Gestori di password: dove metti le chiavi del sito (e perché Excel non basta)

Hai recuperato il dominio. Hai l’hosting. Hai un admin WordPress. Hai (forse) Analytics a nome tuo. Bene.

Ora dimmi dove stanno le password di tutto questo.

Se la risposta è «nel foglio Excel», «nella chat con lo sviluppatore», «me le mando via mail», «è sempre la stessa, così me la ricordo» — le chiavi del sito non sono in un mazzo. Sono sparse sul pavimento. E il giorno che serve entrare di corsa, o cambiare fornitore, o il tecnico sparisce, scopri che possedere gli account non basta: serve anche sapere come aprirli, da solo, senza chiedere permesso.

Questo pezzo non è «i 10 migliori password manager del 2026». È il pezzo mancante del mazzo delle chiavi digitali: dove tieni registrar, hosting, WordPress, mail e il resto — in un posto solo, tuo.

Il problema non è “avere tante password”

Il problema è come le gestisci.

Per un sito “normale” di professionista o piccola attività, il mazzo minimo è già questo:

• login del registrar (chi rinnova il dominio);
• login dell’hosting / pannello;
• admin WordPress (e magari l’URL di login nascosto — vedi se non ricordi l’URL di login);
• caselle email sul dominio;
• eventuale Google / Search Console / Analytics;
• FTP, database, staging, pec… se ci sono.

Sono pezzi diversi. Se uno solo resta «boh, ce l’ha l’agenzia», quella è una chiave fuori dal mazzo — stessa logica del dominio in ostaggio e di Analytics intestato a loro.

E no: ripetere la stessa password ovunque non è un sistema. È una scommessa. Ne basta una che salta (un forum del 2014, un plugin vecchio, una mail in chiaro) e ti aprono il resto.

Come funzionano (in parole povere)

Immagina una cassaforte. Dentro ci sono tutte le chiavi (le password). Fuori c’è una sola chiave maestra — la master password — che apri tu a inizio giornata o quando il vault si blocca.

Le password dentro non stanno “in chiaro” sul server del gestore: vengono cifrate sul tuo dispositivo con quella master (e, a seconda del prodotto, altri pezzi di sicurezza). Chi gestisce il servizio, in teoria, non può leggere il tuo mazzo come un foglio Excel aperto. Se perdi la master e non hai un recupero impostato, spesso non te le rimettono loro: è il lato scomodo della sicurezza.

In pratica, nel quotidiano, il software fa tre cose:

1. Genera password lunghe e diverse per ogni servizio — senza che tu le inventi.
2. Le tiene nel vault cifrato.
3. Le propone quando servi: estensione del browser, app sul telefono, a volte note sicure (Auth code del dominio, PIN del pannello, URL di login strano).

Non è magia. È un anello porta-chiavi digitale: un posto solo, tante chiavi, non undici copie sparse in giro per casa.

Scomodo? Sì. Più di “Salva in Google”

Diciamolo chiaro: non sono comodissimi, soprattutto all’inizio.

Con le password salvate in Chrome / Google (o Safari / iCloud) spesso era un click: sito → login già pieno → avanti. Zero pensiero. Il gestore dedicato ti chiede di più: installi l’estensione (o l’app), apri il vault, a volte inserisci la master password o sblocchi con impronta / PIN. Se il vault è bloccato, non è più “un click e via”: è un passaggio in più.

È il prezzo. Google ti semplifica la vita perché le password vivono nel suo account, legate al browser. Un gestore serio ti obbliga a un gesto di sblocco perché la cassaforte è tua — e non vuole aprirsi da sola a chiunque tocchi il PC.

Dopo qualche giorno di abitudine diventa meno pesante (sblocco biometrico, vault che resta aperto un po’). All’inizio però sì: sembra un passo indietro rispetto al salvataggio del browser. Lo scambio è questo: un po’ meno comodo oggi, molte meno porte aperte se un giorno salta una password sola — o se cambi computer e non vuoi dipendere solo da “quello che Google si ricorda”.

Se un giorno dimentichi la password di WordPress, avere il vault a posto è la differenza tra «entro in due minuti» e «apro phpMyAdmin» (che comunque puoi fare: guida al recupero). Il gestore non sostituisce i backup — ma evita di vivere di emergenze.

Io uso Bitwarden — ma non è l’unica scelta

Io uso Bitwarden a pagamento (non il piano free): open source, sync su tutti i device, funzioni in più che mi servono nel lavoro — abbastanza semplice da non doverci litigare ogni giorno. Per me va bene.

Non è dogma. Non è «il migliore in assoluto». È quello che uso io. Se a te ne serve un altro, meglio un gestore diverso usato bene che Bitwarden citato nei post e le password ancora in WhatsApp.

Dipende da chi sei e da cosa ti serve davvero.

1Password — spesso il più comodo da usare ogni giorno. App lucide, condivisione in famiglia o piccolo team, funzioni tipo Travel Mode. A pagamento, niente free generoso. Se odi combattere con l’interfaccia e vuoi che “funzioni e basta”, molti lo preferiscono. Per un professionista che deve far entrare anche un collaboratore o un familiare nel vault senza spiegare tre volte, pesa.

Proton Pass — ha senso se sei già nell’ecosistema Proton (mail, VPN) o ti interessa la privacy e gli alias email (“hide my email”). Free usable; non è ancora il re delle organizzazioni complesse, ma per una persona / piccolo studio può essere più che sufficiente — e a volte più “tuo” come filosofia rispetto ai brand USA classici.

KeePass / KeePassXC — il file cifrato sul PC (o su un disco tuo). Zero abbonamento, zero cloud obbligatorio. Massima proprietà… e massima responsabilità: sync, backup del file .kdbx, aggiornamenti, “se perdi il file e non hai copia, ciao”. Per chi vuole controllo totale ed è disciplinato: ottimo. Per chi già fatica a rinnovare il dominio: rischia di diventare un altro foglio Excel, solo più sicuro finché non lo perdi.

Bitwarden — nel mio caso (piano a pagamento) è il compromesso trasparenza / praticità / costo contenuto rispetto ad altri premium. Esiste anche un free serio se vuoi provare senza spendere. Se l’app ti sta stretta o ti serve condivisione familiare senza attrito, guarda 1Password. Se vuoi zero cloud, KeePassXC. Se sei già in Proton, prova Proton Pass.

Altri nomi (NordPass, Dashlane, Keeper…) esistono. Non li elenco come classifica da blog di affiliate: l’importante è il criterio, non il podio della settimana.

Come scegliere senza diventare esperto di crittografia

Tre domande, oneste:

1. Lo userai davvero? Il gestore perfetto che non apri è peggio di uno “abbastanza buono” che usi ogni giorno.
2. Chi altro deve entrare? Solo tu → quasi tutti vanno bene. Famiglia / socio / studio → conta la condivisione (qui 1Password spesso vince di praticità).
3. Cloud sì o no? Cloud = comodo e sync. Offline = più controllo, più disciplina. Non esiste gratis totale senza un pezzo di responsabilità tua.

Regola mia, da chi sistema siti: meglio il gestore che usi davvero — Bitwarden, 1Password o un altro — che quello “giusto” lasciato nello store.

Cosa metterci dentro (il mazzo del sito)

Non solo “password del sito”. Cartella o vault dedicato, tipo Sito — NomeAttività, con almeno:

• Registrar + hosting + WordPress admin;
• URL di login se non è il classico /wp-admin;
• Email principali del dominio;
• Database / FTP se li usi;
• Note: dove sta il backup, chi è intestatario del dominio, codice Auth/EPP quando serve trasferire (poi lo togli quando non serve più in chiaro).

Se lavori con un fornitore: tu sei owner del vault. Loro possono avere un accesso limitato nel tempo, non “la chat eterna con tutte le password in un messaggio del 2019”.

Cosa non fare (anche se “così facevamo sempre”)

• Password uguale su hosting, WP e mail.
• File password.xlsx sul desktop o su Drive senza cifratura seria.
• Password mandate su WhatsApp / Telegram e lasciate lì per anni.
• Unica persona al mondo che conosce i login: lo sviluppatore. (Se sparisce, tu sei ospite a casa tua — di nuovo.)
• Master password debole o scritta sul post-it sotto la tastiera. Una chiave per tutte le chiavi: trattala come tale.

Checklist rapida

1. Elenca i login che servono al sito (dominio, hosting, WP, mail, Google…).
2. Scegli un gestore che userai — non quello più citato su Reddit.
3. Importa o riscrivi le password, una diversa dall’altra.
4. Verifica di poter entrare tu, da solo, in ciascuno.
5. Togli le copie “di comodo” da chat e fogli. Se serve condivisione, falla dentro il gestore, con scadenza mentale: quando il lavoro finisce, si revoca.

Se anche una riga resta «boh, lo sa solo il tecnico», quella è una chiave fuori dal mazzo.

Il resto delle chiavi digitali — dominio, hosting, posta, Analytics — sul sito ce l’hai a pezzi. Questo pezzo serve a non lasciarle appese al chiodo sbagliato.

Stai mettendo in ordine accessi e non sai da dove partire? Scrivimi — spesso in mezz’ora si capisce cosa manca e cosa può aspettare.