I password manager cloud ti chiedono di credere a un server. TuaPass ti chiede di tenere una cartella. Ecco il confronto, punto per punto, senza slogan.
La fiducia in un password manager non si compra con un lucchetto in homepage. Si compra rispondendo a tre domande scomode.
Dove stanno i file, quando il computer è spento?
Chi può derivare la chiave, oltre a te?
Cosa resta da rubare, se qualcuno entra dal lato del fornitore?
Quasi tutti i prodotti seri usano AES-256 e si dicono «zero knowledge». La differenza vera è il modello: cloud del fornitore, file locale, o nel caso di TuaPass, cartella tua, cifrata, senza account.
Questo articolo confronta TuaPass con Bitwarden, 1Password, Proton Pass, LastPass, KeePassXC e il gestore di Google. I dati sui concorrenti sono quelli pubblici al 2026. I dati su TuaPass arrivano dal prodotto: Argon2id, AES-256-GCM, vault a cartella, nessun server che tiene i vault.
Il punto che gli altri non possono copiare
TuaPass non ha un cloud dei vault. Non c’è un account TuaPass. Non c’è un database nostro con le tue password cifrate. L’unica chiamata di rete verso di noi è la verifica degli aggiornamenti (un JSON di versione e, se accetti, un MSI con hash SHA-256).
Se un giudice, un attaccante o un dipendente infedele chiedesse «consegnate i vault degli utenti», la risposta onesta è: non li abbiamo.
I gestori cloud (Bitwarden ufficiale, 1Password, Proton Pass, LastPass) cifrano in locale e mandano una copia al loro server. È comodo. È anche un bersaglio unico: milioni di casseforti nello stesso posto. LastPass, nel 2022, ha dimostrato cosa succede quando quel posto viene copiato: i vault cifrati escono, gli URL in chiaro aiutano a scegliere i bersagli, e le password master deboli — o un KDF troppo leggero sui vault vecchi — diventano un problema di anni, non di giorni.
TuaPass non è «immune agli attacchi». È immune a quel tipo di attacco. Il tuo rischio resta il PC, il backup, il kit di emergenza, la master password. Non il nostro datacenter.
Tre architetture, tre scommesse
Cloud del fornitore. Funziona su telefono, tablet e browser senza che tu pensi allo storage. In cambio accetti un account, una giurisdizione, una policy di recupero, e il fatto che qualcuno conserva una copia. Bitwarden e Proton Pass mitigano con codice aperto e audit. 1Password aggiunge una Secret Key da 128 bit che il server non ha. LastPass ha già pagato il conto in cronaca.
File locale unico (KeePass / KeePassXC). I dati sono tuoi. Nessun honeypot del vendor. Il prezzo è pratico: un .kdbx messo in Dropbox o OneDrive, toccato da due PC, produce conflitti. KeePassXC vince sulla fiducia verificabile (open source, comunità, audit). Perde sulla vita reale di chi ha già un cloud di file e due computer.
Cartella TuaPass. Stessa filosofia di KeePass — i file sono sul tuo disco — con un formato pensato per i servizi di terzi. Ogni modifica non sovrascrive un database: scrive un file di operazione nuovo e immutabile, già cifrato (*.op.enc). Dropbox copia oggetti distinti; TuaPass li ricompone in memoria. Non ti chiediamo un secondo cloud. Ti chiediamo di usare quello che hai già.
Tabella di confronto
Criterio | TuaPass | KeePassXC | Bitwarden | 1Password | Proton Pass | LastPass | Google Password Manager |
|---|---|---|---|---|---|---|---|
Dove sta il vault | Cartella sul tuo disco, NAS o cloud che scegli tu | File | Server Bitwarden (o self-host) | Cloud 1Password | Cloud Proton | Cloud LastPass | Account Google |
Account del fornitore | No | No | Sì (cloud ufficiale) | Sì | Sì | Sì | Sì |
Il vendor ha una copia | No | No | Sì, cifrata | Sì, cifrata | Sì, cifrata | Sì, cifrata; già esfiltrata | Sì |
KDF | Argon2id (64 MiB, 3 iterazioni) | Argon2 configurabile | Argon2id o PBKDF2 | PBKDF2 + Secret Key | Argon2id | PBKDF2 (storico debole sui vault vecchi) | Proprietario |
Cifratura | AES-256-GCM | AES-256 / ChaCha20 | AES-256 + HMAC | AES-256-GCM | AES-256-GCM | AES-256-CBC classico | Proprietario |
Recupero password dal vendor | Impossibile | Impossibile | No backdoor; Emergency Access opzionale | No: serve anche la Secret Key | Codici di recupero Proton | Flussi da account | Recupero account Google |
Sync tra PC | Il tuo storage; formato anti-conflitto | Fai-da-te; file unico, rischio conflitto | Cloud o self-host | Cloud | Cloud | Cloud | Account Google |
Estensione browser | Solo locale, native host firmato | Plugin / proxy locale | Sì, via servizio | Sì, via servizio | Sì, via servizio | Sì, via servizio | Integrata nel browser |
Biometria | Windows Hello; chiavi solo su quel PC | Dipende da OS / plugin | Sì | Sì | Sì | Sì | Sì |
TOTP (codici 2FA) | Sì | Sì | Sì | Sì | Sì | Sì | Limitato |
Passkey per i siti | Non ancora | Limitato | Sì | Sì | Sì | Sì | Sì |
Open source | No | Sì | Sì | Parziale | Client sì | No | No |
Audit di terzi pubblicato | Non pubblicato | Comunità / audit | Sì, ricorrenti | Sì | Sì | Dopo gli incidenti | Processi interni Google |
Furto di massa dal vendor | Nessun honeypot | Nessun honeypot | Nessuno noto sui vault | Nessuno noto sui vault | Nessuno noto | 2022: backup rubati | Dipende dall’account |
La riga che conta per la fiducia non è «AES-256». Ce l’hanno quasi tutti. La riga che conta è «il vendor ha una copia».
Cosa fa TuaPass, in concreto
Non è una lista di buzzword. È ciò che l’applicazione fa sul tuo Windows.
La chiave. Dalla master password (minimo 12 caratteri in creazione) TuaPass deriva 32 byte con Argon2id, i parametri allineati alle indicazioni OWASP: 64 MiB di memoria, 3 iterazioni. Argon2id costa RAM, non solo CPU: un attacco a forza bruta su GPU diventa caro. I dati in quiete sono AES-256-GCM: cifratura e integrità insieme. Una password sbagliata non «sblocca un hash»: non apre i file.
Niente recupero remoto. Non esiste «ho dimenticato la master password, mandate un link». Esiste un kit di emergenza: la chiave del vault in forma stampabile, da tenere offline e lontana dalla cartella del vault. TuaPass rifiuta di salvarlo in OneDrive, Dropbox, Google Drive e dentro il vault stesso. Chi ha il kit e i file apre tutto. Chi ha solo i file, no.
Windows Hello. Lo sblocco biometrico è una scorciatoia su quel computer. Il wrap della chiave sta nei dati locali di Windows, non nella cartella che sincronizzi. Il cloud di terzi non riceve impronte, volti o PIN.
Uso quotidiano. Blocco UI e blocco vault dopo inattività. Appunti: la password copiata sparisce dopo 30 secondi, non entra nella Cronologia di Windows e non sale sul clipboard cloud. Le finestre di sblocco, elenco, modifica e kit sono escluse da screenshot, Share e cattura GPU.
Browser. L’estensione parla con TuaPass sul tuo PC (named pipe, solo l’utente corrente). Il native host deve essere avviato da Chrome, Edge, Firefox o Brave, e — in installazione firmata — avere la stessa chiave pubblica Authenticode di TuaPass.exe. Il sito che visiti non vede il vault. Noi non riceviamo URL, titoli o password.
Aggiornamenti. Scarichi un MSI da un URL consentito. Se l’hash SHA-256 non coincide, il file viene scartato. È l’unica eccezione alla regola «TuaPass non chiama casa».
Onestà: dove TuaPass non è in vantaggio
Un confronto che vince su tutte le caselle è pubblicità, non fiducia.
Non siamo open source. Bitwarden e KeePassXC si possono leggere e far audire da chiunque. Noi no, oggi. Chi esige il codice pubblico ha ragione a preferirli.
Non abbiamo un audit di terzi pubblicato. Lo diremo quando ci sarà, non prima.
Non gestiamo ancora le passkey dei siti. I cloud manager, su questo, sono avanti.
Siamo nati su Windows. Chi vive tra iPhone, Android e tre browser in contemporanea trova più comodo un servizio cloud.
Se perdi master password e kit, i dati sono persi. È il prezzo del «nessuno può aiutarli». Non è uno slogan: è una responsabilità tua, e la diciamo in fase di creazione del vault.
Un malware sul PC sbloccato legge le password. Vale per TuaPass, per KeePass e per 1Password. Nessun lucchetto software batte un sistema già preso.
Fidarsi di TuaPass non significa credere che DEV74 sia infallibile. Significa che il danno di una nostra compromissione non include i tuoi vault, perché non transitano da noi.
A chi sta bene, a chi no
TuaPass sta bene a chi ha già Dropbox, OneDrive, un NAS o una chiavetta; a chi non vuole un secondo abbonamento per aprire le proprie password; a chi lavora su più PC Windows e ha già visto un file «in conflitto»; a chi, dopo LastPass, ha deciso che «copia cifrata sul server del fornitore» non è abbastanza.
Sta meno bene a chi vuole passkey ovunque, sharing di famiglia con ruoli, o la certezza dell’open source. Per quelli, Bitwarden o KeePassXC restano risposte oneste. Non li combattiamo inventando audit. Ci differenziamo sul fatto che i file restano tuoi, senza un account nostro, e senza rompersi in sync.
TuaPass Standard è una licenza d’uso perpetua e gratuita: installi, usi, tieni. Nessun canone per continuare a leggere una cartella che è già sul tuo disco.
I password manager ti chiedono fiducia. TuaPass ti chiede di tenere i file. È la differenza che resta in piedi anche quando il prossimo fornitore finisce in cronaca.
Lascia un commento