Migliori password manager del 2026: quale gestore password scegliere, quali sono gratis davvero e su quanti dispositivi

Questo non rende il gestore di Google una scelta sbagliata, ed è giusto dirlo: è gratuito, funziona su tutti i dispositivi, importa dagli altri gestori e avvisa quando una password compare in una violazione. Per molte persone basta, e attivare la crittografia sul dispositivo chiude quasi tutta la distanza. Serve a rispondere alla domanda con cui arriva qui quasi tutto il traffico italiano di questa ricerca: se quello che ho già mi basta.

La risposta onesta dipende da una cosa sola: se ti importa che l'azienda che custodisce la tua cassaforte possa aprirla. Se non ti importa, resta dove sei e risparmiati il trasloco. Se ti importa, cambiare costa dieci minuti e il comparatore qui sopra dice da dove cominciare.

I piani gratuiti di Bitwarden vedi › e di Proton Pass vedi › sono quelli che conservano password senza limite e funzionano allo stesso tempo nel browser, sul telefono e sul computer, secondo quello che ogni azienda pubblica sulla propria pagina. Ci sono altri piani gratuiti che fanno lo stesso con una condizione sui dispositivi, e quella condizione è scritta a casa loro: la tabella di NordPass vedi › elenca «Accesso su diversi dispositivi» fra le voci non incluse nel piano gratuito, e quella di LastPass dice «Uso limitato a un solo tipo di dispositivo», cioè computer oppure telefoni, non entrambi.

È l'unica differenza che serve capire per decidere, e per questo il censimento qui sotto comincia da lì. Il resto di un piano gratuito, cioè conservare, generare e compilare, lo fanno tutti.

Messo così, il conto cambia. Una guida internazionale ti dice che un gestore serve «per non riusare le password»; in Italia c'è una credenziale che ti obbliga a non riusarle, e ti manda un avviso ogni sei mesi. Il generatore del gestore risolve quel promemoria in due secondi e la cassaforte se la ricorda al posto tuo, che è il lavoro per cui è nata.

Con la stessa logica, la password dello SPID non va usata da nessun'altra parte, e non per prudenza generica: è l'unica del tuo elenco che apre insieme sanità, fisco e previdenza, e il conto di quello che ci si può fare non assomiglia a quello di un negozio online.

Un gestore di password è una cassaforte, e la regola di una cassaforte è antica: la chiave che serve a rientrare quando la perdi non può stare dentro. Dei codici che un cittadino italiano ha in mano, tre stanno esattamente in quella categoria e nessuna guida generalista li nomina.

Il PIN e il PUK della Carta di Identità Elettronica. Il Ministero dell'Interno li consegna a metà: la prima parte è stampata sulla ricevuta che ti danno in Comune quando fai la richiesta, la seconda arriva mesi dopo nella busta con la carta, e sta a te unirle e conservarle. Se ne perdi una, si torna in Comune a farsele ristampare. Unire le due metà e salvarle come nota sicura dentro la cassaforte è legittimo e comodo; quello che non ha senso è tenerle solo lì, perché il PIN della CIE è anche uno dei modi con cui recuperi l'identità digitale il giorno in cui resti fuori da tutto il resto.

Il codice OTP dello SPID e i codici di recupero del gestore. Molti gestori sanno generare anche i codici temporanei del doppio fattore, ed è una funzione comoda. Ma se nella stessa cassaforte tieni la password e il generatore del suo secondo fattore, per quella cassaforte il secondo fattore ha smesso di esistere: chi entra una volta ha tutto. Per i siti normali è un compromesso accettabile; per lo SPID, per la posta principale e per la banca, no.

La chiave di una cartella cifrata nel cloud, invece, dentro la cassaforte ci sta benissimo. È il caso di pCloud Crypto, il cui fornitore dichiara di non poter recuperare quella chiave se la perdi: lì la nota sicura del gestore è il posto giusto, e quanto costa quel cifrato lo abbiamo contato a parte.

Noi lo risolviamo così, ed è la parte che vale la pena copiare: password e note nella cassaforte, i codici di recupero della cassaforte su carta e lontani dal computer, il secondo fattore dello SPID sul telefono e le due metà del PIN della CIE unite e in casa. Sono quattro posti, non uno, ed è di proposito.

Una chiave di sicurezza è un oggetto delle dimensioni di una moneta che si infila nel computer o si avvicina al telefono, e che fa da secondo fattore: anche se qualcuno avesse la tua password principale, senza la chiave non entra. È quello che serve dopo aver scelto il gestore, e con Bitwarden vedi › non c'è niente da pagare: la sua pagina di prodotto elenca fino a cinque chiavi di sicurezza hardware dentro il piano gratuito.

L'unica cosa che decide quale comprare è il connettore del tuo computer. Le due che compaiono sotto la scheda di Bitwarden sono la stessa chiave con la bocca diversa, costano uguale e tutte e due hanno l'NFC per il telefono. Ti consigliamo di comprarne due e di registrarle entrambe: una chiave unica persa è un problema molto più grande del suo prezzo.

Il Garante per la protezione dei dati personali e l'Agenzia per la Cybersicurezza Nazionale hanno pubblicato insieme, con il provvedimento del 7 dicembre 2023, le linee guida sulle funzioni crittografiche per la conservazione delle password. Vale la pena leggere a chi sono rivolte, perché quasi tutti se lo immaginano al contrario: non a te, ma a «tutte le imprese e le amministrazioni che, in qualità di titolari o responsabili del trattamento, conservano sui propri sistemi le password dei propri utenti», dai gestori dell'identità digitale ai gestori PEC, dalle banche alle strutture sanitarie.

Il motivo lo scrive il Garante nello stesso comunicato: questi attacchi «sfruttano la cattiva abitudine degli utenti di utilizzare la stessa password per l'accesso a diversi servizi online», così che la compromissione di un solo servizio apre la porta a molti altri. E dove finiscono quelle credenziali, secondo gli studi di settore che cita senza indicarne la fonte: «nei siti di intrattenimento (35,6%), nei social media (21,9%) e nei portali di e-commerce (21,2%)», più forum e servizi a pagamento (18,8%) e finanziari (1,3%).

La conclusione pratica è una sola, ed è per questo che la guida esiste: come sono conservate le tue password non lo decidi tu, lo decide ogni sito. L'unica cosa che decidi tu è che siano tutte diverse, e questo è esattamente il lavoro di un gestore.