnico della caldaia non ha bisogno del PC. Per condividere la rete ospiti senza dettare la passphrase, puoi usare il generatore QR: il contenuto del codice passa da un servizio esterno, quindi non usarlo per la rete principale.

Se il box dell'operatore non ha rete ospiti, è un limite del box. Un router tuo, in cascata o in sostituzione secondo le regole dell'ISP, spesso la offre. Non è obbligatorio comprare hardware oggi. È obbligatorio sapere che senza guest, ogni ospite è sulla stessa rete dei file.

IoT su un SSID a parte, se puoi

Telecamere, lampadine, spine, assistenti vocali, TV. Aggiornamenti rari. Password deboli. Cloud del produttore. Sono comodi. Sono anche la parte più chiacchierona e meno curata della rete.

Se il router ha VLAN, "rete IoT", o un terzo SSID, mettici quelli. Isolamento verso la rete dei PC. Internet se gli serve. Non accesso al file server.

Se hai solo due SSID (principale e guest), gli IoT stanno sulla guest, non sulla principale. La lampadina non deve vedere il PC della contabilità.

Non tutti i box lo permettono. Se non lo permettono, riduci: meno IoT, firmware aggiornato dove esiste, account del cloud con password unica e MFA. La segmentazione è la misura giusta. La rinuncia al terzo gadget è quella di riserva.

Accesso fisico al router

Chi tocca il dispositivo vince. Reset hardware, WPS a tasto, cavo in una porta LAN, due secondi sul foro "reset" e il router torna ai default. Compresa la password che avevi cambiato.

In casa: non lasciare il box nel vano scale o nel pianerottolo condiviso se puoi evitarlo. In ufficio: non sul bancone della reception. Armadio, stanza chiusa, o almeno non a portata del pubblico.

Dopo un reset, o dopo che un tecnico "ha sistemato Internet", rientra nel pannello. Ricontrolla admin, WPA, WPS, guest. I tecnici bravi lo dicono. Quelli di fretta ripartono dal default.

In ufficio: la password non vive per sempre su Slack

In casa la passphrase la sai tu. In ufficio la sanno in dieci, poi in venti, poi l'ex collaboratore, poi il messaggio di due anni fa nel canale #generale.

Cose che non scalano:

• una sola password Wi-Fi, scritta in chat, mai cambiata
• la stessa password per Wi-Fi e per il pannello del router
• "la trovi sul frigorifero" in un ufficio con fornitori che passano

Cosa fare, da subito:

1. Password Wi-Fi lunga, nel password manager condiviso di chi deve usarla. Non in un thread eterno.
2. Rotazione quando esce una persona, o a cadenza (ogni trimestre è già meglio di mai).
3. Rete ospiti per visitatori e per chi "è solo oggi".
4. Se cresci: smetti di condividere una passphrase unica.

Quando ha senso WPA-Enterprise

WPA2/WPA3-Enterprise (802.1X) non dà "una password della rete". Dà un'identità per persona o per dispositivo: utente e password (o certificato), di solito contro un RADIUS.

Non ti serve se siete in tre e il guest basta. Ti serve quando:

• le persone entrano e escono
• non vuoi ruotare la passphrase a tutti i telefoni ogni volta che cambia un contratto
• vuoi togliere l'accesso a una persona senza toccare gli altri
• hai già (o stai per avere) una directory: Microsoft 365, Google Workspace, LDAP

È un salto. Serve un RADIUS, certificati del server, client configurati, qualcuno che lo manutiene. Per una PMI che cresce è la direzione giusta. Per un professionista in casa è eccesso.

Finché resti su WPA-Personal, tratta la passphrase come un segreto di gruppo piccolo. Quando il gruppo non è più piccolo, pianifica Enterprise. Non aspettare di averla già mandata a quaranta chat.

Checklist, in ordine

Fai i passi in questa sequenza. Ogni riga è un cambio nel pannello, non un proposito.

Errori comuni

"È la rete di casa, chi vuoi che sia"

Il segnale esce dal muro. Il vicino, il parcheggio, la panchina sotto. Non serve un nemico di Stato. Serve qualcuno che prova le default.

"Ho nascosto la rete e sto tranquillo"

Vedi sopra. I client soffrono. L'attaccante no.

"WPS spento, quindi ho finito"

WPS è un pezzo. Admin di default e firmware del 2019 restano.

"In ufficio usiamo la stessa password dal 2019, ma è lunga"

Lunga e nota a troppe persone è una password pubblica. La lunghezza non revoca l'ex dipendente.

"Il box dell'operatore non si tocca"

Molti box si toccano: Wi-Fi, guest, password. Se è bloccato, è un vincolo da mettere in conto, non una benedizione. A volte si mette un tuo router dietro. A volte si cambia offerta. Non si finge che il lucchetto ci sia.

Conclusione

Un Wi-Fi sicuro non è un prodotto nuovo. È un router di cui hai cambiato le default, con una cifratura attuale, senza WPS, con una rete per chi non deve vedere i file. In ufficio aggiungi una regola sociale: la passphrase non è un messaggio eterno.

Fai la checklist una volta. Poi, dopo ogni tecnico e ogni aggiornamento, i tre controlli rapidi: admin, WPS, firmware. Il resto è abitudine.

Le password del router e del Wi-Fi stanno nel manager, con il resto dei segreti. Se ancora le tieni in un foglio o in una chat, parti da password manager e 2FA.

---

Risorse utili (autorevoli):

• CISA: Securing Wireless Networks — rischi e cifratura, casa e piccolo ufficio
• CISA: Home Network Security — WPA3/WPA2, WPS, rete domestica
• CISA: Module 5, Securing Your Home Wi-Fi — admin, SSID, WPS, guest, posizione fisica
• NSA/CISA: Best Practices for Securing Your Home Network (PDF) — WPA3, non nascondere l'SSID, segmentazione IoT