Quanto ci vuole per violare una password? (Gratis)

Quanto ci vuole per violare una password dipende da tre fattori: quante password possibili esistono (lunghezza e tipi di caratteri), con quale velocità un malintenzionato può provare le ipotesi, e se la password è davvero casuale. Una password casuale di 8 caratteri minuscoli, salvata con un hash lento, può cadere in un paio di settimane su schede grafiche a noleggio; una password casuale di 16 caratteri con caratteri misti richiederebbe più dell'età dell'universo. Il generatore di password gratuito crea sul tuo dispositivo proprio questo tipo di password, lunga e casuale.

Le famose tabelle a colori che circolano online sono utili, ma si basano su alcune ipotesi. Conoscerle ti dice che cosa protegge davvero un account.

Che cosa vuol dire davvero «violare»

Quando ti registri su un sito, un sito ben gestito non conserva la tua password. Conserva un hash: un'impronta alterata di essa. Quando accedi, il sito calcola l'hash di ciò che digiti e confronta le impronte. Il generatore di hash gratuito mostra l'idea: digita password123 e il suo hash MD5 è 482c811da5d5b4bc6d497ffa98491e38, sempre, su qualunque computer.

Se il database di un sito viene rubato, gli attaccanti ottengono gli hash, non le password. Violare significa indovinare le password, calcolarne l'hash e verificare la corrispondenza, offline, alla velocità massima che l'hardware permette. Nessun blocco del sito li rallenta.

Ecco perché due cose decidono il tempo:

1. Il numero di possibilità che l'attaccante potrebbe dover provare.
2. La velocità di tentativo, che dipende molto dal metodo di hash usato dal sito.

I calcoli della forza bruta

Il numero di password possibili è la dimensione dell'insieme di caratteri elevata alla lunghezza.

Insieme di caratteri	Caratteri
Solo cifre	10
Lettere minuscole	26
Minuscole + maiuscole + cifre	62
Tutti e quattro i tipi nel nostro generatore	85

Una password di 8 caratteri minuscoli ha 26^8, circa 209 miliardi, possibilità. Con tutti gli 85 caratteri, 8 caratteri danno circa 2.7 × 10^15. Ogni carattere in più moltiplica il totale per la dimensione dell'insieme, ed è per questo che la lunghezza batte tutto il resto.

Che cosa dice l'ultima tabella

Secondo la tabella delle password 2026 di Hive Systems, una flotta di 16 schede RTX 5090 che attacca password salvate con bcrypt (un hash volutamente lento, con fattore di lavoro 10) ha effettuato circa 138,675 tentativi al secondo. A quella velocità stimano che una password di 8 caratteri minuscoli richieda circa due settimane per essere violata, e una password di 8 caratteri con tutti i tipi circa 132 anni. I loro tempi sono nel caso peggiore, in cui la password giusta è l'ultimo tentativo.

Usando la stessa velocità di tentativo e l'insieme di 85 caratteri del generatore, ecco il tempo nel caso peggiore che calcoliamo per password casuali:

Lunghezza	Solo minuscole (26)	Tutti e quattro i tipi (85)
6	circa 37 minuti	circa 32 giorni
8	circa 17 giorni	circa 620 anni
10	circa 32 anni	circa 4.5 milioni di anni
12	circa 22,000 anni	circa 32 miliardi di anni
16	circa 10 miliardi di anni	circa 1.7 × 10^18 anni

Il nostro dato per 8 caratteri non coincide con quello di Hive perché le tabelle differiscono per dimensione dell'insieme di caratteri, impostazioni dell'hash e modo di contare i tentativi; il senso è lo stesso. In media la risposta giusta arriva a metà percorso, quindi dimezza questi numeri per un caso tipico.

Perché la tabella può essere troppo ottimistica

La tabella presuppone il caso migliore per te in due modi.

Il sito potrebbe usare un hash veloce. bcrypt è costruito per essere lento. Sistemi vecchi o trascurati usano hash veloci come MD5 o il semplice SHA-1, che una sola scheda grafica può testare miliardi di volte al secondo. Contro questi, i tempi sopra si riducono di un fattore di un milione o più. Non puoi sapere come un sito conserva la tua password, quindi ipotizza il caso peggiore. La guida MD5 vs SHA-256 spiega la differenza.

La tua password potrebbe non essere casuale. La forza bruta è l'attacco più lento. Il cracking reale parte da liste di password trapelate, parole del dizionario, nomi, date e schemi comuni come Password123! (prima lettera maiuscola, numero e simbolo alla fine). Una password costruita così viene trovata in pochi secondi, indipendentemente dal numero di tipi di caratteri, perché gli attaccanti provano prima questi schemi.

Potrebbe essere già trapelata. Se riusi una password e uno dei siti dove l'hai usata viene violato, gli attaccanti non devono violare nulla. Provano semplicemente la stessa email e password su altri siti.

Che cosa ti protegge davvero

• Lunghezza e casualità. Una password casuale di 16 caratteri o più è fuori dalla portata della forza bruta per qualsiasi attaccante realistico. Secondo NIST SP 800-63B (revisione 4, 2025), i servizi che si affidano solo alla password dovrebbero richiedere almeno 15 caratteri, e non dovrebbero imporre regole di composizione né cambi periodici.
• Una password unica per ogni sito. Questo elimina completamente gli attacchi basati sul riuso.
• Un gestore di password. Ricorda decine di password lunghe e casuali, così non devi farlo tu. Allora la lunghezza non ti costa nulla.
• Autenticazione a due fattori. Anche se una password viene violata, l'attaccante ha ancora bisogno del tuo telefono o della tua chiave di sicurezza. Attivala prima per email, banca e account social.

Se ti serve una password che puoi ricordare e digitare, come la password principale del tuo gestore, una lunga passphrase di parole casuali è la scelta giusta. Vedi passphrase vs password.

Crea una password che non si può violare

Apri il generatore di password gratuito, imposta Lunghezza su 16 o più (parte da 20), lascia selezionate Minuscole, Maiuscole, Numeri e Simboli, premi Genera e poi Copia. La password viene creata sul tuo dispositivo e non viene mai inviata da nessuna parte. Per saperne di più sulle impostazioni, vedi come creare una password sicura.