# La password del router, e perché quella di fabbrica non basta > Il tuo router ha due password: quella del wifi e quella di amministrazione dell'apparecchio. La seconda non l'ha quasi mai toccata nessuno, ed è quella che comanda davvero in casa tua. 2026-09-06 · David Carrero · password.es Original: https://password.es/it/blog/la-password-del-router/ --- Il tuo router ha due password, e quasi nessuno lo sa. Una è quella del wifi: quella che detti al telefono, quella scritta su un foglio in cucina, quella che leggi all'idraulico. L'altra è la password di amministrazione dell'apparecchio stesso, quella che apre il pannello dove si configura tutto. **La seconda non la tocca quasi mai nessuno**, e se tu non l'hai toccata è ancora esattamente quella stampata sull'adesivo sotto. Le due proteggono cose diverse e falliscono in modi diversi. Vale la pena separarle, perché vent'anni di discorsi su «la password del wifi» sono serviti, fra le altre cose, a coprire l'altra. ## Quella che sai a memoria e quella che non hai mai guardato La chiave del wifi decide **chi può collegarsi** alla rete. È un permesso d'ingresso: con quella, un dispositivo entra nella tua rete locale e convive con tutti gli altri. La password di amministrazione decide **chi può cambiare come funziona la rete**. Da quel pannello si toccano il nome della rete, il tipo di cifratura, quali server DNS usa tutta la casa, quali porte sono aperte verso l'esterno e se il router si può amministrare da internet. Non è una porta in più: è la porta da cui si riconfigurano le altre. Ecco l'asimmetria scomoda. Se qualcuno ha la chiave del wifi, è dentro la tua rete. Se qualcuno ha quella di amministrazione, **la tua rete è sua**: può cambiare la chiave del wifi, abbassare la cifratura o dirottare da dove esce il tuo traffico, e tu te ne accorgeresti dall'effetto, mai da un avviso. La raccomandazione della CISA su questo non ha sfumature: cambia nome utente e password di accesso al router, perché le informazioni di fabbrica *possono essere pubbliche e alla portata di chiunque*, e mettine una lunga, casuale e unica. E aggiungine un'altra che quasi tutti violano senza accorgersene: **che non sia la stessa del wifi.** Sono due cose distinte, e si condividono in modo molto diverso: una la sa mezzo quartiere, l'altra non dovrebbe saperla nessuno. ## 2011: il pulsante che sembrava comodo Nel tuo router c'è un terzo segreto di cui non si parla quasi mai: il PIN del **WPS**, il sistema di accoppiamento rapido che compare come pulsante sull'apparecchio e come numero di otto cifre sull'adesivo. Nel dicembre 2011 il CERT/CC pubblicò la nota di vulnerabilità **VU#723755**, a partire dal lavoro di Stefan Viehböck, su una debolezza di progettazione nella verifica di quel PIN. Quello che conta per te non è il dettaglio tecnico: è la risposta ufficiale, che quindici anni dopo è ancora la stessa. **Non c'era una patch; c'era un interruttore.** La raccomandazione era — ed è — entrare nella configurazione e disattivare il WPS. La CISA la ripete oggi nella sua guida per le reti domestiche, nello stesso elenco in cui chiede di disattivare l'amministrazione remota. È la parte più redditizia di tutto l'articolo: due caselle da togliere una volta sola, che poi non ti danno più fastidio. ## 2015: quando la chiave di fabbrica arrivava già calcolata Una password di fabbrica non è un tuo segreto. È un valore scelto dal produttore, stampato sull'apparecchio, riportato nel manuale e spesso identico su tutte le unità di un modello. E ci sono casi pubblicati di qualcosa di peggio: chiavi di fabbrica che non erano casuali ma **calcolate a partire da dati che il router stesso trasmette nell'aria**. Nel catalogo del NIST c'è il **CVE-2015-0558**, su un router domestico che generava la sua chiave WPA a partire da una stringa fissa e dal proprio indirizzo MAC. Poco dopo, un avviso pubblico di SEARCH-LAB su un modem via cavo molto diffuso in Europa lo diceva in una frase che riassume tutto: *«il SSID e la password predefinita derivano unicamente dall'indirizzo MAC. Poiché l'indirizzo MAC del dispositivo viene trasmesso via wifi, la password predefinita si può calcolare facilmente.»* L'operatore finì per scrivere ai suoi clienti chiedendo loro di cambiarla. Non serve sapere come si facesse — e qui non verrà raccontato — per portarsi a casa l'unica cosa che conta: **una chiave che il produttore ha potuto generare, qualcun altro l'ha potuta riprodurre.** La tua chiave di fabbrica non è casuale per il fatto di essere lunga e brutta. È brutta perché è uscita da un procedimento, e i procedimenti si studiano. ## La password più facile da fare lunga che avrai mai Adesso la buona notizia, ed è rara, perché quasi nessun consiglio di sicurezza esce gratis. Tutte le password della tua vita si trascinano dietro lo stesso nemico nascosto: bisogna digitarle. Spesso a mano, su un telefono, di fretta. Per questo la gente le fa corte, e per questo «mettine una da trenta caratteri» suona come una punizione. **Quella del wifi non ha questo problema.** La scrivi una volta per dispositivo e non la rivedi più: il telefono, il portatile e la televisione se la ricordano per sempre. E quando bisogna darla a qualcuno, quasi tutti i telefoni e buona parte dei router moderni la condividono con un codice QR, senza che nessuno digiti niente. Cioè: **la lunghezza è praticamente gratis, e quindi non c'è scusa perché sia corta.** Lo standard IEEE 802.11i, che definisce questa cosa dal 2004, ammette passphrase fino a 63 caratteri. Quasi nessuno arriva nemmeno alla metà. Cosa metterci, allora? La CISA propone qualcosa di molto concreto e molto facile da seguire: una passphrase memorabile di **cinque a sette parole senza relazione fra loro**, almeno sedici caratteri in totale, e che non usi in nessun altro account. È la logica di diceware applicata al salotto di casa tua. Se preferisci una stringa casuale e lasciare che sia il QR a fare il lavoro, ancora meglio: tirala fuori dal [generatore](/it/) e non guardarla mai più. E se quella che hai adesso ti mette dubbi, passala dal [controllo](/it/controllo/) prima di decidere qualsiasi cosa. ## 2018: cos'è il WPA3 e perché cambia i conti Nel 2018 la Wi-Fi Alliance presentò **WPA3**, il ricambio di WPA2. Oggi è obbligatorio per qualunque apparecchio voglia portare il marchio Wi-Fi CERTIFIED. Il cambiamento di fondo ha un nome brutto, **SAE**, e una conseguenza facilissima da capire. Con WPA2, qualcuno lì vicino poteva catturare il saluto iniziale fra il tuo telefono e il router, tornarsene a casa e provare contro quel file milioni di chiavi al secondo, senza limite di tentativi e senza che nessuno se ne accorgesse. È esattamente il problema di una fuga di password: quando il materiale è sul disco dell'attaccante, **non c'è più nessuno dall'altra parte che dica di no.** WPA3 rompe questo schema. Con le parole della stessa Wi-Fi Alliance, *«WPA3-Personal sostituisce la chiave precondivisa di WPA2 (WPA2-PSK) con Simultaneous Authentication of Equals (SAE). A differenza di WPA2-PSK, SAE è resistente agli attacchi a dizionario fuori linea.»* Ogni tentativo obbliga a ripassare dal router, e un router che riceve migliaia di tentativi falliti può accorgersene e frenare. E poi c'è la parte onesta, che lo stesso documento si preoccupa di dire. Quella resistenza significa che *«il peso della sicurezza della password non ricade più sugli utenti»*, e che pretendere maiuscole e simboli non è più un requisito valido con SAE. Ma **non è un permesso per metterne una cattiva**: l'attacco attivo continua a esistere, e la specifica lo dice senza giri di parole — le password usate con SAE devono essere estremamente difficili da indovinare. È quello che il NIST dice da anni su tutte le tue altre password: la lunghezza conta più della contorsione. Due avvertenze pratiche. Se il tuo router non arriva a WPA3, la CISA dà per buoni WPA3 Personal e WPA2 con AES, e solo quei due; una rete aperta, WEP o TKIP non sono una password debole, sono non averne nessuna. E se attivi la **modalità di transizione**, la tua rete accetta insieme WPA3 e WPA2 per far entrare gli apparecchi vecchi: è una decisione ragionevole in una casa con una stampante del 2013, ma conviene sapere cos'è — finché è attiva, la tua rete conserva una porta WPA2. Se tutto quello che hai entra in WPA3, toglila. ## 2024: la legge arriva sotto l'adesivo Per decenni questo è stato un problema di consigli. Adesso è anche un problema di normativa. Il 29 aprile 2024 è entrato in vigore nel Regno Unito il regime della **PSTI**, la legge sulla sicurezza dei prodotti connessi, che **vieta le password predefinite universali** negli apparecchi di consumo: finito il modello per cui tutte le unità di un prodotto uscivano di fabbrica con la stessa chiave. La legge ammette invece una password predefinita **unica per unità**, che è proprio il caso dell'adesivo con una stringa diversa su ogni router. Nell'Unione europea, i requisiti di cibersicurezza della Direttiva sulle apparecchiature radio — il Regolamento delegato (UE) 2022/30 — sono di applicazione obbligatoria dal 1º agosto 2025. Da lì si deducono due cose, e non sono la stessa. La prima: i router nuovi arriveranno messi meglio di fabbrica. La seconda, quella che tocca a te: **niente di tutto questo si applica all'indietro all'apparecchio che hai già in salotto.** Se sta lì da sei anni, a casa tua vige ancora il mondo di prima. ## La rete ospiti, ovvero smettere di dettare la tua chiave Pensa a quante persone sanno la tua chiave del wifi. Il cognato, la babysitter, l'amico venuto a cena nel 2022 che ha ancora il telefono configurato, il tecnico salito a installare qualcosa. Nessuno di loro ha soltanto un permesso per uscire su internet: **ognuno ha un dispositivo dentro la tua rete locale**, accanto al tuo disco di rete, alla stampante e alle telecamere. E non hai la minima idea di come stia messo quel dispositivo. La rete ospiti è la risposta, ed è una funzione che hai già e non usi. La CISA lo dice a chiare lettere: se il tuo router ha la rete ospiti, attivala, dalle una password sua — lunga, casuale e unica — e falla usare a chiunque non si colleghi abitualmente al tuo wifi. E aggiungi quello che quasi nessuno fa: **mandaci anche gli oggetti connessi** — la presa intelligente, la televisione, il robot — se l'unica cosa che gli serve è uscire su internet, così non possono scoprire il resto degli apparecchi di casa. È il principio di tutto questo blog applicato al soggiorno: una credenziale per posto. Il tuo wifi principale è un posto. Le visite sono un altro. ## Cosa fare, in ordine - **Entra nel pannello del router e cambia la password di amministrazione.** È l'unica di questa lista che probabilmente non hai mai toccato, ed è quella che comanda di più. Lunga, casuale e **diversa da quella del wifi**. - **Metti una chiave wifi lunga.** Cinque-sette parole senza relazione, o una stringa del [generatore](/it/). La digiti una volta e poi la condividi via QR. - **Passa a WPA3 se il tuo router lo permette.** Se no, WPA2 con AES. - **Disattiva il WPS e l'amministrazione remota.** Due caselle, una volta sola. - **Accendi la rete ospiti** e mandaci le visite e gli oggetti connessi. - **Aggiorna il firmware** e lascia attivi gli aggiornamenti automatici, se ci sono. - **Non riusare nessuna delle due altrove.** Se hai dubbi su qualcuna di quelle che già usi, passala dal [controllo](/it/controllo/). Niente di tutto questo richiede più di venti minuti, e sono venti minuti che si spendono una volta sola. Il router è l'apparecchio più importante di casa tua e l'unico che si amministra da solo finché nessuno lo amministra. Sta acceso in un angolo da anni, fa il suo lavoro senza lamentarsi, ed è proprio per questo che non sembra mai il momento di guardarlo. La password di fabbrica non è cattiva perché è corta o brutta. **È cattiva perché non è tua.** L'ha scelta qualcun altro, l'ha stampata su un adesivo e l'ha spedita a migliaia di case uguali alla tua. Cambiarla è la cosa più simile che esista, nell'informatica di casa, a cambiare la serratura quando ti trasferisci. --- *Fonti: CISA, «Project Upskill · Module 5: Securing Your Home Wi-Fi», del Joint Cyber Defense Collaborative — cambiare nome utente e password di accesso al router perché le informazioni di fabbrica possono essere pubbliche, passphrase di cinque-sette parole senza relazione e almeno sedici caratteri, WPA3 Personal o WPA2 AES come uniche cifrature considerate sicure, disattivare WPS e amministrazione remota, e attivare la rete ospiti anche per i dispositivi connessi · Wi-Fi Alliance, «WPA3 Security Considerations Overview» (aprile 2019), sulla sostituzione di WPA2-PSK con SAE, la sua resistenza agli attacchi a dizionario fuori linea e il requisito che le password restino estremamente difficili da indovinare · CERT/CC, nota di vulnerabilità VU#723755 (27 dicembre 2011), segnalata da Stefan Viehböck, la cui soluzione raccomandata è disattivare il WPS · NVD (NIST), CVE-2015-0558, su un router domestico che generava la sua chiave WPA a partire da una stringa fissa e dal proprio indirizzo MAC · avviso pubblico di SEARCH-LAB (Gergely Eberhardt) sul modem Ubee EVW3226, pubblicato su Full Disclosure nel luglio 2016 · IEEE 802.11i, che definisce la passphrase fra 8 e 63 caratteri · Regno Unito, regime del Product Security and Telecommunications Infrastructure Act, in vigore dal 29 aprile 2024 · Unione europea, Regolamento delegato (UE) 2022/30 della Direttiva sulle apparecchiature radio, di applicazione obbligatoria dal 1º agosto 2025 · NIST SP 800-63B, sulla lunghezza contro la complessità.*