Sicurezza

120 password casuali per server, chiavi master, account admin

120 password casuali generate con il metodo Unbiased Random Selection (CSPRNG di sistema con rejection sampling). Lunghezze da 32 a 10 caratteri. Click su una password per copiarla negli appunti.

Password in formato ASCII

Le più sicure: charset di 85 caratteri stampabili, entropia 6.4 bit/char. Una password ASCII da 30 caratteri richiede circa 41 trilioni di anni per essere craccata con brute-force GPU offline. Usale per servizi critici: accesso server, chiavi master, account amministrativi.

Charset: !"#$%&'()*+,-./23456789:;<=>?@ABCDEFGHJKMNPQRSTUVWXYZ[\]^_`abcdefghjkmnpqrstuvwxyz{|}~

32 caratteri

:/<ra&:"wbk{JW&RrAwVmT"H8/`qMFaK

Rh%hx]aG4\[[{f/=f!yZfVn;8'+#tzz+

Y;DE>e"}&eb~)3h9<e3|WfC_#M/(~RdA

\D`Q:JK"r|9x@`xxR`*xY,b}<#&v+kgP

Q53n%YJwQc6VCdfG7D`R,@j!#]B![?Tc

24 caratteri

&`H37J<E\2/[aTQ;),bJ-[tj

Ny.y8}.)|..DBN;s_bmybyG4

,cV.MVjm.#5+R*}y%bg&bF3m

c_s]~zqhx{W`,qh(*&q's)u?

f@w[kY:T!mm&2(f*Gc7A(F'/

20 caratteri

AfkmXx*<[trCMH"MnYrE

>Fjq:$kgQ5s"DG6A{Wt'

yRY^U,\wE&hF/vz&FgYT

^/>u+2^)4.44Z}%^],2{

h'/C]U8s@Z}*!dnhGq#a

16 caratteri

"-J]DW|wdHWcZPv]

>+)Gq=kX$`Wq.HK(

hP#PdKaG@Rc5&DJ~

vH'gY\kj|@w^Jfyw

RC$(KenQnu8{Y!+t

12 caratteri

8%9.'#?~ex7&

m)q%[m}<5+tJ

zx-ZBabNE<xx

Eh&j_^5=<&u"

*?pWA'X_]6'Q

10 caratteri

QS;n~X52`D

8x/'@_*VsB

3fs(Uw,*,j

['REbm}(z9

ZMW+Pj^r7[

Password in formato alfanumerico

Charset ridotto (54 caratteri): più leggibili e digitabili ma meno entropia per simbolo. OK per servizi con policy che vietano caratteri speciali. Per tutto il resto, preferisci l'ASCII qui sopra.

Charset: ABCDEFGHJKMNPQRSTUVWXYZabcdefghjkmnpqrstuvwxyz23456789

32 caratteri

ef9zNN3QNJAcwqhgtRCzVtHgrFpD7ahM

x8HcySm99DrE2xuZnUJXvvMqwwRc28MP

m6G2UVenT3V5g9zCeEjJrKV6ByAbzjcN

CnvTpG3Mc5hKbdZeGm6Xb2BH4a8XPgAG

9aZuE82dtn9GM9KH9PsRSQ2wWEf3zYUw

24 caratteri

cVresnu5wFMkRQAu4h6npEjB

GqZauHMxBpPuvjH2neUDjkvS

CbFmrZuSSkfMC2YfuVgJasw6

DxYWPmev4Q5NWdNUVt9Rtpxk

Xhtt3QGTvEDDH2Y4p9pUbZFP

20 caratteri

PmAeKmY4ZRewgmNRmX7z

CpmPsdZxw7g8XXKHHfhh

vUNEjwDHFRqFMCmcZqWn

AbQuKVYd6AtaB4SPk6xP

nxR3uNHUnetj4fDwc9UF

16 caratteri

zgU9Mh7nWjJ4Zhyq

pshCvjfSJpHcNqsT

S8AWNZVgBrqzbMp5

JzjfVYSqrwx5r4eG

BzsMCBaNDdUxyQdR

12 caratteri

9Kn5GVj3RYTv

GMxWHPuSJhqN

wUeEVzjU3Fyp

pa6sUQAqG4Zx

rjUR5HTkBWzN

10 caratteri

y6rH9r69sk

XRhDbhtMQ9

btcZGz3qP7

w8CVVMUmMk

P6arZVtUMg

Perché queste password sono sicure davvero

La generazione usa unbiased random sampling tramite la PHP random_int() e quindi il CSPRNG del sistema operativo (/dev/urandom su Linux, equivalenti su altri OS), con rejection sampling per evitare il modulo bias che molti generatori artigianali sbagliano: ogni carattere ha probabilità esattamente 1/|charset|. Su 20 caratteri ASCII l'entropia reale è di 128 bit. Per confronto, una password "robusta" scelta da un umano ha tipicamente 30-50 bit di entropia ed è brute-forciabile in ore su GPU moderne. Le password servite in pagina esistono solo nell'HTML inviato al tuo browser: non vengono loggate, non vengono salvate da nessuna parte e non sopravvivono al caricamento della pagina.

Domande frequenti

Quanto è lunga una password davvero sicura nel 2026?

Per account personali: almeno 16 caratteri ASCII (circa 100 bit di entropia). Per server SSH, chiavi API, account amministrativi: 24-32 caratteri. Il vero fattore di sicurezza è l'entropia totale, non il tipo di caratteri: una password di 30 caratteri ASCII è più sicura di una di 12 caratteri con 'simboli obbligatori'.

Perché le password generate qui non contengono '0', '1', 'l', 'I', 'O'?

Ambiguità visiva. Se devi leggere o digitare a mano la password (su mobile, su console seriale, su terminale di un server remoto), i caratteri simili tra loro causano errori. Il charset escluso mantiene la stessa entropia effettiva (rimuovere 5 caratteri su 94 cambia l'entropia per carattere di ~0.08 bit, irrilevante rispetto alla lunghezza totale).

Le password vengono loggate o trasmesse altrove?

No. Il PHP che genera le password gira server-side in un processo isolato, non logga l'output, non lo invia in nessun database e non lo conserva. Ogni ricarica della pagina produce 120 password nuove che esistono solo nell'HTML servito a te. Le password sono sempre servite via HTTPS.

random_int() è davvero sicuro?

Sì. In PHP 8.x, random_int() usa internamente il CSPRNG di sistema (/dev/urandom su Linux, equivalenti su altri OS): è la stessa sorgente di entropia che alimenta i tool crittografici standard. L'implementazione applica rejection sampling per evitare il modulo bias, dettaglio critico che molti generatori artigianali sbagliano e che porta a distribuzioni non uniformi sul charset.

Posso usare queste password per crittografia o chiavi API?

Per password di account e servizi sono adatte. Per chiavi crittografiche (AES, RSA, ECDSA) no: le chiavi vanno generate direttamente con la libreria crittografica che le userà, con il formato e la lunghezza specifici dell'algoritmo. Usare una password ASCII come chiave crittografica introduce una derivazione (KDF) non necessaria e tipicamente sbagliata.

E se lavoro in un'azienda dove tutti condividono password scritte in Excel?

Situazione comune, molto rischiosa, risolvibile. Migrare a un password manager aziendale (Bitwarden self-hosted, 1Password Business, Vaultwarden) richiede 2-3 giorni di consulenza per setup + formazione. Se vuoi un percorso strutturato per la tua PMI, contattami: è una delle aree in cui lavoro regolarmente.

La gestione password nella tua azienda non è a posto?

Se la tua PMI usa ancora password condivise in un Excel, credenziali ripetute tra servizi, o non ha un password manager centralizzato, il rischio di compromissione è alto e misurabile. Offro consulenza specifica su password policy aziendali, migrazione a password manager self-hosted (Vaultwarden/Bitwarden), e audit delle credenziali dei servizi in uso. Vent'anni di esperienza backend + cybersecurity applicata.

Parla con me di sicurezza password