Immagina che domani mattina tu non riesca più ad accedere al tuo unico indirizzo email. Niente di drammatico: solo un messaggio automatico del provider che dice di non poter confermare che l'account sia tuo. Cosa smette di funzionare entro l'ora di pranzo? Forse prima di tutto l'accesso di emergenza al tuo gestore di password. Poi ogni sito in cui ti servirebbe un link di reimpostazione, ogni account dietro "Accedi con Google" se l'indirizzo è di Google, gli avvisi di sicurezza della banca, il link per il check-in del volo di venerdì e le fatture che il tuo commercialista aspetta. Ora prova la versione opposta: qualcun altro riesce a entrare. Ha tutte le stesse porte, e tu sei chiuso fuori dal posto in cui arriverebbero gli avvisi.
Questo test mostra cosa deve fare una strategia per la privacy email. Il piano che regge per la maggior parte delle persone è un indirizzo principale riservato a identità, denaro e recupero, un indirizzo secondario per acquisti, liste e comunità, e indirizzi a breve termine per le necessità una tantum, con il recupero degli account impostato in modo che gli account meno protetti non possano mai sbloccare quelli meglio protetti. Il resto dell'articolo mostra come fare il test sui tuoi account, come configurare ogni livello e come passare, nell'arco di qualche settimana, da un unico indirizzo sovraccarico a questa struttura.
Fai il test su carta
Dieci minuti con un elenco rendono tutto concreto. Scrivi gli account che ti mancherebbero di più, poi per ciascuno annota quale indirizzo usa e come rientreresti se quell'indirizzo sparisse. Ecco un esempio di come potrebbe essere l'elenco di una persona.
| Account | Indirizzo registrato | Se quell'indirizzo sparisse | Giudizio |
|---|---|---|---|
| Banca | Gmail principale | Visita in filiale con documento, lenta ma possibile | Scomodo |
| Gestore di password | Gmail principale | Il recupero richiede un link via email | Grave, e blocca tutto il resto |
| Archivio foto | Gmail principale, stesso account | Sparisce insieme alla casella | Grave |
| Registrar del dominio di un piccolo sito | Un indirizzo sullo stesso dominio | Circolare: niente posta senza il dominio, niente dominio senza la posta | Grave |
| Negozio online | Gmail principale | Nuovo account, storico ordini perso | Fastidioso |
| Forum di un hobby | Gmail principale | Nuovo account | Trascurabile |
Di solito saltano all'occhio due cose. Gli account trascurabili condividono l'indirizzo con quelli gravi, quindi ogni forum di hobby è un ulteriore punto da cui può trapelare il tuo indirizzo chiave. E alcune dipendenze girano in tondo, cosa di cui non ti accorgi finché non ti serve usarne una. I livelli qui sotto risolvono il primo problema, e la sezione sul recupero risolve il secondo.
Quanto ti costa un solo indirizzo
La maggior parte delle persone comincia con un solo indirizzo e ci versa dentro tutto per quindici anni. A quel punto si trova in centinaia di database, e da quell'unica abitudine sono nati tre problemi distinti.
Il volume è quello più evidente. Ogni registrazione è una potenziale mailing list, alcune aziende condividono i dati di contatto con i partner e i messaggi importanti finiscono sepolti sotto i coupon. È anche il problema meno pericoloso.
L'esposizione è più seria. Ognuna di quelle aziende può perdere i propri dati. Quando una subisce una violazione dei dati, il tuo indirizzo e a volte la tua password entrano negli elenchi che gli aggressori usano per truffe mirate e credential stuffing, cioè provare password trapelate su altri siti. Non hai scelto tu la sicurezza del forum a cui ti sei iscritto nel 2011, e quel forum ha ancora il tuo indirizzo.
Il terzo problema è strutturale. La casella che riceve i codici sconto è anche quella che può reimpostare la tua banca, il tuo archivio cloud e i tuoi account social, quindi qualsiasi truffa che arriva tra quei coupon punta alla tua chiave principale. Indirizzi separati spezzano questo legame. La fuga di un indirizzo per gli acquisti non rivela nulla dell'indirizzo che controlla il recupero, e dato che lì non arriva mai niente di importante, un falso messaggio della "banca" salta subito all'occhio.
Tre livelli, definiti da due domande
Chiediti, per qualsiasi account: quanto mi farebbe male perderlo, e per quanto tempo mi servirà? Le risposte ti danno tre gruppi.
L'indirizzo principale è quello che proteggeresti a ogni costo. Gestisce banca, pagamenti, tasse, assicurazioni e pensioni, servizi pubblici, operatori sanitari, il tuo gestore di password e l'archivio cloud, e il recupero degli altri account importanti. Se vuoi, può averlo la famiglia stretta. Al massimo poche decine di servizi dovrebbero vederlo, e non dovrebbe comparire su forum pubblici, profili social o registrazioni occasionali. La sua casella resta tranquilla, e quella tranquillità è una funzione di sicurezza.
L'indirizzo secondario è una casella permanente e reale per la normale vita online: negozi e conferme d'ordine, newsletter che leggi, forum, biglietti per eventi, programmi fedeltà e app che pensi di tenere, dove una perdita sarebbe fastidiosa e niente di peggio. Ti aspetti che riceva marketing e un po' di spam. Ha comunque bisogno di una password forte e di un secondo fattore, dato che ci sono appesi account veri, e devi poterlo recuperare.
Gli indirizzi a breve termine sono caselle temporanee usate una volta sola e poi abbandonate, quando ti serve ricevere un messaggio o due e non vuoi altro. Buoni esempi sono un file di prova che richiede la conferma via email, un contenuto con registrazione a cui non tornerai, la pagina Wi-Fi di un locale, il test della posta di registrazione in un'applicazione che stai costruendo, o vedere cosa manda un sito che non conosci prima di affidargli qualcosa di permanente. Verifica sempre che i termini del sito lo consentano.
| Caratteristica | Principale | Secondario | A breve termine |
|---|---|---|---|
| Durata | Decenni | Anni | Da minuti a circa un giorno |
| Chi lo riceve | Istituzioni e persone di fiducia | Negozi, comunità, app che tieni | Siti che non pensi di usare di nuovo |
| Posta indesiderata prevista | Quasi nessuna | Un po' di marketing, qualche spam | Non importa, scade |
| Protezione | Password unica, secondo fattore più forte, codici di backup | Password unica, secondo fattore | Nessun account da proteggere, niente conservato a lungo |
| Puoi recuperarlo? | Devi poterlo fare | Devi poterlo fare | No, e non dovrebbe mai servire |
| Account importanti? | Sì | Solo di media importanza | Mai |
| Strumenti tipici | Un provider consolidato, magari un dominio personalizzato | Una seconda casella, alias, etichette con il segno più | Un servizio di email temporanea |
Scegliere dove vive l'indirizzo principale
Dipenderai da questa scelta a lungo, quindi merita più riflessione delle altre due messe insieme. Guarda prima di tutto la longevità, perché spostarsi dopo è doloroso. Poi guarda le funzioni di sicurezza: un secondo fattore che includa chiavi di sicurezza o passkey, avvisi di accesso e una visione chiara dei dispositivi connessi. Il Programma di protezione avanzata di Google, per esempio, aggiunge controlli più rigidi pensati per chi corre un rischio maggiore di attacchi mirati.
Poi leggi come funziona davvero il recupero, e sii onesto sulla tensione che contiene. Una procedura facile per te spesso è facile anche per un aggressore. Una procedura severa ti protegge e poi ti lascia a piedi se perdi i codici di backup, e i grandi provider gratuiti spesso non hanno una persona a cui fare ricorso. Controlla anche come il provider usa i tuoi dati, dove li conserva e se puoi portarli via. Google Takeout esporta Gmail, e la maggior parte degli altri provider permette di scaricare la posta o di leggerla via IMAP con un programma desktop. Prova l'esportazione una volta. Un backup che non è mai stato provato è solo una speranza.
Indirizzo gratuito o dominio tuo?
Un indirizzo come you@yourname.example è portabile. Se un provider cambia i termini o chiude, punti il dominio a un nuovo provider e tieni lo stesso indirizzo, e questa indipendenza è il motivo principale per farlo. Fare bella figura è un piacevole extra. Chiude anche il problema che apre questo articolo, quello di una decisione automatica del provider che può portarti via il tuo indirizzo.
Il compromesso è un impegno che non finisce mai. Dimentica di rinnovare e, passato il periodo di tolleranza offerto dal registrar, il dominio può essere registrato da qualcun altro, che poi riceve la tua posta, comprese le reimpostazioni di password. Se scegli questa strada per account importanti, prendi queste precauzioni:
- Attiva il rinnovo automatico, registra il dominio per più anni alla volta e tieni aggiornata la carta di pagamento.
- Proteggi l'account del registrar con una password unica e un secondo fattore, perché di fatto controlla la tua email.
- Dai al registrar un indirizzo di contatto che non sia sullo stesso dominio, così gli avvisi di rinnovo ti raggiungono anche se la posta del dominio si ferma. È la dipendenza circolare dell'elenco di esempio.
- Pubblica i record SPF, DKIM e DMARC, così altri non possono mandare facilmente posta fingendosi te.
- Lascia una nota, nel piano descritto più avanti, su dove il dominio è registrato. Dopo dieci anni di rinnovo automatico la gente dimentica.
Per la maggior parte delle persone, un indirizzo gratuito o economico di un provider consolidato, ben protetto, è un indirizzo principale perfettamente valido. Un dominio personalizzato va bene a chi lo seguirà con costanza.
Il secondario è più semplice
Un account gratuito separato presso un provider affidabile funziona bene, così come una seconda casella sotto il tuo dominio. Usare un provider diverso da quello dell'indirizzo principale ha un vantaggio modesto, perché un blocco presso un'azienda lascia in piedi l'altra. Dagli la sua password e un secondo fattore.
Il recupero è dove la maggior parte dei piani fallisce
Puoi fare tutto il resto bene e rovinarlo qui. Ogni casella ha opzioni di recupero, di solito un numero di telefono e un indirizzo di riserva, e queste formano una catena: chi controlla l'indirizzo di recupero spesso può prendere il controllo dell'account che c'è dietro.
La direzione sicura va dal meno affidabile al più affidabile. Il secondario indica il principale come indirizzo di recupero. Il principale si appoggia a un numero di telefono che controlli, a codici di backup tenuti offline e, se vuoi, a un indirizzo di recupero dedicato usato per nient'altro. Gli indirizzi a breve termine non compaiono mai come opzione di recupero da nessuna parte.
Considera, come esempio, che aspetto ha la direzione sbagliata. Poniamo che il tuo principale indichi il secondario come indirizzo di recupero, perché quando l'hai impostato era l'unico altro indirizzo che avevi. Anni dopo, un negozio fa trapelare l'indirizzo secondario insieme a una password che avevi riutilizzato su quella casella. Ora un aggressore può entrare nel secondario, chiedere al principale un messaggio di recupero e leggerlo lì. La tua attenta separazione gli ha dato una scala. Lo stesso guaio nasce con i cicli, dove due account si recuperano ciascuno tramite l'altro, e quando ne perdi uno l'altro non può aiutarti.
L'altra metà della catena: il tuo telefono
Anche i secondi fattori hanno dipendenze. Se ogni codice arriva via SMS, perdere il numero, o vederlo trasferire con una frode sulla SIM di qualcun altro, attacca direttamente l'account. Se i tuoi codici stanno in un'app di autenticazione su un solo telefono, un telefono rotto è un blocco. Quindi fai il test mentale una seconda volta, senza telefono: come entri nel principale da un portatile preso in prestito?
Una buona risposta di solito combina più elementi. I codici da app, le chiavi di sicurezza o le passkey sono più forti dell'SMS. Una seconda chiave di sicurezza o una passkey su un secondo dispositivo elimina il singolo punto di rottura. I codici di backup stampati e tenuti con i documenti importanti ti fanno entrare quando manca tutto il resto. Negli account Google li trovi in Sicurezza, Verifica in due passaggi, e la maggior parte dei grandi provider ha un equivalente. Appena cambi numero di telefono, aggiorna il numero di recupero, perché quel numero potrebbe poi passare a qualcun altro.
Una lista di controllo per l'account principale
- Usa una password lunga e unica, conservata in un gestore di password.
- Attiva un secondo fattore, usando il metodo più forte che continuerai davvero a usare.
- Genera codici di backup e conservali offline.
- Conferma che il telefono e l'indirizzo di recupero siano aggiornati e puntino nella direzione sicura.
- Controlla i dispositivi connessi. Gmail ha un link Dettagli in fondo alla posta in arrivo sul web che mostra l'attività recente, e il Controllo di sicurezza di Google copre dispositivi e altro.
- Controlla inoltri e filtri alla ricerca di ciò che non hai creato tu. In Gmail significa Impostazioni, Visualizza tutte le impostazioni, Inoltro e POP/IMAP, poi Filtri e indirizzi bloccati. Gli aggressori che riescono a entrare a volte aggiungono un inoltro silenzioso per conservare una copia della tua posta dopo che hai cambiato la password.
- Rivedi le app di terze parti con accesso alla casella e revoca quelle che non riconosci.
Alias, etichette con il segno più e catch-all
Un alias email è un indirizzo in più che consegna in una casella esistente, così puoi distribuire molti indirizzi e leggerli in un unico posto. Appartengono soprattutto al livello secondario, e i diversi tipi si comportano in modo piuttosto diverso.
Il plus addressing è il più semplice. Molti provider consegnano name+anything@provider.example a name@provider.example, così puoi etichettare ogni sito, filtrare sull'etichetta e vedere quale sito ha ceduto il tuo indirizzo quando arriva spazzatura con quell'etichetta. Ricorda cosa non fa: l'indirizzo di base resta visibile, chiunque può togliere l'etichetta, alcuni moduli rifiutano il segno più anche se gli standard lo permettono, e non tutti i provider lo supportano. È un sistema di archiviazione. Non usarlo mai sul principale per siti occasionali, perché significa distribuire il tuo principale con un'etichetta attaccata. Anche l'abitudine di Gmail di ignorare i punti in un nome utente (first.last e firstlast arrivano nella stessa casella) non offre alcuna privacy.
I servizi di alias con inoltro vanno oltre. Servizi dedicati, alcuni provider di posta e alcuni browser generano indirizzi casuali che inoltrano alla tua casella, e puoi spegnerne uno solo quando attira spazzatura. Vanno bene per gli account che vuoi tenere e da cui ti aspetti marketing. Il problema è che il servizio di alias ora si trova nella tua catena di recupero. Se si guasta o ti blocca, ogni account dietro quegli alias ha un problema, quindi proteggilo almeno quanto la casella secondaria e verifica cosa succede ai tuoi alias se smetti di pagare.
Con un dominio tuo puoi anche impostare un catch-all, in cui tutto ciò che arriva al dominio finisce in una sola casella, e inventare al volo un indirizzo per ogni sito. È flessibile, e accetta anche ogni nome casuale che uno spammer indovina, quindi molti preferiscono creare alias espliciti e lasciare che il server rifiuti i nomi sconosciuti.
La differenza tra un alias e una casella a breve termine sta nella persistenza. Un alias inoltra nella tua casella vera finché non lo fermi, ed è legato a te tramite il provider di alias. Una casella temporanea non è legata a nessun account e scade da sola. Una va bene per i rapporti che potresti tenere; l'altra per quelli che non terrai.
Decidere al momento della registrazione
Un piano fallisce se richiede di riflettere a ogni modulo. Poniti queste domande in ordine e fermati al primo sì.
- C'entrano denaro, identità, salute, enti pubblici, lavoro o il recupero dei miei altri account? Usa il principale, o un indirizzo di lavoro per il lavoro.
- Potrei aver bisogno di questo account tra un mese, o dover recuperarlo, contestare un acquisto o dimostrarne la proprietà? Usa il secondario o un alias.
- Mi serve solo una conferma o un file, adesso? Un indirizzo a breve termine è ragionevole, se i termini del sito lo consentono e l'account non conta.
- Non mi fido del sito? Parti con un alias, o con un indirizzo a breve termine per qualcosa di banale. Se poi vuoi tenere l'account, cambia subito la sua email con il secondario, finché puoi ancora ricevere la conferma.
Se un sito rifiuta un indirizzo temporaneo, ha preso la sua decisione. Lì usa il tuo secondario o un alias e non perdere tempo a cercare il modo di aggirarlo.
| Situazione | Indirizzo | Perché |
|---|---|---|
| Aprire un conto in banca | Principale | Finanziario e rilevante sul piano legale, e deve essere recuperabile |
| Portale fiscale o della pubblica amministrazione | Principale | Identità ufficiale. Mai posta temporanea |
| Gestore di password | Principale | Custodisce le chiavi di tutto il resto |
| Appuntamenti medici | Principale | Delicato e importante |
| Candidature di lavoro | Principale o un indirizzo professionale dedicato | I datori di lavoro devono poterti raggiungere per settimane |
| Profilo social principale | Principale o un secondario dedicato | Difficile da sostituire, e spesso usato per accedere altrove |
| Un negozio in cui compri regolarmente | Secondario o alias | Ricevute e resi contano, e il marketing è previsto |
| Una newsletter che leggi ogni settimana | Secondario o alias | Continuativa e a basso rischio |
| Un forum di un hobby | Secondario o alias | Un account continuativo in una comunità pubblica |
| Un modello gratuito, scaricato una volta | A breve termine, se consentito | Serve un solo messaggio e nessun rapporto continuativo |
| La pagina Wi-Fi di un bar | A breve termine, se consentito | Una lista di marketing che non ti offre nulla |
| Testare la posta di registrazione della tua app | A breve termine | Una casella pulita per ogni test |
I nomi rivelano più di quanto pensi
Un indirizzo può rivelare più di quello che intendi. Per il principale, nome e cognome vanno bene, dato che le persone e le istituzioni che lo ricevono sanno già chi sei. Evita anni di nascita e dettagli simili che compaiono nelle domande di sicurezza. Per il secondario, un nome di fantasia neutro rende più difficile collegare la tua attività di acquisti e forum alla tua identità legale, e usarne uno diverso da quello dei tuoi profili social pubblici aiuta se vuoi tenerli separati.
Per gli indirizzi a breve termine, il casuale è la scelta migliore. Le caselle temporanee pubbliche in genere non hanno una password, quindi chiunque conosca o indovini un indirizzo può aprirlo. Su VookMail è così come su servizi simili: un nome digitato, come il tuo, o una parola comune, potrebbe essere trovato da qualcun altro, mentre il pulsante giallo Casuale produce un indirizzo casuale molto più difficile da indovinare. Il nostro articolo su se l'email temporanea è sicura approfondisce questo rischio. È un motivo in più per cui questo livello riceve solo posta di poco conto, e mai contratti, documenti d'identità o cartelle mediche.
Passare da un solo indirizzo
Quasi certamente hai già anni di account su un solo indirizzo. Cercare di spostarli tutti in un weekend è il modo in cui la gente rinuncia. Procedi per tappe, e metti in conto che troverai ritardatari anche l'anno prossimo.
Comincia con un inventario. Il tuo gestore di password e gli accessi salvati nel browser sono le fonti migliori. Cerca nella posta frasi come "welcome", "verify your email", "confirm your account" e "receipt", e controlla le connessioni "Accedi con" nelle impostazioni di sicurezza dei tuoi account principali, che rivelano le app che accedono tramite di essi. Un foglio di calcolo con servizio, indirizzo attuale, livello di destinazione e stato basta e avanza.
Poi risolvi una questione che sorprende la gente: quale indirizzo diventa quale livello? Il tuo indirizzo attuale è esposto da anni, quindi di solito è un secondario migliore. L'approccio pulito è spesso creare un nuovo principale che nessuno ha mai visto, metterlo in sicurezza del tutto usando la lista di controllo qui sopra, e spostarvi i tuoi account importanti, mentre il vecchio indirizzo familiare continua a gestire acquisti e liste. Metti in sicurezza prima il nuovo, perché spostare la banca su una casella protetta male ti lascerebbe peggio di prima.
Ora sposta gli account in ordine di danno. Parti dal gestore di password e dall'archivio cloud, poi banca, enti pubblici e account sanitari. Molti servizi mandano una conferma sia al vecchio sia al nuovo indirizzo, quindi tieni aperti entrambi durante il cambio. Aggiorna tutto ciò che indica il vecchio indirizzo come opzione di recupero, e fai attenzione agli account "Accedi con", dove l'accesso appartiene al provider e cambiare l'indirizzo di contatto potrebbe non cambiare il modo in cui accedi. Distribuiti su qualche sera, i primi venti account sono un lavoro gestibile.
Tieni in vita il vecchio indirizzo. Non chiuderlo, in qualunque livello finisca. Gli account dimenticati continueranno a mandargli posta, il che ti dice cosa va ancora aggiornato, e chiuderlo troppo presto può chiuderti fuori da un account che si recupera tramite esso. Accedi ogni tanto anche per questo, perché i provider hanno regole sull'attività. La politica di Google dal 2023, per esempio, consente di eliminare gli account non usati per due anni, e altri provider fissano i propri limiti e alcuni hanno riassegnato nomi utente abbandonati a nuove persone. Un nome riciclato così riceverebbe qualsiasi email di reimpostazione che punti ancora a esso.
Infine, fai pulizia e cambia l'abitudine. Annulla l'iscrizione alle liste che non leggi più, chiudi gli account che non usi più perché chiuderli riduce ciò che può trapelare, e comincia a usare alias o etichette per le nuove registrazioni. Da qui in avanti, i download una tantum e le pagine Wi-Fi vanno in qualcosa di breve durata. Quest'ultimo passo è dove sta il vantaggio a lungo termine, perché il secondario smette di crescere senza limiti.
Come cambia l'uso quotidiano
Il principale si legge con attenzione ma di rado. Riceve pochi messaggi, quasi tutti importanti, quindi è la casella in cui tenere attive le notifiche. Il secondario si scorre in fretta, con newsletter e ricevute archiviate dai filtri e notifiche spente. Un gestore di password per tutti i livelli mantiene la coerenza, e le sue voci possono annotare quale indirizzo usa ogni account.
Gli indirizzi a breve termine si usano su richiesta. Con VookMail, come esempio, l'indirizzo c'è appena la pagina si carica, senza registrazione né password. Lo copi, lo usi, e la casella controlla la posta ogni pochi secondi, con codici di verifica e link di conferma mostrati sopra il messaggio. Puoi premere Nuovo per digitare un nome utente e scegliere tra più di 30 domini, tenere più indirizzi nello stesso browser, o usare il pulsante QR per passare un indirizzo a un telefono e aprire lì la stessa casella. Tutto viene eliminato dopo circa un giorno, il che è giusto per questo livello e sbagliato per qualsiasi altro. Le app sono su Google Play e Huawei AppGallery, e i nostri termini e condizioni indicano per cosa non possono essere usate, tra cui frodi, abusi ed elusione di divieti.
Un vantaggio sottovalutato emerge dopo qualche mese: il contesto diventa un segnale di sicurezza. Ogni indirizzo ha un insieme previsto di mittenti, quindi le anomalie si notano. Un'email che dice di venire dalla tua banca e arriva al secondario è falsa, perché la tua banca ha sempre avuto solo il principale. Anche un avviso "il tuo ordine è stato spedito" sul principale è sospetto per lo stesso motivo. Questo controllo rapido funziona su messaggi ben scritti che supererebbero qualsiasi altra verifica, e la nostra guida su come riconoscere le email di phishing spiega cosa fare con quelli che sfuggono. Il controllo ha un limite: una violazione o un contatto condiviso possono prima o poi mettere qualsiasi indirizzo nelle mani di un truffatore, quindi un indirizzo previsto non è la prova che un messaggio sia autentico.
Lavoro, famiglia e le persone intorno a te
Il tuo indirizzo di lavoro appartiene al tuo datore di lavoro. Non registrarci account personali e non usarlo per il recupero personale. Quando te ne vai perdi l'accesso, spesso lo stesso giorno, e nel frattempo il tuo datore di lavoro potrebbe poterlo leggere. Allo stesso modo, evita di usare indirizzi personali per i sistemi di lavoro, a meno che la policy del tuo datore di lavoro dica altrimenti.
Un indirizzo condiviso di famiglia funziona bene per utenze, messaggi della scuola e servizi domestici che più persone devono vedere. Trattalo come livello secondario con protezione forte, e fai in modo che più di un adulto possa recuperarlo. Pensa a cosa succede se chi l'ha configurato non è più disponibile.
Per i bambini, un account gestito da un genitore con i controlli parentali che offre un provider di posta ha molto più senso di una casella temporanea. I servizi usa e getta sono strumenti generici e non sono pensati per i bambini.
Se gestisci un progetto parallelo o una piccola attività, dagli un indirizzo o un dominio suo, separato dal tuo principale personale. Gli indirizzi rivolti ai clienti sono pubblici per natura e attireranno spam. Possono restare a portata di mano anche caselle pulite per testare la posta di registrazione e di notifica, così una casella vera non si riempie di messaggi di prova.
Se non potessi più accedere
Il test mentale ha ancora una versione che pochi eseguono. La tua casella principale contiene la via d'accesso alla maggior parte della tua vita digitale, e un giorno la tua famiglia potrebbe averne bisogno quando non potrai aiutare. Una password in una busta sigillata funziona, ma le grandi piattaforme oggi offrono qualcosa di più formale. Il Gestore account inattivo di Google ti permette di indicare persone da avvisare, e se vuoi di dare accesso a certi dati, quando il tuo account è inattivo da un periodo che stabilisci tu. Il contatto erede di Apple genera una chiave di accesso che, insieme a un certificato di morte, permette a una persona indicata di richiedere i tuoi dati, ma non le password del portachiavi né i dettagli di pagamento. Molti altri servizi non hanno una procedura simile. Qualunque cosa scelga, indica nel testamento o tra i documenti importanti che il piano esiste, e chiedi una consulenza legale se la tua situazione è complicata, perché le regole sull'accesso agli account di una persona defunta differiscono da paese a paese.
Quando arriva un avviso di violazione
I livelli cambiano il significato di un avviso di violazione, ed è qui che questa organizzazione ripaga lo sforzo. Se il servizio violato aveva un indirizzo a breve termine, di solito non c'è niente da fare. L'indirizzo era temporaneo e non collegato a nulla, anche se, se lì avevi riutilizzato una password, cambiala ovunque l'avessi usata.
Se aveva il tuo secondario, cambia la password di quel servizio, stai attento alle truffe mirate a quell'indirizzo e, se usavi un alias, disattivalo e creane uno nuovo. Gli altri tuoi account sul secondario sono colpiti solo se condividevano la password, cosa che un gestore di password impedisce.
Se aveva il principale, cambia la password, rivedi i dispositivi e le regole di inoltro della casella e aspettati truffe convincenti che citano il servizio per nome. Le violazioni dei servizi del livello principale dovrebbero anche essere più rare, semplicemente perché meno servizi hanno quell'indirizzo. Controllare periodicamente i tuoi indirizzi permanenti su un servizio di segnalazione delle violazioni come Have I Been Pwned è una buona abitudine.
Un piano che sta su una pagina
Metterlo per iscritto trasforma una buona intenzione in qualcosa che puoi seguire, e fa sì che tra dieci anni tu possa ancora ritrovare i dettagli. Ecco un esempio da adattare. Tieni il tuo in un posto sicuro, come le note protette del tuo gestore di password, e annota quale indirizzo e quale livello, senza scriverci le password.
Principale: nome.cognome presso un provider consolidato. Banca, tasse, salute, gestore di password, archivio cloud, famiglia. Recupero: telefono più codici di backup stampati tenuti con i passaporti. Mai usato per acquisti o registrazioni.
Secondario: nome di fantasia neutro presso un secondo provider, più alias per i singoli negozi. Acquisti, newsletter, forum, abbonamenti. Recupero: il principale.
A breve termine: indirizzo temporaneo casuale, dove i termini di un sito lo consentono. Download una tantum, pagine Wi-Fi, test, prova di siti sconosciuti. Niente che mi servirà dopo oggi.
Regole: ogni account ha una password unica. Il gestore di password annota quale indirizzo usa ogni account. Controllo le impostazioni di sicurezza del principale ogni sei mesi. Il dominio si rinnova ogni marzo.
Manutenzione, in piccole dosi
Una volta al mese, esci dalle liste del livello secondario che hai smesso di leggere e sposta ogni account nato con un indirizzo a breve termine che si è rivelato utile. Se non l'hai fatto entro un giorno, dai per scontato di aver perso l'accesso all'indirizzo, e gestiscilo dalle impostazioni del sito o dall'assistenza, se puoi.
Due volte l'anno, rivedi dispositivi connessi, regole di inoltro e app collegate su entrambe le caselle permanenti. Conferma i numeri di recupero e controlla che i codici di backup siano ancora dove pensi. Accedi a ogni vecchio indirizzo che hai conservato. Controlla i tuoi indirizzi su un servizio di segnalazione delle violazioni e, se possiedi un dominio, conferma il rinnovo automatico e la carta che c'è dietro.
Una volta l'anno, chiudi gli account che non usi più e chiediti se i livelli si adattano ancora alla tua vita, soprattutto dopo un cambio di lavoro o un trasloco. Una strategia scritta per una versione della tua vita andrà alla deriva, e aggiustarla richiede molto meno sforzo della configurazione iniziale.
Dove questi piani vanno storti
La maggior parte dei fallimenti sono piccole eccezioni che si accumulano. "Solo questa volta" con il principale è il classico. Se un sito non meritava quell'indirizzo la settimana scorsa, non lo merita questa settimana, e un alias si crea in pochi secondi. Un secondo posto va al riutilizzo delle password tra i livelli, perché indirizzi separati servono a poco se la violazione di un forum rivela la password della tua casella.
L'errore opposto è costruire troppo. Una persona con undici indirizzi, ciascuno con le sue regole, smetterà di seguirle entro la primavera. Due indirizzi permanenti e un'opzione a breve termine coprono quasi tutto. Aggiungine un altro solo per un motivo chiaro, come un'attività. Considerare le etichette con il segno più una forma di privacy, usare un indirizzo a breve termine per qualcosa che poi diventa importante e chiudere troppo presto un vecchio indirizzo causano ciascuno veri blocchi, mentre un secondario semplice e un po' di pazienza evitano tutti e tre.
Domande su come impostarlo
È sospetto usare indirizzi diversi per siti diversi?
No. Separare gli indirizzi è una normale pratica di privacy e organizzazione. Conta che ogni account a cui tieni stia su un indirizzo che controllerai per tutto il tempo in cui ti serve l'account, e che tu rispetti le regole di ogni sito sugli indirizzi che accetta.
Avere due account email va contro le regole di un provider?
In generale no, per un normale uso personale, anche se i termini variano e la creazione automatica in massa è un'altra faccenda. Molte persone ne hanno diversi per scopi separati. Controlla i termini del tuo provider se hai dubbi.
Una sola casella con molti alias può sostituire un account secondario?
Può, se gli alias sono veri indirizzi di inoltro che nascondono la casella, e accetti che un provider diventi un singolo punto di rottura più grande. Le sole etichette con il segno più non bastano, perché rivelano il tuo indirizzo di base a chiunque tolga l'etichetta.
Il mio numero di telefono dovrebbe essere associato al principale?
Per la maggior parte delle persone sì, perché un telefono di recupero funzionante previene molti più blocchi di quanti ne causi. Se subisci attacchi mirati, per esempio per il tuo lavoro o il tuo profilo pubblico, valuta di togliere l'SMS come metodo di accesso e di affidarti a chiavi di sicurezza, gestendo con cura i codici di backup.
Tutto questo aiuta se è il mio provider stesso a subire una violazione?
In parte. La tua password e il secondo fattore ti proteggono comunque da molti tipi di incidente, e un secondario separato presso un'altra azienda significa che non è tutto in un unico posto. Tenere un'esportazione della posta importante aiuta in ogni scenario, compreso quello in cui perdi semplicemente l'accesso.
Quanto tempo richiede tutto il passaggio?
La configurazione e i primi venti account possono richiedere qualche sera. La lunga coda di account dimenticati richiede mesi, ed è normale. Si rivelano quando arriva posta al vecchio indirizzo, e puoi occuparti di ciascuno man mano che compare. Per saperne di più sul progetto, vedi la pagina di presentazione o il blog di VookMail. VookMail fa parte della rete di strumenti gratuiti PAYATE.