Come proteggere il tuo account e-mail: la guida completa

Aggiornato il 23 settembre 2026

Il tuo indirizzo e-mail è la chiave di quasi tutti i tuoi account: chi lo controlla può reimpostare le altre password. Proteggerlo è la misura di sicurezza più conveniente che esista.

Perché la posta è il bersaglio numero uno

Il link «Password dimenticata?» della maggior parte dei siti invia un messaggio al tuo indirizzo e-mail. Chi entra nella tua casella può quindi prendersi in pochi minuti i tuoi social, i tuoi acquisti online e a volte servizi più delicati. Ci trova anche fatture, documenti d'identità scansionati e conversazioni private.

1. Una password lunga e unica

Unica: mai usata altrove. È la regola più importante, perché le violazioni di altri siti servono a provare le stesse credenziali sulla tua posta.
Lunga: almeno 16 caratteri casuali, o una frase di più parole senza legame.
Salvata in un gestore di password, integrato nel browser o nel telefono, invece che in un file o su un quaderno.

2. L'autenticazione a due fattori è indispensabile

L'autenticazione a due fattori aggiunge una seconda prova alla password. Anche se la password viene rubata, non basta più.

Metodo	Livello di protezione	Nota
Passkey	Molto alto	Resistente al phishing, legata al tuo dispositivo
Chiave di sicurezza fisica	Molto alto	Resistente al phishing, ideale per gli account critici
App di autenticazione	Alto	Codici generati offline sul telefono
Notifica sul telefono	Alto	Rifiuta ogni richiesta che non hai avviato
Codice via SMS	Medio	Meglio di niente, ma vulnerabile allo scambio di SIM

Le passkey, ormai offerte dai grandi fornitori di posta, sostituiscono la password con una verifica sul tuo dispositivo (impronta, volto, PIN del dispositivo) e non si possono digitare su un sito falso.

3. Opzioni di recupero aggiornate

Nelle impostazioni di sicurezza, controlla:

il numero di telefono e l'e-mail di recupero: devono essere attuali e tuoi;
i codici di backup dell'autenticazione a due fattori: stampali o conservali nel gestore di password;
le domande di sicurezza, se il servizio le usa ancora: le risposte non devono essere reperibili sui tuoi social.

4. Controlla gli accessi regolarmente

Una volta al trimestre, passa in rassegna queste pagine delle impostazioni:

Dispositivi e sessioni connessi: disconnetti quello che non riconosci.
App di terze parti con accesso all'account: rimuovi quelle che non usi più.
Regole di inoltro e filtri: è fondamentale. Un aggressore discreto aggiunge spesso una regola che inoltra la tua posta al suo indirizzo o elimina gli avvisi di sicurezza. Cancella ogni regola che non hai creato tu.
Attività recente: la maggior parte dei servizi di posta elenca gli ultimi accessi con il Paese.

5. Abitudini quotidiane

Non digitare mai la password dopo aver cliccato un link in un'e-mail: apri tu stesso il sito o l'app.
Rifiuta le richieste di approvazione che non hai avviato: se si ripetono, di solito qualcuno ha la tua password.
Mantieni aggiornati telefono, computer e browser.
Evita i computer pubblici per la posta; se proprio devi, esci dall'account e non salvare nulla.
Dai meno spesso il tuo indirizzo: un indirizzo usa e getta per le iscrizioni occasionali riduce le fughe di dati e il phishing mirato.

Segnali di una casella compromessa

I tuoi contatti ricevono messaggi che non hai inviato.
Trovi messaggi letti, spostati o eliminati senza che sia stato tu.
Ricevi avvisi inattesi di accesso o di cambio password.
Arrivano reimpostazioni di password di altri siti che non hai chiesto.

Cosa fare se vieni violato

Cambia la password da un dispositivo pulito, poi disconnetti tutte le altre sessioni.
Attiva o reimposta l'autenticazione a due fattori e genera nuovi codici di backup.
Elimina le regole di inoltro e i filtri sospetti e controlla e-mail e numero di recupero.
Usa la procedura ufficiale di recupero del fornitore se non riesci più ad accedere.
Cambia le password degli account importanti legati a quell'indirizzo, a cominciare da banca e acquisti online.
Avvisa i tuoi contatti che potrebbero aver ricevuto messaggi fraudolenti a tuo nome.

Ottieni un indirizzo usa e getta

Domande frequenti

L'autenticazione a due fattori via SMS basta?

Blocca già la grande maggioranza degli attacchi, ma un aggressore può dirottare un numero di telefono o convincerti a dargli il codice. Un'app di autenticazione o una passkey proteggono molto meglio.

Devo cambiare spesso la password della posta?

Le raccomandazioni attuali privilegiano una password lunga e unica con autenticazione a due fattori, da cambiare solo se sospetti un furto o una fuga di dati. I cambi frequenti portano spesso a scegliere password più deboli.

Come faccio a sapere se il mio indirizzo è finito in una violazione di dati?

Servizi di avviso come Have I Been Pwned indicano se il tuo indirizzo compare in violazioni note. Anche i gestori di password integrati nei browser segnalano le password compromesse.