I password manager cloud ti chiedono di credere a un server. TuaPass ti chiede di tenere una cartella. Ecco il confronto, punto per punto, senza slogan.
La fiducia in un password manager non si compra ma si guadagna rispondendo a tre domande scomode.
Dove stanno i file, quando il computer è spento? Da nessuna parte (dentro i tuoi dispositivi se sono accesi)
Chi può derivare la chiave, oltre a te? Nessuno a parte tu stesso
Cosa resta da rubare, se qualcuno entra dal lato del fornitore? Niente
Quasi tutti i prodotti seri usano AES-256 e si dicono «zero knowledge». La differenza vera è il modello: cloud del fornitore, file locale, o nel caso di TuaPass, cartella tua, cifrata, senza account.
Questo articolo confronta TuaPass con Bitwarden, 1Password, Proton Pass, LastPass, KeePassXC e il gestore di Google. I dati sui concorrenti sono quelli pubblici al 2026. I dati su TuaPass arrivano dal prodotto: Argon2id, AES-256-GCM, vault a cartella, nessun server che tiene i vault.
Il punto che gli altri non possono copiare
TuaPass non ha un cloud per i vault. Non c’è un account TuaPass. Non c’è un database nostro con le tue password cifrate. L’unica chiamata di rete verso di noi è la verifica degli aggiornamenti (un JSON di versione e, se accetti, un MSI con hash SHA-256).
Se un giudice, un attaccante o un dipendente infedele chiedesse «consegnate i vault degli utenti», la risposta onesta è: non li abbiamo.
I gestori cloud (Bitwarden ufficiale, 1Password, Proton Pass, LastPass) cifrano in locale e mandano una copia al loro server. È comodo. È anche un bersaglio unico: milioni di casseforti nello stesso posto. LastPass, nel 2022, ha dimostrato cosa succede quando quel posto viene copiato: i vault cifrati escono, gli URL in chiaro aiutano a scegliere i bersagli, e le password master deboli, o un KDF troppo leggero sui vault vecchi, diventano un problema di anni, non di giorni.
TuaPass non è «immune agli attacchi». È immune a quel tipo di attacco. Il tuo rischio resta il tuo PC, il backup, il kit di emergenza, la master password. Non il nostro datacenter.
Tre architetture, tre scommesse
Cloud del fornitore. Funziona su telefono, tablet e browser senza che tu pensi allo storage. In cambio accetti un account, una giurisdizione, una policy di recupero, e il fatto che qualcuno conserva una copia. Bitwarden e Proton Pass mitigano con codice aperto e audit. 1Password aggiunge una Secret Key da 128 bit che il server non ha. LastPass ha già pagato il conto in cronaca.
File locale unico (KeePass / KeePassXC). Puoi tenere le tue password in un file privato sul tuo computer: i dati sono solo tuoi e nessun fornitore può accedervi o monitorarli. Tuttavia, non è lo strumento più comodo per chi usa il cloud: se cerchi di aprire lo stesso file da due computer diversi contemporaneamente (ad esempio tramite Dropbox), potresti avere problemi di sovrascrittura e perdita di credenziali a seconda della risoluzione del conflitto.
Cartella TuaPass. Stessa filosofia di KeePass, i file sono sul tuo disco, ma con un formato pensato per i servizi di terzi. Ogni modifica non sovrascrive mai un database: scrive un file di operazione nuovo e immutabile, già cifrato (*.op.enc). Dropbox, o qualsiasi servizio simile, copia oggetti distinti; TuaPass li ricompone in memoria con il risultato che il Vault è sempre perfetto su qualsiasi superficie.
Tabella di confronto
Criterio | TuaPass | KeePassXC | Bitwarden | 1Password | Proton Pass | LastPass | Google Password Manager |
|---|---|---|---|---|---|---|---|
Dove sta il vault | Cartella sul tuo disco, NAS o cloud che scegli tu | File | Server Bitwarden (o self-host) | Cloud 1Password | Cloud Proton | Cloud LastPass | Account Google |
Account del fornitore | No | No | Sì (cloud ufficiale) | Sì | Sì | Sì | Sì |
Il vendor ha una copia | No | No | Sì, cifrata | Sì, cifrata | Sì, cifrata | Sì, cifrata; già esfiltrata | Sì |
KDF | Argon2id (64 MiB, 3 iterazioni) | Argon2 configurabile | Argon2id o PBKDF2 | PBKDF2 + Secret Key | Argon2id | PBKDF2 (storico debole sui vault vecchi) | Proprietario |
Cifratura | AES-256-GCM | AES-256 / ChaCha20 | AES-256 + HMAC | AES-256-GCM | AES-256-GCM | AES-256-CBC classico | Proprietario |
Recupero password dal vendor | Impossibile | Impossibile | No backdoor; Emergency Access opzionale | No: serve anche la Secret Key | Codici di recupero Proton | Flussi da account | Recupero account Google |
Sync tra PC | Il tuo storage; formato anti-conflitto | Fai-da-te; file unico, rischio conflitto | Cloud o self-host | Cloud | Cloud | Cloud | Account Google |
Estensione browser | Solo locale, native host firmato | Plugin / proxy locale | Sì, via servizio | Sì, via servizio | Sì, via servizio | Sì, via servizio | Integrata nel browser |
Biometria | Windows Hello; chiavi solo su quel PC | Dipende da OS / plugin | Sì | Sì | Sì | Sì | Sì |
TOTP (codici 2FA) | Sì | Sì | Sì | Sì | Sì | Sì | Limitato |
Passkey per i siti | Non ancora | Limitato | Sì | Sì | Sì | Sì | Sì |
Open source | No | Sì | Sì | Parziale | Client sì | No | No |
Audit di terzi pubblicato | Non pubblicato | Comunità / audit | Sì, ricorrenti | Sì | Sì | Dopo gli incidenti | Processi interni Google |
Furto di massa dal vendor | Nessun honeypot | Nessun honeypot | Nessuno noto sui vault | Nessuno noto sui vault | Nessuno noto | 2022: backup rubati | Dipende dall’account |
La riga che conta per la fiducia non è «AES-256». Ce l’hanno quasi tutti. La riga che conta è «il vendor ha una copia».
Cosa fa TuaPass, in concreto
La chiave. Dalla master password (minimo 12 caratteri in creazione) TuaPass deriva 32 byte con Argon2id, i parametri allineati alle indicazioni OWASP: 64 MiB di memoria, 3 iterazioni. Argon2id costa RAM, non solo CPU: un attacco a forza bruta su GPU diventa caro. I dati in quiete sono AES-256-GCM: cifratura e integrità insieme. Una password sbagliata non «sblocca un hash»: non apre i file.
Niente recupero remoto. Non esiste «ho dimenticato la master password, mandate un link». Esiste un kit di emergenza: la chiave del vault in forma stampabile, da tenere offline e lontana dalla cartella del vault. TuaPass rifiuta di salvarlo in OneDrive, Dropbox, Google Drive e dentro il vault stesso. Chi ha il kit e i file apre tutto. Chi ha solo i file, no.
Windows Hello. Lo sblocco biometrico è una scorciatoia su quel computer. Il wrap della chiave sta nei dati locali di Windows, non nella cartella che sincronizzi. Il cloud di terzi non riceve impronte, volti o PIN.
Uso quotidiano. Blocco UI e blocco vault dopo inattività. Appunti: la password copiata sparisce dopo 30 secondi, non entra nella Cronologia di Windows e non sale sul clipboard cloud. Le finestre di sblocco, elenco, modifica e kit sono escluse da screenshot, Share e cattura GPU.
Browser. L’estensione parla con TuaPass sul tuo PC (named pipe, solo per l’utente corrente). Il native host deve essere avviato da Chrome, Edge, Firefox o Brave, e in installazione firmata, avere la stessa chiave pubblica Authenticode di TuaPass.exe. Il sito che visiti non vede il vault. Noi non riceviamo URL, titoli o password.
Aggiornamenti. Scarichi un MSI da un URL consentito. Se l’hash SHA-256 non coincide, il file viene scartato. È l’unico caso in cui TuaPass contatta un server DEV74.
Onestà: dove TuaPass non è in vantaggio
Un confronto che vince su tutte le caselle è pubblicità, non fiducia.
Non siamo open source. Bitwarden e KeePassXC si possono leggere e far audire da chiunque. Noi no, oggi. Chi esige il codice pubblico ha ragione a preferirli.
Non abbiamo un audit di terzi pubblicato. Lo diremo quando ci sarà, non prima.
Non gestiamo ancora le passkey dei siti. I cloud manager, su questo, sono avanti.
Siamo nati su Windows e Android. Chi vive su iPhone, e tre browser in contemporanea trova più comodo un servizio cloud.
Se perdi master password e kit, i dati sono persi. I tuoi dati e i tuoi strumenti per gestirli sono una responsabilità tua, e lo diciamo in fase di creazione del vault.
Un malware sul PC sbloccato legge le password. Vale per TuaPass, per KeePass e per 1Password. Nessun lucchetto software batte un sistema già bucato.
Fidarsi di TuaPass non significa credere che DEV74 sia infallibile. Significa che il danno di una nostra compromissione non includerà mai i tuoi dati, perché non li abbiamo.
A chi piace, e a chi no
TuaPass sta bene a chi ha già Dropbox, OneDrive, un NAS o una chiavetta; a chi non vuole un secondo abbonamento per aprire le proprie password; a chi lavora su più PC Windows e ha già visto un file «in conflitto»; a chi, dopo LastPass, ha deciso che «copia cifrata sul server del fornitore» non è abbastanza.
Sta meno bene a chi vuole passkey ovunque, sharing di famiglia con ruoli, o la certezza dell’open source. Per quelli, Bitwarden o KeePassXC restano risposte oneste. Non li combattiamo inventando audit ma ci differenziamo sul fatto che i file restano tuoi, senza un account nostro, e senza compromettere i dati in sync.
TuaPass Standard è una licenza d’uso perpetua e gratuita: installi, usi, tieni. Nessun canone per continuare a leggere una cartella che è già sul tuo disco.
I password manager ti chiedono fiducia. TuaPass ti chiede di tenere i file. È la differenza che resta in piedi anche quando il prossimo fornitore finisce in cronaca.
Lascia un commento