Password Creator

Perché questo generatore è diverso

Casualità crittograficamente sicura

La maggior parte dei generatori di password usa Math.random() — una funzione pseudo-casuale prevedibile con dati sufficienti. Questo generatore usa l'API crypto.getRandomValues(), la stessa casualità crittografica che i sistemi operativi usano per generare chiavi. Non è prevedibile, non è riproducibile e non è influenzata dall'ora del giorno né da alcuno stato osservabile.

Perché 20 caratteri sono il nuovo standard minimo

Nel 2024, le GPU consumer riescono a testare oltre 100 miliardi di hash MD5 di password al secondo. Una password di 8 caratteri con l'intero set di caratteri cade in meno di un'ora. Una password di 12 caratteri cade in settimane. A 20 caratteri, il brute force diventa computazionalmente irrealizzabile per qualsiasi attaccante senza risorse da stato — parliamo di milioni di anni anche con i miglioramenti hardware futuri.

Le linee guida NIST SP 800-63B (aggiornate nel 2024) ora raccomandano esplicitamente la lunghezza rispetto alla complessità, e rimuovono le politiche di rotazione obbligatoria che in passato si credeva migliorassero la sicurezza ma che in realtà spingevano gli utenti a fare modifiche incrementali prevedibili.

Passphrase — più robuste di quanto sembrino

Cinque parole comuni casuali creano una password con circa 65+ bit di entropia — più della maggior parte delle password casuali di 12 caratteri. Sono anche molto più facili da digitare e memorizzare. La parola chiave è casuale: una passphrase come "correct-horse-battery-staple" (da XKCD 936) è robusta proprio perché le parole sono state scelte casualmente, non perché formano una frase ingegnosa che hai inventato. Le frasi inventate hanno pattern che gli attaccanti possono modellare.

Cosa protegge davvero "escludi ambigui"

Caratteri come 0 e O, l, 1 e I sembrano identici in molti font. Escluderli ha un costo di sicurezza pari a zero (la perdita sul set di caratteri è trascurabile con 20+ caratteri) ma elimina gli errori di trascrizione quando devi leggere una password dallo schermo. Consigliato ogni volta che potresti dover digitare la password manualmente.

Le tue password non lasciano mai questa pagina

La generazione avviene interamente nel tuo browser tramite JavaScript e la Web Crypto API. Nessuna richiesta di rete viene effettuata. Nessuna password viene registrata, trasmessa o salvata da nessuna parte — neanche da noi. Puoi verificarlo disconnettendoti da internet e generando password: funziona in modo identico.