# Perché password.es non invia la tua password da nessuna parte

> Un sito che ti chiede la password per controllarla ha un problema di fiducia che nessuna promessa risolve. La nostra risposta non è promettere: è non averne bisogno, e permetterti di verificarlo da solo in trenta secondi.

2026-07-15 · David Carrero · password.es
Original: https://password.es/it/blog/perche-non-inviamo-la-tua-password/

---

Scrivere «non salviamo la tua password» su una pagina web costa esattamente
quanto scrivere qualsiasi altra cosa: niente. **È una frase, non una garanzia.**
La scrive allo stesso modo chi dice la verità e chi non la dice, e dal tuo lato
dello schermo le due si vedono identiche.

È questo il problema di fondo di qualunque sito che ti chieda una password per
«analizzarla». Anche se il servizio è impeccabile — codice pulito, buone
intenzioni, gente onesta —, tu non hai modo di saperlo. Il server è una scatola
chiusa. Gli mandi il dato più sensibile che hai e confidi che dall'altra parte
succeda quello che ti hanno promesso.

E c'è un dettaglio che di solito sfugge: **una promessa di non salvare non
protegge nemmeno da ciò che non dipende da chi promette.** Un server onesto può
avere log che nessuno ha mai riletto, un proxy in mezzo, un backup automatico, un
dipendente nuovo o, semplicemente, una giornata storta. La password è già uscita
dalla tua macchina. Quello che succede dopo è fuori dalla tua portata e, molto
spesso, anche dalla sua.

## L'unica risposta che non chiede di credere a niente

La soluzione non è promettere meglio. È **non avere bisogno del dato**.

Se la tua password non esce mai dal browser, la domanda «cosa ci fanno?» smette
di avere senso. Non c'è un «loro». Non c'è un server che la riceve, né log in cui
compaia, né backup che la contenga, né dipendente che possa leggerla. La fiducia
non viene gestita meglio: viene tolta dal problema.

È questo che fa [password.es](/it/). Il [controllo](/it/controllo/) analizza
quello che scrivi nel tuo browser, con il tuo processore. Il testo che digiti non
viaggia da nessuna parte perché non c'è nessuna parte dove viaggiare.

## Da dove esce il caso

Il [generatore](/it/) ha la stessa impostazione. Per fare una password casuale
serve del caso, e ci sono due modi per procurarselo: chiederlo a un server o
chiederlo al browser. **Chiederlo a un server sarebbe assurdo: il server
conoscerebbe la password prima di te.**

Quindi lo chiediamo al browser, con `crypto.getRandomValues()`. È l'API standard
della piattaforma web per la casualità crittografica — quella che esiste
esattamente per questo, a differenza di `Math.random()`, che va bene per
mescolare le carte in un gioco e non per niente che debba resistere a qualcuno
che ci abbia interesse —. Chi produce il caso è il browser stesso, sulla tua
macchina. Noi non partecipiamo: il risultato compare sul tuo schermo e lì resta.

## Come controllarlo senza fidarti di me

Tutto quello che hai letto finora resta, per ora, un paragrafo scritto dalle
stesse persone che hanno fatto il sito. Cioè: esattamente ciò di cui ti stavo
dicendo di diffidare. Quindi non credermi. **Guarda.**

Apri gli strumenti per sviluppatori del tuo browser — `F12`, oppure
`Cmd+Option+I` su un Mac —, vai alla scheda *Rete* (*Network*), lasciala aperta
ed entra nel controllo. Vedrai caricarsi la pagina. Adesso svuota la lista, fai
clic sul campo della password e scrivi.

Ecco cosa vedrai, e qui conviene essere precisi invece che venditori:

- **Al clic sul campo parte una richiesta.** Non è la tua password — non hai
  ancora scritto niente —: è la libreria che fa l'analisi, un file chiamato
  `zxcvbn-it-it.min.js` che porta dentro di sé gli elenchi di parole, nomi,
  schemi di tastiera e password note con cui viene fatto il confronto. Si scarica
  da password.es appena tocchi il campo, così arriva mentre digiti. Parte dallo
  stesso dominio, è un file statico ed è lo stesso per chiunque apra questa
  pagina — il sito ha varie versioni a seconda della lingua, e questa carica
  quella italiana —.
- **Da lì in poi, scrivi quello che vuoi: la lista resta ferma.** Una lettera,
  venti, cancella, ricomincia, incolla un testo lungo. Zero richieste. Il
  contatore non si muove. Il dizionario è già nel tuo browser e la ricerca
  avviene contro la memoria della tua macchina.

Questa distinzione è tutta la differenza. **Non è che ti fidi del fatto che la
richiesta non porti con sé la tua password: è che la richiesta non c'è.** Non
serve interpretare niente né capire il codice; basta guardare un contatore che
non sale.

## L'inventario completo, difetti inclusi

Visto che l'argomento è «controlla di persona», sarebbe strano nascondere quello
che troveresti controllando. L'inventario onesto di password.es:

**Non c'è analytics.** Né Google Analytics, né un'alternativa discreta, né un
pixel. Ce n'era uno ed è stato tolto da tutte le pagine. **Non ci sono cookie.**
Il sito non ne scrive nessuno. Una cosa salvata nel tuo browser c'è: se
preferisci il tema chiaro o scuro, nell'archiviazione locale del tuo dispositivo.
Non viene mai inviata da nessuna parte e puoi cancellarla dallo stesso ispettore.
**Non c'è registrazione, non ci sono account né moduli**: non c'è dove lasciare
un dato nemmeno volendo.

E il difetto, perché c'è: **la pagina chiede due caratteri tipografici ai server
di Google quando si carica.** Questo significa che Google vede che qualcuno con
il tuo IP ha caricato una pagina di questo dominio, come su tantissimi siti. Non
vede quello che scrivi — quella richiesta avviene prima e non si ripete più —, ma
è una richiesta a terzi, la vedrai in quella stessa scheda *Rete* e non avrebbe
alcun senso dirti di aprire l'ispettore e insieme non nominarla. È nella lista
delle cose da sistemare.

## Perché lo raccontiamo

Avremmo potuto scrivere «zero richieste, privacy totale» e dormire sonni
tranquilli. Sarebbe suonato meglio e sarebbe stato falso nei dettagli: c'è una
richiesta di dizionario e ci sono dei caratteri tipografici. **Un argomento che
crolla quando qualcuno lo verifica non era un argomento: era pubblicità.**

La versione precisa è meno rotonda e regge all'esame: quello che scrivi tu non
esce dal tuo browser, e questo si vede in trenta secondi con uno strumento che
hai già installato.

E attenzione, perché la cosa ti torna indietro come criterio generale. **La
prossima volta che un sito ti chiede la password per qualunque motivo, apri
quella scheda e guarda se compare una richiesta quando premi un tasto.** Se
compare, la tua password se n'è andata. Non conta cosa dica l'informativa sulla
privacy, quanto sia carino il lucchetto del modulo o quanto seria sembri
l'azienda. E se il sito ti mostra la password già analizzata dopo un giro di
rotella, sai bene da dove è passata.

La regola di cui si parla meno in sicurezza non riguarda le password: riguarda la
verifica. Fidarsi va bene. **Controllare è meglio, e qui è gratis.**

---

*Fonti: l'architettura di password.es stesso, verificabile con l'ispettore di
qualsiasi browser — il controllo scarica dal proprio dominio, al focus sul campo,
la libreria di analisi con i suoi elenchi (`zxcvbn-it-it.min.js`) e non emette
nessuna richiesta mentre si scrive ·
`crypto.getRandomValues()`, l'API standard della Web Crypto API per la casualità
crittografica · il codice del sito non contiene analytics, pixel né cookie;
l'unico dato salvato in locale è la preferenza del tema · i caratteri tipografici
sono serviti da Google Fonts.*