Esempio di password policy — aggiornamento 2026 (NIST SP 800-63B-4)

Ho scritto questo post nel 2020 e all’epoca ho promesso che l’avrei aggiornato quando fosse diventato obsoleto. Quel momento è arrivato. 💥 Ad agosto 2025 il NIST ha pubblicato la versione finale delle sue linee guida SP 800-63B-4 e ha ribaltato il tavolo: basta caratteri speciali obbligatori, basta cambi periodici della password. Qui sotto trovi la policy aggiornata — e scoprirai perché alcune vecchie “best practice” oggi sono attivamente dannose.

Cosa è cambiato dal 2020?

Le password rubate restano il vettore di attacco numero uno. Secondo il report Verizon DBIR 2025, ben l’88% degli attacchi contro le applicazioni web di base ha coinvolto credenziali rubate, e il numero di attacchi brute force contro le applicazioni web è quasi triplicato anno su anno.

Quello che è cambiato è la risposta dei difensori. Il NIST — l’istituto americano degli standard le cui linee guida finiscono per essere copiate in tutto il mondo — nella SP 800-63B-4 ha esplicitamente vietato pratiche che per anni sono passate per standard: la complessità obbligatoria e la rotazione periodica delle password.

Esempio di password policy (versione attuale)

Le password statiche nei sistemi IT dovrebbero:

• essere lunghe almeno 15 caratteri (il minimo assoluto secondo il NIST è di 8 caratteri, ma la raccomandazione — soprattutto quando la password è l’unica protezione — è 15);
• essere accettate dal sistema con lunghezze fino ad almeno 64 caratteri, spazi inclusi — così da poter usare un’intera frase, ad es. “un cavallo va in bicicletta su Marte”;
• NON essere soggette a complessità forzata — niente obbligo di “almeno una maiuscola, una cifra e un carattere speciale”. Il NIST qui usa un perentorio “SHALL NOT” — i sistemi non possono richiederlo;
• NON scadere a calendario — cambio della password solo in caso di sospetta o confermata violazione, non “ogni 30 giorni, tanto per”;
• essere verificate contro una blocklist al momento dell’impostazione — liste di password trapelate, da dizionario e ovvie (e rifiutate se vi compaiono);
• non contenere il login, il nome dell’azienda, il nome dell’applicazione, l’indirizzo e-mail, né il nome o il cognome dell’utente;
• essere memorizzate esclusivamente come hash: Argon2id (min. 19 MiB di memoria, 2 iterazioni, parallelismo 1); bcrypt nei sistemi legacy (work factor di almeno 10), e dove è richiesta la conformità FIPS-140 — PBKDF2 con almeno 600.000 iterazioni;
• consentire l’incolla da un password manager — bloccare il “paste” in un campo password è sabotaggio della sicurezza, non protezione;
• essere uniche — una password diversa per ogni servizio.

Perché la lunghezza batte la complessità?

“P@ssw0rd1!” soddisfa tutte le vecchie regole di complessità — e cade in una frazione di secondo, perché gli attaccanti conoscono perfettamente lo schema: maiuscola all’inizio, punto esclamativo alla fine, “a” sostituita da “@”. La complessità forzata produce password prevedibili e post-it sotto la tastiera. Una frase lunga è facile da ricordare per te e un incubo da craccare per una macchina.

Troverai un sacco di informazioni utili su come implementare il login in modo sicuro nella OWASP — Authentication Cheat Sheet e nella OWASP Password Storage Cheat Sheet.

Il password manager — ancora la base

Nella maggior parte dei casi non sai come le tue password vengono conservate dai servizi online. Magari l’amministratore non ha implementato alcun meccanismo a protezione dei tuoi dati. Ecco perché della loro sicurezza devi occuparti tu stesso — e con decine di account e password da 15 caratteri, è impossibile memorizzarle tutte. Qui entra in gioco il password manager: tu ricordi una sola password robusta, e lui si occupa del resto. Uno dei password manager considerati sicuri e raccomandati è KeePass.

Un password manager ti dà in più:

• generazione automatica di password lunghe e casuali;
• una cassaforte cifrata e i backup;
• la sincronizzazione tra dispositivi;
• la compilazione automatica dei form — che protegge anche dal phishing, perché il manager non incollerà la tua password su un dominio contraffatto. 🔓

MFA — sì, ma non più via SMS

Nel 2020 scrivevo che un codice SMS aumenta notevolmente la sicurezza dell’account. Oggi devo correggermi: l’SMS è la forma più debole di autenticazione a due fattori — vulnerabile al SIM swapping e al phishing in tempo reale. Gli attaccanti sono sempre più bravi ad aggirare l’MFA: secondo i dati citati attorno al DBIR 2025, le tecniche più comuni sono il furto dei token di sessione e il “prompt bombing” — inondare la vittima di notifiche finché non tocca “approva”. ⚠️

In ordine dalla protezione più forte:

1. Una chiave hardware (FIDO2) o una passkey — resistente al phishing;
2. Un’app con codici TOTP (ad es. sul telefono);
3. SMS — sempre meglio di nessuna MFA, ma trattalo come ultima spiaggia.

Passkey — un mondo senza password?

Le passkey, ossia le chiavi di accesso basate su FIDO2, sono già supportate da Google, Apple e Microsoft, e il NIST le classifica tra i metodi resistenti al phishing. Ovunque un servizio le offra — attivale. Oggi è il modo più semplice per far sì che la password smetta di essere l’anello più debole.

In sintesi

La nuova password policy è paradossalmente più semplice della vecchia: password lunghe e uniche, verificate contro una blocklist, senza complessità artificiale e senza rotazione forzata — più un password manager e una MFA resistente al phishing. Meno regole, più sicurezza. ✔️

Se vuoi verificare se la password policy della tua azienda (e il resto delle tue difese) regge il contatto con un vero attaccante — contattami: la metterò alla prova da ethical hacker e ti consegnerò un report concreto. E se NIS2 o DORA ti stanno col fiato sul collo, dai un’occhiata alla pagina sulla conformità.