Regole password NIST 800-63B: riepilogo pratico 2026
Riepilogo in linguaggio semplice delle linee guida NIST SP 800-63B. Cosa è cambiato, perché le regole di complessità sono state eliminate e come implementare politiche conformi.
Lettura fondamentale
Cos'è NIST SP 800-63B?
Il NIST SP 800-63B fa parte delle Digital Identity Guidelines emesse dal National Institute of Standards and Technology. Sebbene obbligatorie per le agenzie federali USA, sono diventate il riferimento globale.
La revisione più recente ha cambiato fondamentalmente il modo in cui la comunità pensa alle password, rifiutando decenni di saggezza convenzionale.
Comprendere queste linee guida è essenziale per sviluppatori, amministratori IT e utenti individuali.
Approfondimenti correlati
I cambiamenti chiave: cosa NIST ha fatto bene
Eliminare le regole di complessità obbligatorie. NIST sconsiglia esplicitamente di richiedere maiuscole, cifre o caratteri speciali. La complessità forzata porta a pattern prevedibili.
Stop ai cambi periodici. NIST ora raccomanda il cambio solo quando c'è evidenza di compromissione.
Verifica contro liste di password violate. L'API HIBP usa la k-anonimizzazione per verificare oltre 900 milioni di password.
Permettere password lunghe. I sistemi devono accettare almeno 64 caratteri.
Requisiti di lunghezza minima
NIST stabilisce un minimo assoluto di 8 caratteri per password scelte dall'utente e 6 per PIN generati casualmente. 12 caratteri è il minimo pratico raccomandato, 15+ l'ideale.
Per asset di alto valore, si raccomandano 16+ caratteri o frasi di 5+ parole.
I sistemi non devono imporre un massimo inferiore a 64 caratteri.
- 8 caratteri: minimo assoluto NIST
- 12 caratteri: minimo pratico raccomandato
- 15+ caratteri: raccomandato per account importanti
- 64 caratteri: massimo minimo supportato
- 6 cifre: minimo per PIN generati casualmente
Liste password vietate e controlli dizionario
NIST richiede la verifica delle nuove password contro liste di password comuni, previste o compromesse.
Il sistema deve fornire una spiegazione chiara al rifiuto.
L'API HIBP usa k-anonimizzazione: solo i primi 5 caratteri dell'hash SHA-1 vengono inviati.
Archiviazione password: requisiti di hashing
NIST richiede funzioni di derivazione chiavi ad uso intensivo di memoria. Raccomandati: Argon2id, bcrypt (fattore minimo 10), PBKDF2-HMAC-SHA256 (minimo 600.000 iterazioni).
Argon2id è la scelta preferita per nuove implementazioni.
Non usate mai funzioni hash semplici (MD5, SHA-1, SHA-256) per le password.
Usate sempre un salt casuale unico per password (minimo 128 bit).
Autenticazione multifattore
NIST raccomanda fortemente MFA per qualsiasi sistema con dati sensibili. I tre fattori: qualcosa che sai, hai, sei.
NIST classifica gli autenticatori in tre livelli (AAL1-3). AAL2 è adatto alla maggior parte delle applicazioni business.
I codici SMS sono classificati come autenticatore "limitato". Si preferiscono app TOTP o chiavi FIDO2.
Con MFA, NIST permette di allentare alcuni requisiti, ma le password deboli restano un rischio.
Checklist di implementazione
Rimuovete i requisiti di complessità. Lunghezza minima 12, massima almeno 64. Implementate verifica HIBP.
Aggiornate l'archiviazione a Argon2id, bcrypt o PBKDF2.
Eliminate i cambi periodici. Implementate rilevamento violazioni e limitazione tentativi.
Abilitate MFA con priorità FIDO2/WebAuthn o TOTP.
- Rimuovere mandati di complessità
- Lunghezza min 12, max 64+
- Verificare contro liste violate (HIBP)
- Usare Argon2id / bcrypt / PBKDF2
- Eliminare rotazione periodica
- Limitare tentativi di accesso
- Implementare MFA (FIDO2 > TOTP > SMS)
- Messaggi chiari al rifiuto
Prossimi passi
Cosa fare con una password sicura?
Una password forte è solo il primo passo. Per proteggere davvero i tuoi account, hai bisogno di un gestore di password affidabile che archivia, compila automaticamente e sincronizza le tue credenziali su tutti i dispositivi.
Abbiamo confrontato i gestori di password più popolari del 2026 per aiutarti a fare la scelta giusta.
NordPass si distingue per la crittografia XChaCha20 a conoscenza zero, il supporto nativo delle passkey e l'interfaccia più intuitiva tra i gestori premium.
| Funzionalità | NordPass | 1Password | Bitwarden Free |
|---|---|---|---|
| Prezzo/mese | $1.49/mo | $2.99/mo | $0 |
| Dispositivi | Illimitato | Illimitato | Illimitato |
| Passkeys | Sì | Sì | No |
| Scanner violazioni | Sì | Sì | No |
| 2FA integrato | Sì | Sì | Sì |
| Condivisione sicura | Sì | Sì | Limitato |
| Compilazione auto | Sì | Sì | Sì |
Questo è un link di affiliazione. Se effettui un acquisto, potrei ricevere una commissione — questo aiuta a mantenere il sito gratuito.