Ogni browser, ogni sistema operativo e ogni applicazione di gestione delle credenziali memorizza le tue password salvate in una posizione distinta. Ritrovare un’identità dimenticata implica sapere esattamente dove cercare, poiché i percorsi variano a seconda del dispositivo, del browser e del tipo di archiviazione (locale o cloud). Questa guida confronta le principali posizioni e il loro livello di sicurezza per consentirti di localizzare le tue password senza tentennamenti.
Confronto delle posizioni delle password salvate per browser e sistema
La tabella qui sotto sintetizza i percorsi per accedere alle password salvate per gli ambienti più comuni. Distingue l’archiviazione locale dall’archiviazione sincronizzata tramite un account online.
| Ambiente | Percorso rapido | Sincronizzazione cloud | Autenticazione richiesta |
|---|---|---|---|
| Chrome (computer) | Impostazioni > Compilazione automatica > Gestore password | Sì (account Google) | Password di sistema o biometria |
| Chrome (Android) | Impostazioni > Gestore password di Google | Sì (account Google) | Blocco del dispositivo |
| Safari (macOS) | App Passwords (macOS Sequoia+) o Preferenze di Sistema > Passwords | Sì (iCloud) | Touch ID o password di sessione |
| Safari (iOS) | Impostazioni > Passwords | Sì (iCloud) | Face ID, Touch ID o codice |
| Edge (Windows) | Impostazioni > Passwords | Sì (account Microsoft) | Password Windows Hello |
| Firefox | Impostazioni > Privacy e sicurezza > Credenziali e password | Opzionale (Firefox Sync) | Password principale se attivata |
| Gestore dedicato (Dashlane, Bitwarden, ecc.) | App nativa o estensione del browser | Sì (server crittografato dell’editore) | Password principale + 2FA |
Un punto emerge da questo confronto: tutti i browser richiedono un’autenticazione locale prima di visualizzare una password in chiaro. La differenza sta nella robustezza di questa autenticazione e nell’ambito di sincronizzazione.
Per consultare un elenco delle password su CGI Network più dettagliato, il percorso completo verso ogni gestore è descritto passo dopo passo.
Archiviazione locale o sincronizzazione cloud: differenze di sicurezza concrete
La sincronizzazione cloud semplifica l’accesso multi-dispositivo, ma sposta la superficie di attacco. Una password memorizzata solo localmente sul tuo computer è accessibile solo con accesso fisico alla macchina e un’autenticazione di sistema. Al contrario, una password sincronizzata tramite un account Google o Apple diventa vulnerabile quanto la password di quell’account.
Rischio principale dell’archiviazione delle password nel browser sincronizzato
Se il tuo account Google o Microsoft viene compromesso (phishing, password riutilizzata), l’attaccante accede a tutte le tue credenziali sincronizzate da qualsiasi dispositivo. La crittografia lato server protegge da una fuga di database, ma non da un accesso legittimo all’account.
Attivare la verifica in due passaggi sull’account di sincronizzazione riduce significativamente questo rischio. Senza questa protezione, la comodità della sincronizzazione si trasforma in una falla.
Vantaggio dei gestori dedicati su questo punto
I gestori come Dashlane o Bitwarden crittografano il vault con una password principale che l’editore non conosce (architettura detta “zero-knowledge”). L’account online serve solo come trasporto per il vault crittografato. Anche in caso di compromissione del server, le password rimangono illeggibili senza la password principale.
Questa architettura spiega perché questi strumenti richiedano una password principale robusta, distinta da qualsiasi altra credenziale. Il prezzo di questa sicurezza aggiuntiva: perdere questa password principale significa perdere l’accesso all’intero vault, senza possibilità di recupero presso la maggior parte degli editori.
Passkey e password: due posizioni da non confondere
Le passkey (chiavi di accesso FIDO) appaiono ora nelle stesse interfacce delle password classiche, sia in Chrome, Edge, Safari che nelle impostazioni di iOS e Android. Questa coabitazione crea una confusione frequente.
Le passkey non sono password. Si basano su una coppia di chiavi crittografiche: la chiave privata rimane memorizzata nel modulo di sicurezza del dispositivo o sincronizzata tramite l’account dell’editore (Google, Apple, Microsoft), mentre il sito riceve solo la chiave pubblica. Una passkey rubata lato server è inutilizzabile senza il dispositivo o l’account associato.
- Su Chrome e Android, le passkey sono gestite nel Gestore password di Google, ma memorizzate separatamente e ancorate al Credential Manager del dispositivo.
- Su Windows e Edge, la documentazione Microsoft indica che password e chiavi di accesso sono gestite in sezioni distinte, le passkey essendo collegate all’account Microsoft o al modulo TPM.
- Su iOS e macOS, l’app Passwords (introdotta con le ultime versioni) raggruppa password e passkey nel portachiavi iCloud, con un indicatore visivo per distinguerle.
In pratica, se cerchi un’identità e non la trovi nella sezione password, controlla la sezione chiavi di accesso. Alcuni siti migrano automaticamente verso le passkey dopo un primo accesso riuscito, il che può dare l’impressione che la password sia scomparsa.
Esportare le proprie password: precauzioni prima di cambiare gestore
La maggior parte dei browser e dei gestori consente di esportare le password salvate in formato CSV. Chrome offre questa opzione in Impostazioni > Gestore password > Esporta. Firefox, Edge e Safari offrono funzioni equivalenti.
Un file CSV contiene tutte le tue credenziali in testo semplice, senza alcuna crittografia. Chiunque acceda a questo file dispone dell’intera tua lista di account. Tre precauzioni riducono il rischio:
- Effettuare l’esportazione su un dispositivo di fiducia, disconnesso dalla rete se possibile, e cancellare il file immediatamente dopo l’importazione nel nuovo gestore.
- Non memorizzare il file CSV in una cartella sincronizzata (Google Drive, OneDrive, iCloud) né inviarlo tramite messaggistica.
- Verificare che l’importazione nel nuovo gestore sia andata a buon fine prima di eliminare i dati dal vecchio, testando la connessione su due o tre account.
L’esportazione rimane l’unico metodo affidabile per migrare da un browser a un gestore dedicato, o viceversa. Firefox consente anche l’importazione diretta da Chrome senza passare attraverso un file intermedio, il che limita l’esposizione.
La localizzazione delle tue password salvate dipende tanto dal browser utilizzato quanto dal tipo di archiviazione scelto. Controllare regolarmente quali credenziali sono sincronizzate, distinguere password e passkey, e trattare ogni file di esportazione come un dato altamente sensibile rimane la base di una gestione affidabile dei propri accessi.