Passwort-Tresor - Cassaforte delle password

Un gestore di password è affidabile quanto la sua architettura. Per questo il Passwort-Tresor (la cassaforte delle password) è costruito in modo rigorosamente zero-knowledge: ogni voce viene cifrata sul tuo dispositivo prima di essere salvata da qualsiasi parte. La cifratura passa dalla Web Crypto API del tuo browser con AES-256-GCM, e la chiave viene derivata dalla tua password principale con PBKDF2 e 1.000.000 di iterazioni. In chiaro le tue password esistono solo nel momento in cui le guardi.

La password principale non lascia mai il tuo dispositivo. Non viene salvata, non viene trasmessa, non ne esiste nemmeno un hash da qualche parte: la chiave viene derivata solo in locale. Il rovescio della medaglia, detto onestamente: se la dimentichi, nessuno può reimpostarla. Nessun supporto, nessun link di reset, nemmeno noi. È proprio questo il senso dell’architettura: quello che non sappiamo, non possiamo né perderlo né consegnarlo.

Nell’uso quotidiano la cassaforte si comporta come una scrivania in ordine. Le voci hanno titolo, nome utente, password, URL e note, si possono ordinare in categorie, segnare come preferite e cercare. Il generatore integrato crea password forti già quando crei una voce, così la scusa «al momento non mi viene niente» non regge più.

L’audit di sicurezza ti mostra dove brucia: password deboli, password usate più volte e voci che non cambiano da una vita. Così smaltisci l’eredità dei tempi in cui ovunque c’era la stessa password con il punto esclamativo in fondo.

Dove sta la cassaforte, te lo diciamo onestamente: cifrata nella memoria di questo browser, legata al tuo account. Uscire non la cancella. Un altro browser, un altro dispositivo o la cancellazione dei dati del sito però non la vedono: non c’è nessuna sincronizzazione tramite i nostri server. Per questo un backup cifrato regolare fa parte del gioco.

Quando cambi gestore non devi ripartire da zero: le esportazioni CSV di LastPass, Bitwarden, KeePass e KeePassXC vengono importate direttamente, anche con note su più righe. Nell’altra direzione crei un’esportazione JSON cifrata come backup. Con «Ripristina backup» la rimetti dentro, anche in un altro browser: scegli il file, inserisci la password principale del backup, poi sostituisci o unisci. Se salvi il backup nell’Aktenschrank (il tuo archivio di documenti), lì c’è comunque solo il file cifrato.

Per l’uso quotidiano ci sono le protezioni che si notano solo quando mancano: blocco automatico dopo un’inattività regolabile (da 5 a 60 minuti oppure mai) e password copiate che vengono rimosse automaticamente dagli appunti dopo 30 secondi. Una cassaforte aperta su un computer incustodito resta comunque un rischio: nemmeno la migliore cifratura protegge dal collega che passa davanti al tuo schermo sbloccato.