Vai al contenuto
Sicurezza

120 password casuali per server, chiavi master, account admin

120 password casuali generate con il metodo Unbiased Random Selection (CSPRNG di sistema con rejection sampling). Lunghezze da 32 a 10 caratteri. Click su una password per copiarla negli appunti.

Pubblicato il · Aggiornato il · da

Password in formato ASCII

Le più sicure: charset di 86 caratteri stampabili, entropia 6.43 bit/char. Una password ASCII da 16 caratteri ha già circa 103 bit di entropia: a mille miliardi di tentativi al secondo (un rig GPU offline contro un hash veloce) servirebbero in media circa 140 miliardi di anni per trovarla con brute-force. Da 30 caratteri si sale a circa 193 bit, fuori portata di qualunque attacco a forza bruta. Usale per servizi critici: accesso server, chiavi master, account amministrativi.

Charset: !"#$%&'()*+,-./23456789:;<=>?@ABCDEFGHJKMNPQRSTUVWXYZ[\]^_`abcdefghjkmnpqrstuvwxyz{|}~

32 caratteri · Molto forte (~206 bit)

7"@=)J3C(eA#EpqX*j`pdF7hGaySb4/2

bc,Y)]gP8F9<Y|JA#:KM,9F&'W<Nu}?'

s%mVh~r?*.6n't~s*h6^'c&G5Uv.M9n`

'AXk4qZHR2$CX8x[pAX-G=+?]}v}Nnx?

wSchD`w2b*[sS^/e`BT2ZJTaSk>Z/K}!

x)de!U"?mf\:%f/]%5B547;9\v<.B8UE

g|4V{43eqneu9yaN*c'4`b=Wf'PCMHf\

Vy>v,B`J!;mn-h<H%w~7n@G72~$|7cgW

Q9y%4,``Nw/tAH%8Q,3<<h@4W}\"[/Wh

*+.NMPu^7EA-eh8NjnctH8^AXr><e7(d

24 caratteri · Molto forte (~154 bit)

G%^=dR>EJNFa.(EktQK=mW,/

VZP#)}q,$=y}}NFS#z\^[Tg`

}YWFSB>2_U@mw82gjnc~~9%c

]dS:'R@N<qTw|V\\7N$62v(~

cpJ~6T*nkz!Y%u#e-Sb/_%6#

v5"w_`n{E@$GCtp2em9bQvc_

Taq*HKwSEjus\=[;G{5D,Vr?

S=qFg'$}D)kCR(&8U@NHX@:}

[@D[)eM#ejv+&7<9u*D{pf@W

Y6a,&M$;n=>D~U$<Ee~u!~8)

20 caratteri · Molto forte (~129 bit)

h>=geb4P;V4MWe2u_t;-

rUAQN<Ja?w{8eh,nbXa$

-Snk?h,x4g^3%qE/\SWD

`,AB?pm4K#fn}_{Rma&:

+/3;'Y^5&5VN^ws=)Uk7

?:kT9~"Q5m+h.%U;mhgr

f.Jy(r!ak+WZ}`6M$:VN

&-/QUb^Ys-f3K||tSzVW

b82$%nQ"Q4>.ZK8uq#^$

4M|~RgE3`G.:Er^})48q

16 caratteri · Forte (~103 bit)

2jdytD2aV=D6BmuS

?j;VBB.|xPm$W+pA

84"KzqPEsA!5Zqp'

Yb)CD2*F&D_`U@MN

r,u#ubQX6*>~CR4m

2_D-[Hku$D]X.pQ|

C:V+k?kxw(R^4\c3

|][;h9H^AnG]|M^P

-A{{>c!#UnRAQ=;(

(sC6kREw[q+KvVMa

12 caratteri · Discreta (~77 bit)

BSQ>+&6nT<Um

pw^XqbW@a\)'

8X!GB?xD6Zcy

f>sZB<3NG^3t

Ury$[Kw}G#bV

k@N6}Pgpnm/b

d#}E+:ju4<9K

m.M}fbf=9-~|

zNNJ<^4g|Wuk

/G,dvX}k#4}#

10 caratteri · Discreta (~64 bit)

e>x&9d'dE8

bx;vq4DDh"

ttqy$p[$f@

4u,%%{{qeG

eyS#c(PUXE

7](9}9h_Y>

9Z+U4|36CD

qT,:-Qafmn

.E.n|<AMk9

8]8\[@G'u'

Password in formato alfanumerico

Charset ridotto (54 caratteri): più leggibili e digitabili ma meno entropia per simbolo. OK per servizi con policy che vietano caratteri speciali. Per tutto il resto, preferisci l'ASCII qui sopra.

Charset: ABCDEFGHJKMNPQRSTUVWXYZabcdefghjkmnpqrstuvwxyz23456789

32 caratteri · Molto forte (~184 bit)

UxZqwPBHQjRnEBbDEz7AeMTbCrsgps4Z

rergerjxEun6z5KVj42MEU2ftrNfuXC9

2ceBsA4V3j6vN3zjN6EUawQJssuxeJk7

VS3admaharZqrVMsJBun7C5euWverMvu

gGxNa6YgFwa2ee8njhSUEtXwbJey9Y72

zhVXqkYAPU5j4HWRFhcDKASzfJZQeKjn

2tDFJA5WNPXJ8EckMYvYByvcA6cVSmMj

4EBS63aDZq3pRk9GnWMc9grbmNqa4dRG

qYHKNzSYVGW3AwPcjHGyXqWvA3TSprVx

JSPQCrFh9hXMdY3Yp6huBVFBuR4tbBHe

24 caratteri · Molto forte (~138 bit)

MszDMzWRST6bYZpE7zKTS74q

45YCx862czPVhPUS2AVHmrbg

9xUnMh3YWmqmKpugykZtUjNp

vZ34GSWBfCrmFdPsHPpbZJP9

DQHtaCxZw7rxQzuAN6Mc3kuw

mQWxmSbbdudNAVDKKYKTbcYq

y2aWHvRcDynn4sWnQEn6C3xm

f6FR3hKtNCP9RJHnbdujk2Fx

qgyR5Y6CnwEGJCGJXPytYNeK

6BcKgvXrqkjuKuPdqmVtRupG

20 caratteri · Molto forte (~115 bit)

jUgSQyUTWgp6MVkyYeVa

eHXSm5mP2dz6ruGYGgCb

ukdDvjCjGp9wRWAXMqXP

VWvpkRd29TWQ99Vqx7Vd

ngPrQEeJmWc4cnuYzAjt

cn4ZqfxTPzhyQgXEnAY2

47ghPrazXrpqstDd29dZ

SasyP6aYYYMUGVa2ZWgk

xdt45rE4pzhcfPNM5Nru

t8AcNGDBgK5489UZDEAU

16 caratteri · Forte (~92 bit)

PA6gQHqM43tvaM7z

s7bCHmfMmcgv2KDv

9Y7uxwTGV26C9tu4

JDqaZtQtfTnMW5MT

yYshM9bnMcvXbMrs

frkbF4W8PSTDEzUK

K4GmhRFksGUkwBDW

cFtYVCD6SxBPkkmT

wkdrhnACpskepSHb

SxG4aATSNmBbAee8

12 caratteri · Discreta (~69 bit)

v3EtYBystbGA

KmyQQFny7tyn

gaVdcrxcyg3J

bVGD5AT565bp

drUY6MbvSUNY

ChU9qJCrU8Nf

cHVtB36CV9Q7

vbYExYFY56Kx

cz77TPZ2Az3t

vZjMZW2xwYad

10 caratteri · Debole (~58 bit)

vP9U5eNrjy

ZqMryR9FZQ

YxAgbtXxQb

kRZpd4Znyb

S4wTp4nz8X

G6H7jAamUT

vUpYseHHat

nM8AeBYS6m

J5cgqu4aTE

YBT88UhPyB

Perché queste password sono sicure davvero

La generazione usa unbiased random sampling tramite la PHP random_bytes() e quindi il CSPRNG del sistema operativo (/dev/urandom su Linux, equivalenti su altri OS), con rejection sampling (maschera di bit, scarto dei valori fuori range) per evitare il modulo bias che molti generatori artigianali sbagliano: ogni carattere ha probabilità esattamente 1/|charset|. Su 20 caratteri ASCII l'entropia reale è di 128 bit. Per confronto, una password "robusta" scelta da un umano ha tipicamente 30-50 bit di entropia ed è brute-forciabile in ore su GPU moderne. Le password servite in pagina esistono solo nell'HTML inviato al tuo browser: non vengono loggate, non vengono salvate da nessuna parte e non sopravvivono al caricamento della pagina.

Domande frequenti

Quanto è lunga una password davvero sicura nel 2026?
Per account personali: almeno 16 caratteri ASCII (circa 100 bit di entropia). Per server SSH, chiavi API, account amministrativi: 24-32 caratteri. Il vero fattore di sicurezza è l'entropia totale, non il tipo di caratteri: una password di 30 caratteri ASCII è più sicura di una di 12 caratteri con 'simboli obbligatori'.
Perché le password generate qui non contengono '0', '1', 'l', 'I', 'O'?
Ambiguità visiva. Se devi leggere o digitare a mano la password (su mobile, su console seriale, su terminale di un server remoto), i caratteri simili tra loro causano errori. Il charset escluso mantiene la stessa entropia effettiva (rimuovere 8 caratteri su 94 (0, 1 e le lettere I/L/O sia maiuscole che minuscole) cambia l'entropia per carattere di ~0,13 bit, irrilevante rispetto alla lunghezza totale).
Le password vengono loggate o trasmesse altrove?
No. Il PHP che genera le password gira server-side in un processo isolato, non logga l'output, non lo invia in nessun database e non lo conserva. Ogni ricarica della pagina produce 120 password nuove che esistono solo nell'HTML servito a te. Le password sono sempre servite via HTTPS.
random_bytes() è davvero sicuro?
Sì. In PHP 8.x random_bytes() legge dal CSPRNG di sistema (/dev/urandom su Linux, equivalenti su altri OS): è la stessa sorgente di entropia che alimenta i tool crittografici standard, e se l'entropia non è disponibile lancia un'eccezione invece di restituire byte deboli. Il generatore applica rejection sampling per evitare il modulo bias, dettaglio critico che molti generatori artigianali sbagliano e che porta a distribuzioni non uniformi sul charset.
Posso usare queste password per crittografia o chiavi API?
Per password di account e servizi sono adatte. Per chiavi crittografiche (AES, RSA, ECDSA) no: le chiavi vanno generate direttamente con la libreria crittografica che le userà, con il formato e la lunghezza specifici dell'algoritmo. Usare una password ASCII come chiave crittografica introduce una derivazione (KDF) non necessaria e tipicamente sbagliata.
E se lavoro in un'azienda dove tutti condividono password scritte in Excel?
Situazione comune, molto rischiosa, risolvibile. Migrare a un password manager aziendale (Bitwarden self-hosted, 1Password Business, Vaultwarden) richiede 2-3 giorni di consulenza per setup + formazione. Se vuoi un percorso strutturato per la tua azienda, contattami: è una delle aree in cui lavoro regolarmente.

Approfondimenti tecnici dal blog principale sullo stesso tema.

La gestione password nella tua azienda non è a posto?

Se la tua azienda usa ancora password condivise in un Excel, credenziali ripetute tra servizi, o non ha un password manager centralizzato, il rischio di compromissione è alto e misurabile. Offro consulenza specifica su password policy aziendali, migrazione a password manager self-hosted (Vaultwarden/Bitwarden), e audit delle credenziali dei servizi in uso. Vent'anni di esperienza backend + cybersecurity applicata.

Parla con me di sicurezza password