Gestore aziendale o gestore del browser
Gestore di password aziendale e gestore integrato nel browser: che cosa li distingue, che cosa fa il dipendente e le insidie da evitare.
In 30 secondi
- Dove succede
- A ogni accesso a uno strumento di lavoro, quando il browser propone «Salva password».
- Che cosa vuole l'attaccante
- Recuperare le credenziali salvate nel browser e riutilizzarle su altri sistemi o account per estendere il proprio accesso3.
- Il riflesso
- Usare solo il gestore fornito da Brain per le password di lavoro, attivare il secondo fattore e non salvare nulla nel browser.
- Se è già successo
- Segnalare subito la perdita o il furto di un dispositivo, poi seguire le indicazioni del team sicurezza per cambiare le password interessate.
Di cosa si tratta
Un gestore di password è un database cifrato da un'unica password «principale»1. Risponde a un problema diffuso: un dipendente gestisce decine di password, non solo quelle di lavoro, e molti riutilizzano la stessa o ne scelgono di comuni, cosa che gli attaccanti sfruttano2.
Sul lato lavoro esistono due famiglie di strumenti: il gestore che l'azienda fornisce e amministra e quello integrato nel browser. Sullo schermo si somigliano, ma non proteggono allo stesso modo e l'azienda non ha lo stesso controllo su di essi.
Domande dirette
Che cos'è un gestore di password aziendale?
È un gestore il cui uso è governato dall'organizzazione. L'NCSC britannico osserva che alcuni prodotti offrono una gestione centralizzata delle password nell'organizzazione e che di solito queste soluzioni sono a pagamento2. Le credenziali sono archiviate in una cassaforte accessibile con una password principale2. L'amministratore può fissare regole d'uso e avere una visione d'insieme dell'utilizzo delle password2.
In che cosa differisce dal gestore del browser?
L'NCSC distingue i gestori che sono un'applicazione autonoma da quelli integrati nel browser o nel sistema operativo2. La CISA cita i gestori integrati nel browser tra quelli gratuiti4. Le funzioni di amministrazione centralizzata (condivisione controllata, registri, regole) sono descritte dall'NCSC per i gestori aziendali2. L'NCSC cita del resto, tra le scelte possibili di un'organizzazione, quella di consentire ai dipendenti di salvare le password nei browser2: spetta quindi a Brain fissare la regola, e la regola di Brain è usare il proprio strumento.
Perché evitare di salvare nel browser le password di lavoro?
Di solito i browser conservano le credenziali in forma cifrata in un archivio dedicato, ma esistono metodi per estrarre le password in chiaro3. Su Windows, per esempio, le credenziali cifrate di Chrome si leggono in un file di database e poi una funzione del sistema le decifra con le credenziali di sessione in cache della vittima3. Malware noti, come Agent Tesla, raccolgono le credenziali di più browser3. La CNIL aggiunge di non salvare mai le password nel browser di un computer condiviso1.
Anche un gestore aziendale può essere attaccato?
Sì. Lo dice l'NCSC: un gestore può avere falle e attira gli attaccanti perché un attacco riuscito dà accesso a tutte le password archiviate2. L'NCSC ritiene comunque che i benefici superino i rischi2. La password principale e il secondo fattore proteggono questo accesso unico.
Che cosa fare se un dispositivo viene perso o rubato?
Segnalarlo subito al team sicurezza. La procedura da seguire è quella indicata da Brain.
1Come funziona1 min
La cassaforte è cifrata. Secondo l'NCSC, la chiave di decifratura è in genere derivata dalla password principale e non dovrebbe essere accessibile a nessun altro, nemmeno al fornitore del servizio per i gestori sincronizzati nel cloud2. La CNIL descrive lo stesso principio: un database cifrato da un'unica password «principale», che permette di ricordarne una sola e di avere tutte le altre molto lunghe e diverse1.
L'NCSC cita altre funzioni utili:
- il riempimento automatico, che propone le credenziali solo al sito per cui sono state salvate e che può aiutare contro il phishing, perché un gestore riconosce i siti falsi meglio di una persona2;
- la generazione di password casuali, lunghe e uniche2;
- la verifica della qualità delle password, che segnala per esempio una password riutilizzata2.
Per l'azienda, la centralizzazione aggiunge la condivisione delle password con registro degli accessi e controllo da parte di una persona autorizzata2. L'NCSC non raccomanda la condivisione tra singole persone, ma ammette che alcune organizzazioni non possano ancora farne a meno; un gestore aziendale riduce allora i rischi2. Gli amministratori non dovrebbero poter vedere né usare le password individuali, al di fuori di un gruppo di condivisione, e il loro accesso dovrebbe essere sottoposto ad audit2.
2Che cosa fa Lei1 min
- Usi lo strumento fornito da Brain per tutte le password di lavoro. L'NCSC raccomanda alle organizzazioni di fornire un mezzo di archiviazione adeguato e raccomanda i gestori di password dove opportuno5.
- Attivi il secondo fattore sul gestore. In questo modo un attaccante deve conoscere la password principale e possedere anche il secondo fattore2. Anche la CNIL raccomanda l'autenticazione a due fattori quando il servizio la offre1.
- Non salvi nel browser alcuna password di lavoro.
- Lasci che sia lo strumento a generare le password. La CISA consiglia password lunghe (almeno 16 caratteri), casuali e uniche per ogni account4.
- Per la password principale scelga una frase d'accesso: la CISA propone una sequenza di 4-7 parole senza legame tra loro4.
- Segnali ogni perdita di un dispositivo.
3Le insidie2 min
Una password principale debole
Tutta la cassaforte dipende da lei. L'NCSC avverte che, se l'utente la dimentica, perde l'accesso a tutte le password salvate e che un metodo di recupero può essere sfruttato per accedere alle credenziali2. Scelga quindi una frase lunga, ricordata a memoria e mai annotata in un file o su un post-it. La CNIL include post-it, file di testo, smartphone e messaggistica tra i supporti non pensati per conservare password1.
La sincronizzazione con un account personale
Alcuni gestori aziendali offrono una cassaforte personale per gli account privati. L'NCSC chiede allora una buona separazione: le password di lavoro non devono essere accessibili dalla cassaforte personale, e viceversa2. Osserva che, se l'azienda consente dispositivi personali o account personali al lavoro, l'utente non sempre vede quale cassaforte sta usando2. Prima di attivare una sincronizzazione, verifichi quindi che non mescoli le due.
L'esportazione in chiaro
Alcuni gestori esportano tutte le password in un file di testo. Una volta esportato, da un utente legittimo o da un attaccante, il file non è più protetto2. Esporti la cassaforte solo se la regola aziendale lo consente e tratti il file come indica tale regola.
Il phishing che imita una pagina di accesso
Qui il riempimento automatico aiuta: il gestore propone le credenziali solo sul sito registrato2. Se lo strumento non propone nulla su una pagina di accesso che dovrebbe essere nota, è un segnale d'allarme. Non ricopi la password a mano su una pagina sospetta.
La cassaforte come bersaglio
L'NCSC ricorda che i gestori, come qualsiasi software di sicurezza, non sono infallibili e sono un bersaglio attraente5. Chiede l'autenticazione a più fattori su tutti i gestori sincronizzati nel cloud e per gli account con privilegi2.
4Per approfondire1 min
Scheda
- Identificativo
- CP-346
- Ala
- 5. Vita in ufficio e riflessi
- Competenza Brain
- Gestire le password (master_passwords)
- Riflesso Brain
- cr-009
- Schema
- G2 · Mito contro realtà
- Lingue
- de, en, es, fr, it
- Fonti
- 6 fonti verificate il 3 novembre 2026
Fonti6 fonti
- CNIL, «Les conseils de la CNIL pour un bon mot de passe», 26 gennaio 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (consultato il 3 novembre 2026)
- NCSC (Royaume-Uni), «Password manager buyers guide», 19 novembre 2018. https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Credentials from Password Stores: Credentials from Web Browsers, Sub-technique T1555.003 - Enterprise | MITRE ATT&CK®», 12 febbraio 2020. https://attack.mitre.org/techniques/T1555/003/ (consultato il 3 novembre 2026)
- CISA, «Use Strong Passwords | CISA». https://www.cisa.gov/secure-our-world/use-strong-passwords (consultato il 3 novembre 2026)
- NCSC (Royaume-Uni), «Password policy: updating your approach», 19 novembre 2018. https://www.ncsc.gov.uk/collection/passwords/updating-your-approach (consultato il 3 novembre 2026)
- NIST, «NIST Special Publication 800-63B». https://pages.nist.gov/800-63-3/sp800-63b.html (consultato il 3 novembre 2026)
Cita questo articolo
Brain, «Gestore aziendale o gestore del browser», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp346_it_2026,
author = {Brain},
title = {Gestore aziendale o gestore del browser},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/it/articles/gestore-password-aziendale-vs-browser/},
note = {CC BY 4.0}
}