KeePass su Windows 11: come usare il password manager gratuito e fare il backup

Creato con AI. Contenuto revisionato editorialmente. Immagine generata o modificata mediante intelligenza artificiale.

KeePass è un password manager gratuito e open source che conserva le credenziali in un database cifrato. Non richiede un abbonamento né un account KeePass: il file resta sotto il controllo dell'utente e può essere salvato sul PC, copiato su un supporto di backup o sincronizzato con altri dispositivi.

Questa libertà richiede però un minimo di organizzazione. Se perdi la password principale e non possiedi gli altri eventuali componenti della chiave, non esiste una procedura universale per recuperare il database. Se invece il PC è infetto mentre l'archivio è aperto, la cifratura del file non impedisce a un malware di tentare di leggere ciò che usi. Vediamo quindi come configurare KeePass in modo pratico, senza confondere cifratura, sincronizzazione e backup.

Che cos'è KeePass, in breve

KeePass raccoglie nomi utente, password, indirizzi web e note in un file con estensione .kdbx. Il contenuto del database viene cifrato e può essere aperto soltanto con la chiave principale scelta dall'utente. Nella serie 2.x sono disponibili AES-256 e ChaCha20 per la cifratura del database.

Il principio è semplice: ricordi una sola password robusta e lasci che KeePass generi password diverse per tutti gli altri servizi. In questo modo non devi riutilizzare la stessa credenziale su posta elettronica, negozi online, social network e servizi di lavoro.

KeePass 1.x o 2.x: quale scegliere su Windows 11

Il sito ufficiale mantiene due edizioni. KeePass 1.x riceve manutenzione, mentre KeePass 2.x è la linea con lo sviluppo attivo e le funzioni più complete. Per una nuova installazione su Windows 11 la scelta normale è quindi KeePass 2.x.

La pagina ufficiale di confronto tra le edizioni permette di controllare differenze e compatibilità prima di migrare un archivio esistente.

Come installare KeePass su Windows 11

1. Apri la pagina ufficiale dei download e scegli KeePass 2.x.
2. Scarica l'installer per Windows oppure il pacchetto portatile. L'installer è la scelta più semplice per un PC personale; la versione portatile non richiede una normale installazione, ma deve comunque essere aggiornata e protetta.
3. Avvia il file scaricato, controlla che provenga dalla fonte scelta e completa l'installazione.
4. Apri KeePass e usa File > Nuovo per creare il primo database KDBX.

Non scaricare copie rinominate da portali casuali e non aggiungere plugin solo perché vengono consigliati in un video. Un plugin viene eseguito nel processo di KeePass e può accedere ai dati quando il database è aperto. Installa soltanto estensioni realmente necessarie, provenienti da fonti affidabili e mantenute.

Creare il primo database e scegliere la password principale

Durante la creazione devi decidere dove salvare il file e come proteggerlo. Per iniziare, scegli una cartella personale del PC e assegna al database un nome riconoscibile ma non troppo descrittivo, per esempio archivio.kdbx.

La password principale deve essere diversa da tutte le altre. Una frase lunga composta da più parole non collegate, con eventuali spazi o segni, è spesso più facile da ricordare di una sequenza corta e complessa. Evita nomi, date, citazioni famose e schemi prevedibili. Prima di trasferire tutte le credenziali, chiudi e riapri il database per verificare di ricordarla correttamente.

Serve anche un file chiave?

KeePass può combinare password principale, file chiave e, in alcuni scenari, account Windows. Un file chiave aumenta la complessità della protezione ma introduce un nuovo rischio: se perdi quel file, il database non si apre. Non conservarne l'unica copia accanto al KDBX e non usare questa opzione senza avere già definito una copia separata e una procedura di recupero.

Per la maggior parte degli utenti domestici è meglio partire con una password principale molto robusta e un piano di backup comprensibile. Le configurazioni a più componenti sono utili quando esiste una vera esigenza e qualcuno sa come gestirle nel tempo.

Aggiungere un account e generare una password unica

1. Seleziona il gruppo in cui vuoi archiviare la credenziale, per esempio Email, Acquisti o Lavoro.
2. Premi Aggiungi voce e inserisci titolo, nome utente e indirizzo del sito.
3. Usa il generatore integrato per creare una password casuale. Quando il servizio lo consente, una lunghezza maggiore è preferibile a combinazioni corte.
4. Salva la voce e poi salva il database. La modifica non è al sicuro finché non viene scritta nel file KDBX.

Il generatore può produrre password con lettere, numeri e simboli oppure frasi casuali. Non esiste una regola identica per ogni sito: alcuni servizi impongono lunghezze o caratteri specifici. L'obiettivo è ottenere una credenziale lunga, casuale e usata una sola volta.

Come usare le password: copia, incolla e Auto-Type

Puoi copiare nome utente e password negli appunti oppure usare Auto-Type. Nella configurazione standard, Auto-Type invia nome utente, Tab, password e Invio alla finestra attiva. È comodo nei programmi e nei siti che non dialogano direttamente con un gestore di password.

La comodità non equivale alla verifica del sito. KeePass può associare una voce al titolo della finestra e la sequenza digitata viene inviata all'elemento attivo. Prima di avviare Auto-Type controlla l'indirizzo completo nel browser e assicurati che la finestra sia quella corretta. Una finestra di login falsa può sembrare credibile: le passkey offrono una protezione diversa perché la credenziale è legata al dominio, mentre Auto-Type non va considerato automaticamente resistente al phishing.

Gli appunti sono un'altra area sensibile. KeePass può cancellarli dopo un intervallo, ma un programma malevolo già presente sul PC può tentare di leggerli. Usa un sistema aggiornato, limita i programmi installati e non aprire il database su computer pubblici o non controllati.

Importare le password da Chrome, Edge o un altro gestore

KeePass 2.x supporta diversi formati di importazione. Il passaggio più delicato è spesso l'esportazione dal browser: un file CSV contiene normalmente password in chiaro, quindi chiunque lo apra può leggerle.

1. Esporta soltanto dal browser o dal gestore ufficiale e salva il file in una posizione temporanea controllata.
2. In KeePass apri File > Importa, scegli il formato corretto e controlla alcune voci prima di confermare.
3. Verifica titoli, nomi utente, indirizzi web e cartelle create.
4. Dopo aver controllato il database e il backup, elimina il CSV in chiaro e svuota il cestino. Se il file è stato sincronizzato, controlla anche copie e versioni presenti nel servizio utilizzato.
5. Cambia gradualmente le password duplicate o deboli, iniziando da email principale, account Microsoft o Google, servizi finanziari e identità digitali.

L'importazione non rende automaticamente sicure le credenziali già compromesse o riutilizzate. KeePass aiuta a sostituirle e conservarle, ma la bonifica richiede di cambiare le password sui singoli servizi.

Sincronizzazione e backup: non sono la stessa cosa

Il file KDBX può essere copiato in una cartella sincronizzata con OneDrive o un altro servizio, oppure su un NAS. Il database resta cifrato, ma una sincronizzazione può propagare una cancellazione, una versione sbagliata o un conflitto. Per questo serve comunque un backup indipendente e versionato.

Quando due copie del database sono state modificate, KeePass 2.x dispone di una funzione di sincronizzazione che unisce voci e cronologia invece di sovrascrivere alla cieca un file con l'altro. Anche in questo caso conserva una copia di sicurezza prima di risolvere un conflitto importante.

Un'impostazione ragionevole per uso personale può essere: database sul PC, copia sincronizzata per gli altri dispositivi e backup versionato su supporto esterno o NAS. Per cartelle che devono restare all'interno della propria rete, la guida a Syncthing tra PC e NAS spiega vantaggi e limiti della sincronizzazione senza un archivio cloud centrale.

KeePass, browser, gestori cloud e passkey a confronto

KeePass non sostituisce le passkey e non elimina la verifica in due passaggi. Può però conservare password uniche, codici di recupero e note organizzate. I codici monouso più importanti vanno gestiti considerando il rischio di concentrare tutto nello stesso archivio.

Cosa KeePass non può proteggere

• Un PC già compromesso. Keylogger, strumenti di controllo remoto abusivi e malware possono osservare ciò che viene digitato o copiato mentre il database è aperto.
• Una password principale dimenticata. KeePass non dispone di una backdoor per ripristinarla.
• Un backup mai verificato. Una copia vecchia, corrotta o non raggiungibile non garantisce il recupero.
• Plugin non affidabili. Un'estensione eseguita insieme al programma può aumentare la superficie di attacco.
• Un sito falso. Copia e Auto-Type richiedono comunque di controllare indirizzo e finestra di destinazione.

Se sospetti un'infezione, non aprire il database per fare prove e non iniziare subito a cambiare tutte le password dallo stesso computer. Prima occorre valutare e ripristinare l'affidabilità della postazione; per una verifica fisica puoi portare PC o notebook nel laboratorio TecnoTorino di Torino. Non serve comunicare la password principale né consegnare l'archivio delle credenziali per una diagnosi hardware o del sistema.

KeePass in ufficio: servono responsabilità e procedure

In un'azienda un unico database condiviso tra molte persone può diventare difficile da controllare. Prima di adottarlo occorre stabilire chi è il titolare dell'archivio, quali gruppi di credenziali devono restare separati, chi esegue il backup, come vengono revocati gli accessi e come si gestisce l'uscita di un collaboratore.

Le credenziali personali e quelle aziendali non dovrebbero essere mescolate. Per gli account critici è utile registrare titolarità, metodi di recupero e secondo fattore senza riportare password in documenti non protetti. Le copie del KDBX e degli eventuali file chiave devono avere permessi coerenti con il ruolo degli utenti.

TecnoTorino può inquadrare configurazione delle postazioni, backup, NAS e procedure di accesso all'interno di un progetto o di un contratto annuale di assistenza a ore. L'assistenza remota non viene fornita come intervento singolo: è compresa nel monte ore del contratto e viene svolta da un tecnico dedicato. Password principali, codici e credenziali restano sotto il controllo del cliente.

Valuta postazioni, backup e sicurezza per la tua azienda

Checklist finale

• hai scaricato KeePass 2.x dal sito ufficiale;
• la password principale è lunga, unica e ricordata;
• il database si chiude e si riapre correttamente;
• le nuove password vengono generate e non riutilizzate;
• controlli il dominio prima di copiare o digitare una credenziale;
• hai una copia indipendente dalla sincronizzazione;
• hai provato a recuperare una versione del database;
• eventuali CSV di importazione in chiaro sono stati eliminati dalle posizioni sincronizzate;
• plugin e programmi installati sono ridotti al necessario.

Fonti ufficiali consultate

• KeePass: download ufficiali e versioni disponibili
• KeePass: confronto tra le edizioni 1.x e 2.x
• KeePass Help: primi passi e creazione del database
• KeePass Help: sicurezza e limiti del modello di protezione
• KeePass Help: password principale, file chiave e chiave composta
• KeePass Help: funzionamento di Auto-Type
• KeePass Help: sincronizzazione dei database
• KeePass Help: importazione, esportazione e file in chiaro
• KeePass Help: plugin ed estensioni
• Microsoft Learn: passkey in Windows

Guida verificata il 18 agosto 2026. Versioni, funzioni e procedure possono cambiare: prima di scaricare o migrare un archivio controlla sempre la documentazione ufficiale aggiornata.