I browser web memorizzano le credenziali in database locali il cui livello di protezione varia a seconda del sistema operativo e della configurazione. Ritrovare le proprie password salvate implica sapere dove ogni sistema le conserva, ma anche comprendere i limiti di queste posizioni in termini di sicurezza.
Memorizzazione delle password nei browser: cosa protegge realmente la crittografia locale
Chrome, Firefox ed Edge crittografano le password salvate tramite le API crittografiche del sistema operativo. Su Windows, Chrome si basa su DPAPI (Data Protection API), che lega la decrittazione alla sessione utente attiva. In concreto, ogni processo eseguito nella tua sessione Windows può accedere alle password in chiaro.
Firefox si distingue per la possibilità di impostare una password principale che aggiunge un ulteriore livello di crittografia indipendente dalla sessione del sistema operativo. Senza questa opzione attivata, il file logins.json rimane leggibile da qualsiasi software con diritti utente.
La CNIL considera ora che la memorizzazione delle password in un browser senza password principale sia una cattiva pratica. Le sue raccomandazioni sull’autenticazione suggeriscono un gestore di password dedicato, con memorizzazione sotto forma di impronte crittografiche utilizzando algoritmi moderni come Argon2, scrypt, bcrypt o PBKDF2. Questa posizione ufficiale contrasta con l’approccio permissivo della maggior parte dei tutorial online.
Consigliamo di consultare la lista delle password su CGI Network per identificare precisamente i luoghi in cui le tue credenziali sono conservate a seconda della tua configurazione.
Trovare le tue password salvate su Chrome, Firefox ed Edge
Google Chrome e il gestore di password Google
Apri Chrome, poi vai su Impostazioni, seleziona la sezione Compilazione automatica e password, poi Gestore di password Google. L’elenco completo delle tue credenziali appare, ordinato per sito. Per visualizzare una password, clicca sull’icona a forma di occhio: il sistema ti chiederà il tuo codice PIN, impronta digitale o password di Windows.
Su Android, il percorso passa per Impostazioni del dispositivo, poi Google, poi Gestore di password. Le credenziali sincronizzate tramite il tuo account Google sono raggruppate lì.
Firefox: il menu Credenziali e password
Vai su Impostazioni, sezione Privacy e sicurezza, poi Credenziali e password. Firefox mostra ogni voce con il nome utente e un pulsante per rivelare la password. Se hai attivato la password principale, verrà richiesta prima di qualsiasi consultazione.
Microsoft Edge
Edge utilizza lo stesso motore di Chrome (Chromium) e memorizza le password in modo simile. Vai su Impostazioni, Profili, poi Password. La verifica dell’identità avviene tramite Windows Hello o la password dell’account Windows.
Esportare e migrare le proprie password senza file CSV in chiaro
L’esportazione CSV rimane il metodo più comune per estrarre le proprie credenziali da un browser. Il problema: un file CSV contiene tutte le tue password in testo semplice, senza alcuna crittografia. Un’oblio nella cancellazione, un backup automatico nel cloud, e questo file diventa un vettore di compromissione.
Il Gestore di password Google offre ora opzioni di importazione ed esportazione che integrano il protocollo Credential Exchange. Questo meccanismo consente di trasferire password e passkey verso un altro gestore senza generare un file intermedio in chiaro, riducendo significativamente la superficie di attacco durante una migrazione.
Se devi comunque utilizzare un CSV, applica queste precauzioni:
- Crittografa il file immediatamente dopo l’esportazione (7-Zip con AES-256 o GPG) e cancella la versione non crittografata
- Disattiva la sincronizzazione cloud della cartella contenente il file per evitare che venga caricato su Google Drive, OneDrive o iCloud
- Importa nel gestore di destinazione subito dopo, poi distruggi il file crittografato con uno strumento di cancellazione sicura
Gestore dedicato o browser: criteri di scelta tecnici
Un gestore di password dedicato (KeePass, Bitwarden, Proton Pass) offre un vault crittografato end-to-end con una password principale obbligatoria. Il browser, invece, delega la protezione al sistema operativo. La differenza non è trascurabile: un malware di tipo infostealer estrae le password di Chrome in pochi secondi non appena ottiene i diritti utente.
I gestori dedicati memorizzano i dati in un formato proprietario crittografato, spesso con un’architettura zero-knowledge. Il fornitore stesso non può leggere le tue credenziali. Proton Pass, ad esempio, sfugge al Cloud Act ospitando i suoi server in Svizzera, un punto che conta per gli utenti attenti alla giurisdizione.
Osserviamo che la scelta raramente si riduce a una questione di comodità. I criteri discriminanti sono:
- La presenza di un audit di sicurezza indipendente pubblicato e verificabile
- Il supporto delle passkey (FIDO2/WebAuthn) oltre alle password classiche
- La possibilità di condividere un’identità senza rivelare la password in chiaro al destinatario
- L’interoperabilità con i sistemi di autenticazione a due fattori (TOTP, chiavi fisiche)
Passkey e futuro dell’autenticazione senza password
Le passkey stanno progressivamente sostituendo le password tradizionali con una coppia chiave pubblica/chiave privata. La chiave privata rimane sul dispositivo, protetta dalla biometria o dal codice di sblocco. Nessun segreto condiviso transita sulla rete, il che elimina il phishing tramite intercettazione delle credenziali.
Google, Apple e Microsoft integrano nativamente le passkey nei loro gestori rispettivi. La sincronizzazione delle passkey tra dispositivi funziona tramite l’account cloud del fornitore, il che solleva le stesse questioni di fiducia delle password classiche.
Per gli account che non supportano ancora le passkey, l’autenticazione a doppio fattore tramite app TOTP (e non tramite SMS, vulnerabile al SIM swapping) rimane il complemento più affidabile a una password forte memorizzata in un gestore dedicato.
Il gestore di password del browser rimane uno strumento di emergenza accettabile per un uso personale non sensibile. Per tutto il resto, migrare verso un vault dedicato e attivare le passkey dove proposte costituisce la combinazione più solida fino ad oggi.