Proteggere WiFi di Casa 2026: Guida Completa a WPA3
La checklist per proteggere WiFi di casa 2026 si riduce a cinque interventi sul router: attivare la cifratura WPA3, sostituire la password predefinita dell’amministratore con una di almeno 12 caratteri, disattivare il WPS, spostare telecamere e domotica su una rete ospiti separata e abilitare gli aggiornamenti automatici del firmware. Sono le stesse misure che l’Agenzia per la Cybersicurezza Nazionale raccomanda agli utenti domestici.
Indice
Il router domestico è oggi il dispositivo più esposto della casa e, allo stesso tempo, quello che quasi nessuno configura. Il Rapporto Clusit 2026 ha censito 5.265 attacchi gravi nel mondo nel 2025, il 49% in più rispetto all’anno precedente, con 507 incidenti che hanno colpito l’Italia (+42%), pari al 9,6% del totale mondiale.
Il dato più rilevante per le reti domestiche è un altro: in Italia gli attacchi DDoS sono saliti al 38,5% degli incidenti del 2025, contro il 21% del 2024 (Clusit, marzo 2026). Si appoggiano a botnet, cioè reti di dispositivi infettati all’insaputa del proprietario: router, telecamere IP e prese smart con firmware vecchio ne sono la materia prima.
La messa in sicurezza non richiede competenze da sistemista né spese: si fa dal pannello del router in venti minuti. Serve però sapere quali impostazioni contano davvero e quali sono folklore.
Ultimo aggiornamento: 6 agosto 2026
Come proteggere WiFi di casa 2026 in sette passaggi
La sequenza è la stessa per qualsiasi marca: si entra nel pannello di amministrazione digitando nel browser l’indirizzo stampato sull’etichetta del router (di norma 192.168.1.1 o 192.168.0.1), si cambiano le credenziali di accesso e poi si sistemano cifratura, WPS, rete ospiti e aggiornamenti. Sette operazioni, nessuna delle quali richiede software aggiuntivo.
- Cambia la password dell’amministratore. Le credenziali di fabbrica (spesso admin/admin) sono pubblicate nei manuali online. È la prima raccomandazione della lista ACN.
- Imposta la cifratura su WPA3, o su WPA2/WPA3 in modalità mista se hai dispositivi datati.
- Usa una password di rete lunga. Minimo 12 caratteri con maiuscole, minuscole, numeri e simboli; il vademecum del Garante Privacy indica 15 caratteri come lunghezza ottimale e nessun riferimento personale.
- Disattiva il WPS dal menu wireless.
- Disattiva l’UPnP, la funzione che apre automaticamente porte verso Internet.
- Crea una rete ospiti e spostaci telecamere, TV e domotica.
- Attiva l’aggiornamento automatico del firmware e disabilita l’amministrazione da remoto se non ti serve.
Un’ultima abitudine vale quanto le sette impostazioni: proteggere l’account con cui gestisci il router o l’app dell’operatore. Se il tuo provider lo consente, conviene attivare l’autenticazione a due fattori, così una password rubata da sola non basta a riconfigurare la linea.
WPA2 o WPA3: quale protocollo scegliere nel 2026?
WPA3 è la scelta corretta ovunque sia disponibile. Introdotto dalla Wi-Fi Alliance nel 2018, sostituisce l’handshake di WPA2 con SAE (Simultaneous Authentication of Equals), un meccanismo che impedisce di catturare il traffico di connessione e provare le password offline. Rende inoltre obbligatori i Protected Management Frames e garantisce la forward secrecy: se la password viene scoperta in futuro, il traffico già registrato resta illeggibile.
WPA2, arrivato nel 2004, resta accettabile ma è nato prima di attacchi come KRACK. La Wi-Fi Alliance impone WPA3 per la certificazione dei nuovi dispositivi dal 1° luglio 2020 e per tutti i prodotti Wi-Fi 6, 6E e 7; sulla banda a 6 GHz la modalità di transizione con WPA2 non è ammessa. Se stai valutando un apparato nuovo, le differenze tra Wi-Fi 6 e Wi-Fi 7 incidono sulla velocità, non sulla sicurezza: entrambi montano WPA3.
WPA2 (2004)
- Cifratura AES, handshake a 4 vie
- Vulnerabile alle catture offline e a KRACK
- Nessuna forward secrecy
- Compatibile con qualsiasi dispositivo, anche del 2010
- Da usare solo in modalità mista, per i device legacy
WPA3 (2018)
- Handshake SAE: niente attacchi a dizionario offline
- Forward secrecy sul traffico passato
- Protected Management Frames obbligatori
- Obbligatorio su Wi-Fi 6/6E/7 e sui 6 GHz
- Da usare come impostazione predefinita
Una precisazione di onestà tecnica: WPA3 non è infallibile. Nel 2019 i ricercatori Mathy Vanhoef ed Eyal Ronen hanno pubblicato Dragonblood, un’analisi che ha mostrato falle di implementazione e attacchi di downgrade nelle prime versioni del protocollo, poi corrette dai produttori. È un motivo in più per tenere il firmware aggiornato, non per restare su WPA2.
Perché il WPS va disattivato?
Il WPS (Wi-Fi Protected Setup) è la funzione che collega un dispositivo premendo un tasto sul router o digitando un PIN. Il problema è il PIN: otto cifre, con una struttura di verifica che ne riduce drasticamente le combinazioni da provare, e un attacco automatizzato può quindi ricavare la password della rete. Anche la modalità a pulsante lascia aperta una finestra di 120 secondi in cui chiunque sia nel raggio del segnale può agganciarsi.
Il guadagno pratico è marginale, il rischio è permanente: la funzione resta attiva 24 ore su 24. Si disattiva dal menu wireless del router, sotto la voce “WPS” o “Connessione rapida”.
A cosa serve davvero la rete ospiti?
La rete ospiti crea un secondo SSID isolato dal primo: chi vi si collega naviga su Internet ma non vede il NAS, il computer o la stampante collegati alla rete principale. L’uso più utile non riguarda però gli ospiti umani, ma i dispositivi IoT. Isolare telecamere, prese smart e assistenti vocali su una rete separata è la raccomandazione numero otto della lista domestica dell’ACN.
La logica è di contenimento: se una telecamera economica con firmware abbandonato viene compromessa, l’attaccante si ritrova in un segmento che contiene solo altre telecamere, non i tuoi documenti. Fuori casa vale la stessa disciplina: capire come funziona la eSIM aiuta a usare il traffico dati al posto del Wi-Fi pubblico.
“Non solo gli incidenti aumentano di numero, ma sono anche più gravi.”
Sofia Scozzari, Comitato Direttivo Clusit, Rapporto Clusit (2026)
Ogni quanto aggiornare il firmware del router?
La risposta corretta è: mai manualmente, sempre in automatico. Praticamente tutti i router venduti negli ultimi cinque anni hanno un’opzione di aggiornamento automatico che va semplicemente attivata; l’ACN, nel bollettino CSIRT Italia del 26 giugno 2025, la indica esplicitamente fra le dodici buone pratiche per gli ambienti domestici. Se l’automatismo non c’è, un controllo ogni tre mesi è un compromesso ragionevole.
Il firmware è il software interno del router: le correzioni che riceve non aggiungono funzioni, chiudono falle già note e già sfruttate. Un apparato senza più aggiornamenti — condizione comune oltre i cinque o sei anni — è un problema che nessuna configurazione compensa.
Come controllare i dispositivi connessi alla rete?
Nel pannello del router esiste sempre una sezione chiamata “Dispositivi connessi”, “Client list” o “Mappa della rete”: elenca nome, indirizzo IP e indirizzo MAC di tutto ciò che è agganciato in quel momento. Molti operatori italiani offrono la stessa vista dall’app ufficiale. Un controllo mensile è sufficiente per accorgersi di presenze anomale.
Se compare un dispositivo che non riconosci, la contromisura non è bloccarne il MAC — che si falsifica in pochi secondi — ma cambiare la password della rete e riconnettere i device uno per uno. Il filtro MAC è una delle misure più sopravvalutate: dà un senso di controllo senza offrire una barriera reale.
Conviene cambiare router o basta riconfigurarlo?
Nella maggior parte dei casi basta riconfigurare. Se il router supporta WPA3 e riceve ancora aggiornamenti firmware, i sette passaggi della checklist coprono l’intera superficie d’attacco domestica e non c’è alcun vantaggio di sicurezza nel comprarne uno nuovo. La spesa ha senso solo quando mancano quei due requisiti.
Un router che non riceve più firmware è insicuro per definizione: nessuna impostazione può chiudere una falla che il produttore ha smesso di correggere.
Vale la pena cambiare router se l’apparato non offre WPA3, se il produttore ha terminato il supporto software o se non permette di creare una rete ospiti: tre limiti strutturali che nessuna configurazione aggira. Non vale la pena se il router è recente, aggiornato e già su WPA3: lì il tempo è meglio speso a disattivare WPS e UPnP, isolare i dispositivi IoT e allungare la password. Il rischio residuo, in una casa media, arriva quasi sempre dalla configurazione di fabbrica, non dall’hardware.
Domande frequenti
Nascondere il nome della rete (SSID) serve a qualcosa?
No, non aggiunge sicurezza reale. Una rete con SSID nascosto continua a trasmettere e viene individuata in pochi secondi da qualsiasi strumento di analisi wireless, perché i dispositivi già associati ne rivelano il nome quando la cercano. In compenso complica la connessione dei device legittimi. Meglio lasciare l’SSID visibile e investire su WPA3 e su una password lunga.
Il mio router non ha l’opzione WPA3: cosa faccio?
Verifica prima se un aggiornamento firmware la introduce: diversi modelli del 2019-2020 hanno ricevuto WPA3 via software. Se l’opzione continua a mancare, imposta WPA2 con cifratura AES — mai TKIP — e usa una password di almeno 15 caratteri, perché con WPA2 la robustezza della passphrase è la difesa principale. Valuta la sostituzione se il modello non è più supportato.
Ogni quanto va cambiata la password del Wi-Fi?
Solo quando c’è un motivo, non a calendario. Il Garante Privacy raccomanda password lunghe e uniche piuttosto che cambi frequenti, che spingono a scegliere varianti prevedibili. I motivi validi per sostituirla sono tre: l’hai condivisa con persone che non frequentano più la casa, hai notato un dispositivo sconosciuto collegato, oppure hai appena disattivato il WPS e vuoi azzerare eventuali accessi già ottenuti.
Serve una VPN sulla rete di casa?
Non per proteggere la rete domestica in sé, che è già cifrata da WPA2 o WPA3. Una VPN ha senso in due scenari diversi: quando ti colleghi a reti Wi-Fi pubbliche, e quando vuoi raggiungere da fuori i dispositivi di casa. Su quest’ultimo punto l’ACN è netta: meglio una VPN dedicata che aprire porte sul router per servizi come RDP, VNC o SSH, pratica che espone direttamente quei servizi a Internet.
Questo articolo è stato scritto dalla redazione di Info Pratica e verificato su fonti ufficiali e attendibili (istituzioni, enti pubblici, studi ed esperti citati nel testo). Scopri come lavoriamo nella pagina Redazione.
