Questa è la cosa di secondo valore più alto su questo sito dopo una chiave di sicurezza, e le due funzionano insieme: la chiave impedisce a qualcuno di accedere come te, e il gestore impedisce che un sito violato si trasformi in tutti gli altri. Fai entrambe le cose e la via ordinaria verso la tua vita è chiusa.
01Perché uno offline
La maggior parte dei gestori di password conserva la tua cassaforte sui server dell'azienda. È una comodità reale e non è automaticamente sbagliato, quelli buoni la cifrano così non possono leggerla. Ma crea un bersaglio unico, permanente e ben noto: un database di milioni di casseforti, situato in un unico posto, gestito da un'azienda che può essere violata, acquistata, citata in giudizio o semplicemente commettere un errore. Questo è accaduto, più di una volta, a grandi fornitori.
KeePassXC mantiene il database come un file sul tuo disco. Non c'è azienda, né account, né server, e nulla da violare su larga scala. Se qualcuno vuole le tue password deve venire a prenderti specificamente, il che è una proposta completamente diversa dal raccogliere tutti in una volta.
- Nessuna terza parte detiene la tua cassaforte, quindi nessuna terza parte può perderla, essere costretta a cederla o modificarne i termini.
- Funziona offline, anche su una macchina che non è mai stata connessa a internet.
- Open source e verificato, con un formato di file aperto che molti programmi indipendenti possono leggere, non sei vincolato.
- Gratuito per sempre, senza livelli che nascondono una funzione di sicurezza finché non paghi.
- I backup sono compito tuo. Perdi il file senza una copia e le password sono perse. Non c'è un servizio di assistenza.
- La sincronizzazione tra dispositivi è compito tuo, ed è la parte in cui la maggior parte delle persone sbaglia. Vedi la sezione 05.
- Il mobile è un'app separata di uno sviluppatore diverso, non ufficiale.
- Nessuno può reimpostare la tua password principale. È proprio il punto, ed è anche il rischio.
Se offline ti sembra una responsabilità maggiore di quanto desideri, usa invece Bitwarden o Proton Pass e vai avanti con la tua vita. L'opzione catastrofica è quella che stai usando adesso, la stessa password in cinquanta posti. Non lasciare che la ricerca dello strumento perfetto ti blocchi sul peggiore.
02La master password, che è tutto
Tutto si basa su una sola passphrase. Se è debole, nient'altro in questa guida conta; se è forte, un attaccante che ha il tuo file del database non ha comunque nulla.
Da quattro a sei parole casuali — non una frase che hai composto tu, che è molto meno casuale di quanto sembri. Qualcosa come harbour-plum-ditch-tractor-vine. È lunga, davvero casuale, e puoi effettivamente memorizzarla, cosa che una stringa di simboli non sarà mai. Lascia che KeePassXC la generi per te usando la sua modalità passphrase, poi scrivila su carta finché non è nella tua testa, e distruggi la carta dopo.
La master passphrase dovrebbe esistere in esattamente due posti: la tua memoria e, se ti serve, un backup fisico sigillato da qualche parte al sicuro. Mai in un file, mai in un'app per note, mai in un messaggio a te stesso, e mai in questo o in qualsiasi altro documento.
03Configurarlo
-
Installalo dalla fonte ufficiale
Scaricalo da keepassxc.org, oppure su Linux dal repository della tua distribuzione o da Flatpak. Digita l'indirizzo a mano — i domini simili a quelli dei gestori di password sono un attacco ben collaudato, per ovvie ragioni.
-
Crea il database
Database → New Database. Dagli un nome che non sia "passwords". Ti verrà chiesto delle impostazioni di crittografia, i valori predefiniti vanno bene, e vale la pena capire il cursore del tempo di decrittazione: un valore più alto rende più lenta ogni tentativo di indovinare da parte di un attaccante. Un secondo sulla tua macchina è un'impostazione ragionevole e un serio ostacolo alla forza bruta.
-
Imposta la master passphrase
Usa il generatore, in modalità passphrase, come descritto sopra. Prenditi il tempo di memorizzarla prima di riempire il database con qualsiasi cosa, perché questo è l'unico momento in cui ricominciare da capo è gratis.
-
Scegli un file chiave — con attenzione
KeePassXC può richiedere un secondo file insieme alla tua passphrase. Aumenta la sicurezza: qualcuno che ottiene il database e indovina la passphrase non può comunque aprirlo. Raddoppia anche il numero di cose che puoi perdere, e il file chiave non deve trovarsi nella stessa cartella del database, altrimenti non protegge da nulla. Saltalo a meno che tu non abbia un posto sensato dove tenerlo, come una chiavetta USB che conservi separatamente.
-
Salvalo in un posto di cui farai davvero un backup
Non sul desktop. Una cartella documenti inclusa in qualunque backup tu già esegua.
04Usarlo giorno per giorno
Lascia che generi tutto
Lo scopo di un gestore non è conservare le password che hai, è che tu non ne inventi mai più una. Per ogni nuovo account, clicca sull'icona del dado e prendi qualunque cosa produca. Non la vedrai mai, non la digiterai mai e non dovrai mai ricordarla, quindi la lunghezza è gratis: usa 20+ caratteri ovunque il sito lo permetta.
Lavora sui tuoi account esistenti gradualmente, partendo dai più importanti — email, poi qualsiasi cosa con del denaro, poi qualsiasi cosa da cui pubblichi. Non c'è bisogno di fare tutti e duecento in una sera; fare i primi dieci questa settimana è la maggior parte del beneficio.
L'estensione del browser
KeePassXC-Browser inserisce le password nelle pagine per te. Installala dallo store ufficiale di componenti aggiuntivi del tuo browser e collegala all'app desktop, che ti chiederà di approvare il collegamento.
L'estensione offre una password solo sul dominio per cui è stata salvata. Su un dominio di phishing simile, rimane silenziosa, e quel silenzio è un avvertimento che dovresti imparare a notare. Se il gestore non propone di compilare, fermati e controlla la barra degli indirizzi invece di digitarla manualmente.
Codici a due fattori
KeePassXC può memorizzare i segreti TOTP e generare da sé i codici a sei cifre. Questo è comodo e comporta un vero compromesso: la tua password e il tuo secondo fattore ora vivono nello stesso file, quindi un'unica compromissione ottiene entrambi. Per la maggior parte degli account la comodità vince. Per i tuoi account più importanti, usa invece una chiave di sicurezza, che è più forte di entrambi.
Cos'altro tenere lì dentro
Il database è un contenitore cifrato, quindi è una sede sensata per più delle sole password: codici di recupero di ogni account, chiavi di licenza software, le risposte alle "domande di sicurezza" (che dovrebbero essere stringhe casuali, non risposte vere), e il documento scansionato occasionale. Ogni voce ha un campo note e può contenere allegati.
05Sincronizzazione e backup, dove le persone sbagliano
Hai un solo file. Lo vuoi sul tuo laptop e sul tuo telefono. Non c'è nessun server che lo fa per te, quindi devi scegliere un metodo, e la scelta conta.
| Metodo | Verdetto | Note |
|---|---|---|
| Archiviazione cloud ordinaria (Drive, Dropbox, Proton) | Bene | Il file è già cifrato, quindi il fornitore memorizza un blob opaco. Questa è la configurazione comune ed è ragionevole. La tua passphrase principale fa tutto il lavoro, rendila una buona passphrase. |
| Syncthing | Migliore | Da dispositivo a dispositivo, senza alcun terzo coinvolto. Più configurazione, e il più coerente con il motivo per cui hai scelto un gestore offline. |
| Inviarlo per email a te stesso | No | Finisce in una casella di posta, in modo permanente, in diverse copie, su server che non controlli. |
| Due dispositivi che modificano contemporaneamente | Attenzione | Il vero pericolo. Due copie modificate prima di una sincronizzazione producono un file di conflitto, e la risoluzione sbagliata perde silenziosamente le nuove voci. Chiudi il database su un dispositivo prima di lavorare sull'altro. |
La sincronizzazione non è un backup. Una sincronizzazione copia fedelmente una cancellazione o una corruzione su ogni dispositivo che possiedi. Conserva una copia periodica da qualche parte che non si sincronizza, un disco esterno, una chiavetta USB in un cassetto, e controlla ogni tanto che si apra ancora. KeePassXC può anche conservare backup automatici della versione precedente ogni volta che salvi; attivalo nelle impostazioni.
06Abbinarlo a una YubiKey
Questa è la combinazione che rende entrambi gli strumenti sostanzialmente più forti, ed è una delle funzionalità meno note di entrambi. KeePassXC può richiedere una challenge-response hardware da una YubiKey in aggiunta alla tua passphrase. Senza la chiave fisica presente, la sola passphrase corretta non aprirà il database.
-
Configura uno slot sulla chiave
Usando YubiKey Manager, imposta uno dei due slot su challenge-response HMAC-SHA1. Fallo su entrambe le tue chiavi, con lo stesso segreto, altrimenti la tua chiave di backup non aprirà il tuo database, il che è un pomeriggio davvero pessimo.
-
Aggiungila al database
Database → Sicurezza del database → Cambia file chiave / Challenge-Response, e seleziona la chiave. Salva.
-
Testa immediatamente la chiave di backup
Chiudi il database, scollega la prima chiave e aprilo con la seconda. Se non funziona, risolvilo ora, finché hai ancora una chiave funzionante nella macchina.
Il tuo database ora non può essere aperto senza hardware. Questo è il vantaggio di sicurezza e il rischio operativo nella stessa frase. Complica anche l'uso mobile, poiché l'app del telefono deve supportare lo stesso challenge-response via NFC. Vale la pena se il database protegge un lavoro che mette a rischio le persone; probabilmente è più attrito che valore se non lo fa.
07Da cosa non ti protegge
- Il riutilizzo delle password, e quindi il fatto che un sito compromesso diventi tutti quanti.
- Le password deboli, in modo permanente, perché smetti di inventarle.
- Phishing, in parte, il rifiuto dell'estensione di compilare è un segnale reale.
- Perdere l'accesso ad account creati anni fa e dimenticati.
- Malware sul tuo computer. Un keylogger cattura la passphrase principale mentre la digiti, e poi ha tutto. Il gestore presuppone che la macchina non sia già compromessa.
- Una passphrase principale debole. L'intero design si riduce a questo unico segreto.
- Essere costretti ad aprirlo.
- Una violazione del sito stesso, una password unica limita i danni, non impedisce la violazione.
- Uno schermo sbloccato e incustodito. Imposta il blocco del database dopo alcuni minuti di inattività e quando lo schermo si blocca.
08Domande che le persone fanno davvero
E se dimentico la passphrase principale?
I dati sono persi. Non c'è reset, né recupero, né linea di supporto, questa è la conseguenza diretta del fatto che nessun altro custodisce la tua cassaforte. Nelle prime settimane, conserva una copia scritta in un luogo fisicamente sicuro finché non sei certo di averla memorizzata. Molte persone ne tengono una copia sigillata in modo permanente, presso qualcuno di cui si fidano o in una cassaforte; è uno scambio ragionevole, non una mancanza di coraggio.
È sicuro mettere il file su Google Drive o Dropbox?
Sì, con l'avvertenza che rende la tua passphrase principale l'unica cosa che separa lo storage di quel provider dalla tua intera vita digitale. Il file è fortemente cifrato e il provider vede solo rumore. Se ti sta bene, è la sincronizzazione più semplice che esista. Se non ti sta bene, usa Syncthing.
E il mio telefono?
KeePassDX su Android e Strongbox su iOS leggono entrambi lo stesso formato di file e sono ben considerati. Nessuno dei due è realizzato dal team di KeePassXC, quindi verificali tu stesso prima di fidarti. Punta l'app sullo stesso file sincronizzato e si comporta come ti aspetti.
Dovrei abbandonare il gestore di password integrato nel mio browser?
Sì, alla fine, ma non lasciare che la migrazione ti impedisca di usarne uno del tutto. I gestori dei browser sono legati all'account del browser, sono spesso sbloccati ogni volta che lo è il browser e sono un obiettivo abituale del malware che ruba informazioni. Esporta dal browser, importa in KeePassXC, poi elimina in modo sicuro il file esportato, è un elenco in testo semplice di ogni password che possiedi, e un numero sorprendente di esse si trova ancora nelle cartelle dei download.
In cosa è diverso da KeePass, KeePassX, KeeWeb?
Condividono un formato di file e un albero genealogico. KeePassXC è quello multipiattaforma mantenuto attivamente con un'interfaccia moderna e l'estensione per il browser, ed è per questo che è la raccomandazione qui. Il tuo database si aprirà negli altri se mai vorrai passare.
09Fonti e ulteriori letture
- KeePassXC — sito ufficiale e download keepassxc.org
- Guida utente di KeePassXC, il manuale completo keepassxc.org/docs
- Syncthing — sincronizzazione da dispositivo a dispositivo senza terze parti syncthing.net
- Have I Been Pwned, controlla quali dei tuoi account sono già in una violazione haveibeenpwned.com
- Privacy Guides — confronto dei gestori di password privacyguides.org
Ultima revisione: 25 settembre 2026