Dashlane vs Vaultwarden nel 2026: chi custodisce davvero le vostre password
L'impiegato europeo medio gestisce oggi tra 80 e 150 account online, e per una quota crescente di persone il file più prezioso che possiedono non è un documento né un archivio di foto, ma una cassaforte di password cifrata. Quella cassaforte ha una posizione fisica. Si trova su un server, in un data center, sotto le leggi di un Paese preciso, gestita da un'azienda che risponde a tribunali precisi. Sfogliate i gestori di password presenti in qualsiasi grande negozio di estensioni per browser e troverete decine di prodotti la cui pagina dell'editore non indica né un indirizzo societario, né un fornitore di hosting, né una giurisdizione, accanto a fornitori affermati che pubblicano i propri audit; un consumatore può installare gli uni o gli altri con gli stessi due clic. Dashlane e Vaultwarden si collocano agli estremi opposti di questa mappa. Dashlane è un servizio commerciale fondato in Francia che conserva la vostra cassaforte cifrata sulla propria infrastruttura cloud. Vaultwarden è un server leggero, mantenuto dalla comunità e compatibile con le app ufficiali di Bitwarden, che fate funzionare voi stessi su una macchina sotto il vostro controllo. Entrambi possono essere scelte eccellenti per un consumatore democratico. Rispondono semplicemente in modo del tutto diverso alla domanda «chi custodisce le mie password?», e nel 2026 questa differenza conta più di cinque anni fa.
Perché l'origine democratica conta in particolare per i gestori di password
La maggior parte delle categorie di prodotto di Democratic Market riguarda filiere fisiche: piantagioni di cacao, celle per batterie, filature di cotone. Anche i gestori di password hanno una filiera, ma è fatta di codice, librerie crittografiche, infrastruttura server e giurisdizione. La domanda rilevante non è dove il prodotto sia stato assemblato, ma quali governi possano obbligare l'operatore a fare qualcosa. In una democrazia piena o imperfetta con tribunali indipendenti, una richiesta di dati degli utenti di solito richiede un mandato, può essere contestata e compare spesso nei rapporti di trasparenza. In uno Stato autoritario, l'operatore può non avere alcuna possibilità legale di rifiutare. La legge cinese sull'intelligence nazionale del 2017, per esempio, obbliga le organizzazioni a «sostenere, assistere e cooperare» con il lavoro di intelligence dello Stato, e il sistema russo SORM garantisce ai servizi di sicurezza un accesso permanente alle infrastrutture di comunicazione. Un gestore ben progettato usa la cifratura a conoscenza zero: l'operatore non vede mai la vostra password principale e non può decifrare la vostra cassaforte. Ma la conoscenza zero è una promessa implementata nel software, e il software può essere aggiornato. Un governo in grado di costringere un fornitore a distribuire un'estensione del browser modificata a un singolo utente bersaglio può aggirare completamente la crittografia. Per questo Democratic Market tratta la giurisdizione, la trasparenza del codice e la governance degli aggiornamenti come criteri di primo piano in questa categoria, insieme al punteggio nell'indice di democrazia dell'EIU del Paese in cui l'operatore ha sede legale. L'Agenzia per la cybersicurezza nazionale raccomanda l'uso di un gestore di password nelle proprie campagne di sensibilizzazione, sottolineando però l'importanza di scegliere strumenti affidabili.
Dashlane: ingegneria francese, cloud a conoscenza zero, esperienza curata
Dashlane è stata fondata a Parigi nel 2009 e mantiene in Francia gran parte della propria ingegneria, con la sede societaria a New York. Questo le conferisce un doppio profilo democratico: la Francia ottiene 7,99 nell'indice di democrazia dell'EIU e gli Stati Uniti 7,85, entrambe classificate come democrazie imperfette ma dotate di un solido controllo giudiziario, di autorità per la protezione dei dati e di una stampa libera. Dal punto di vista tecnico, Dashlane è tra le architetture più prudenti sul mercato. Le casseforti sono cifrate in locale con AES-256 e la chiave è derivata dalla password principale con Argon2d, una funzione che richiede molta memoria e rende costosi gli attacchi di forza bruta offline. L'azienda pubblica un white paper di sicurezza dettagliato, gestisce un programma pubblico di bug bounty e supporta le passkey nelle proprie app dal 2023. Nel 2022 ha dismesso le applicazioni desktop native per Windows e macOS, passando a un modello incentrato sull'estensione del browser: una scelta che ha semplificato la superficie di attacco ma ha anche concentrato la fiducia nel canale di aggiornamento dell'estensione. Per i privati il piano Premium costa circa cinque euro al mese con fatturazione annuale, con piani famiglia e business più cari. Il richiamo è evidente: monitoraggio del dark web, VPN integrata in alcuni piani, condivisione sicura, console di amministrazione per le aziende e manutenzione quasi nulla. Il prezzo da pagare è che affidate a un'azienda, al suo fornitore cloud e a due ordinamenti giuridici il testo cifrato di tutta la vostra vita digitale. Per un lettore italiano, la sede francese significa anche un interlocutore pienamente soggetto al GDPR e alla vigilanza coordinata delle autorità europee, a cui il Garante può rivolgersi tramite il meccanismo dello sportello unico.
Vaultwarden: self-hosted, open source e solido quanto la vostra installazione
Vaultwarden è nato nel 2018 come bitwarden_rs, una reimplementazione in Rust dell'API server di Bitwarden scritta dallo sviluppatore Daniel García, ed è stato rinominato nel 2021 per evitare confusione con il prodotto ufficiale. È distribuito con licenza AGPL-3.0: il codice sorgente è interamente pubblico e qualsiasi modifica distribuita come servizio di rete deve essere condivisa. Il suo punto di forza principale è l'efficienza: mentre il server ufficiale di Bitwarden richiedeva storicamente una serie di servizi .NET e Microsoft SQL Server, Vaultwarden gira come un unico container Docker con SQLite, MySQL o PostgreSQL e serve senza difficoltà una famiglia o una piccola impresa da un Raspberry Pi o da un server virtuale da cinque euro. Gli utenti si collegano con i client ufficiali di Bitwarden, anch'essi open source e sviluppati da Bitwarden Inc., società con sede in California. La cifratura avviene sempre lato client, con PBKDF2-SHA256 e 600.000 iterazioni per impostazione predefinita oppure Argon2id su richiesta, per cui il server non vede mai il testo in chiaro. Dal punto di vista della sovranità democratica, Vaultwarden è vicino all'ideale: se lo ospitate su hardware in Germania (EIU 8,80), Finlandia (9,30) o Norvegia (9,81), la vostra cassaforte ricade sotto la legge di quel Paese e di nessun altro; un hosting in Italia, presso fornitori come Aruba o Seeweb, la pone sotto il diritto italiano e la vigilanza del Garante. C'è però un'avvertenza importante. Vaultwarden è un progetto volontario senza un'entità commerciale alle spalle, non è stato sottoposto al tipo di audit formale di terze parti ricevuto dal server di Bitwarden, e la sua sicurezza dipende molto dalla cura con cui configurate HTTPS, backup, token di amministrazione e aggiornamenti. La sovranità trasferisce la responsabilità su di voi.
Gestori di password a rischio democratico: Kaspersky e cloni opachi
Non tutti i gestori di password sugli scaffali europei provengono da democrazie. Il caso più evidente è Kaspersky Password Manager, sviluppato da Kaspersky Lab, con sede a Mosca. La Russia ottiene 2,28 nell'indice di democrazia dell'EIU, saldamente nella categoria autoritaria. Nel marzo 2022 l'Ufficio federale tedesco per la sicurezza informatica, il BSI, ha emesso un avviso formale contro l'uso dei software di sicurezza Kaspersky, citando il rischio che un fornitore russo potesse essere costretto a condurre operazioni offensive; nello stesso periodo l'Italia ha previsto per legge la diversificazione dei prodotti di sicurezza informatica di origine russa nella pubblica amministrazione, sotto la supervisione dell'Agenzia per la cybersicurezza nazionale. Nel 2024 il Dipartimento del Commercio statunitense è andato oltre, vietando la vendita dei prodotti Kaspersky, con aggiornamenti interrotti da settembre di quell'anno. Il gestore di password ha anche una propria storia tecnica: nel 2021 i ricercatori di Ledger Donjon hanno rivelato che il suo generatore di password aveva per anni usato l'ora di sistema come fonte di casualità, rendendo le password generate molto più prevedibili di quanto gli utenti immaginassero. Una seconda categoria di rischio è più difficile da individuare: estensioni e app mobili gratuite e senza marchio, di cui non si possono verificare l'indirizzo dell'editore, il fornitore di hosting e il proprietario. Diverse di queste fanno passare la sincronizzazione della cassaforte attraverso server in Cina (EIU 1,94) o hosting anonimi. La posizione di Democratic Market è netta: se non potete identificare chi controlla il canale di aggiornamento e sotto quale legge opera, non potete valutare seriamente il rischio, e quel prodotto non dovrebbe custodire le vostre credenziali.
Dashlane vs Vaultwarden: funzioni, prezzo e profilo democratico a confronto
Sul piano delle funzioni, Dashlane è il prodotto di consumo più completo. Offre compilazione automatica nei principali browser, archiviazione delle passkey, note sicure, allegati cifrati, avvisi di phishing quando la compilazione viene tentata su un dominio che imita quello legittimo, monitoraggio delle violazioni nel dark web e una console di amministrazione business con integrazione SSO. Vaultwarden, attraverso i client Bitwarden, copre gran parte del nucleo: compilazione automatica, passkey, note sicure, allegati, organizzazioni per la condivisione, autenticazione a due fattori incluse le chiavi hardware FIDO2, e la funzione Bitwarden Send per la condivisione cifrata temporanea. Sblocca inoltre diverse funzioni che Bitwarden riserva ai clienti paganti, come la generazione di codici TOTP nella cassaforte e la condivisione tra organizzazioni, senza abbonamento. Sul prezzo, Dashlane costa circa 60 euro l'anno per un singolo utente e di più per famiglie o team. Vaultwarden è software libero, ma realisticamente pagherete da 40 a 80 euro l'anno per un piccolo server virtuale oppure l'elettricità e l'hardware di un server domestico, più il vostro tempo. Sul profilo democratico, Dashlane ottiene buoni risultati: azienda fondata in Francia, sede negli Stati Uniti, infrastruttura cloud in democrazie consolidate, documentazione di sicurezza pubblicata. Vaultwarden ottiene punteggi ancora più alti per sovranità, perché siete voi a scegliere la giurisdizione, e per trasparenza, perché ogni riga del codice server è pubblica. È più debole sulla responsabilità istituzionale: non c'è un'azienda da citare in giudizio, nessun accordo sul livello di servizio e nessun audit formale. Nella valutazione di Democratic Market entrambi superano ampiamente la soglia; la differenza sta nel dare più peso all'affidabilità esternalizzata o al controllo diretto. Chi cerca una via di mezzo può considerare il servizio cloud ufficiale di Bitwarden con regione dati europea: stessi client open source, ma un operatore sottoposto ad audit formali.
Normativa UE 2026 che riguarda i gestori di password
Diverse leggi europee incidono ormai direttamente su questa categoria. Il Regolamento generale sulla protezione dei dati resta la base: un gestore di password in cloud che tratta dati di residenti nell'UE deve avere una base giuridica, offrire accordi sul trattamento ai clienti aziendali e rispettare i limiti ai trasferimenti internazionali chiariti dalla Corte di giustizia nella sentenza Schrems II del 2020. I trasferimenti di dati personali verso gli Stati Uniti si basano attualmente sul Data Privacy Framework UE-USA adottato nel luglio 2023, che il Tribunale dell'Unione europea ha confermato nel settembre 2025 respingendo il ricorso del deputato francese Philippe Latombe, anche se restano possibili ulteriori impugnazioni. Per le imprese, la direttiva NIS2, applicabile da ottobre 2024 e recepita in Italia con il decreto legislativo 138 del 2024, impone ai soggetti essenziali e importanti di gestire i rischi di cybersicurezza della catena di fornitura, il che in pratica significa verificare quali strumenti di gestione delle credenziali utilizzano e dove sono ospitati; l'Agenzia per la cybersicurezza nazionale ne cura l'attuazione e la registrazione dei soggetti. Il punto più rilevante per il 2026 è il Cyber Resilience Act: i suoi obblighi di segnalazione delle vulnerabilità si applicano da settembre 2026, con piena applicazione a dicembre 2027. I fabbricanti di software con elementi digitali venduti nell'UE, gestori di password compresi, dovranno segnalare all'ENISA le vulnerabilità attivamente sfruttate entro 24 ore e fornire aggiornamenti di sicurezza per tutto un periodo di supporto definito. I progetti open source sviluppati al di fuori di un'attività commerciale, come Vaultwarden nella sua forma attuale, sono in gran parte esentati, ma chi vende commercialmente un servizio Vaultwarden ospitato rientrerebbe nel campo di applicazione.
Come Democratic Market valuta i gestori di password
Per le categorie software, Democratic Market adatta la propria metodologia di filiera in cinque domande ponderate. Primo, la giurisdizione dell'operatore: dove è costituita la società, dove si trova la proprietà di controllo e qual è il punteggio EIU di ciascun Paese coinvolto? Qualsiasi operatore controllato da un Paese sotto 6,0 è escluso. Secondo, la localizzazione dei dati: dove sono fisicamente conservate le casseforti cifrate, e i clienti possono scegliere una regione UE? Terzo, la trasparenza crittografica: il modello di cifratura è documentato in un white paper pubblico, i client sono open source e una società indipendente ha verificato il codice negli ultimi tre anni? Quarto, la governance degli aggiornamenti: chi può inviare nuovo codice al vostro dispositivo, come vengono firmate le build ed esiste un processo di build riproducibile che permetta a terzi di verificare che l'app pubblicata corrisponda al codice sorgente pubblicato? Quinto, lo storico degli incidenti e la loro divulgazione: il fornitore ha subito violazioni, e con quale rapidità e onestà le ha comunicate? In questo quadro Dashlane ottiene voti alti per giurisdizione, documentazione e cultura della trasparenza, e voti medi per la trasparenza del codice, perché i suoi client non sono interamente open source. Vaultwarden ottiene il massimo per trasparenza del codice e localizzazione dei dati, ma i suoi punteggi di audit e governance dipendono dalla singola installazione. Kaspersky Password Manager non supera già la prima domanda.
Guida all'acquisto passo dopo passo: scegliere un gestore di password nel 2026
Iniziate decidendo chi si occuperà della manutenzione del sistema. Se nessuno in famiglia o in azienda si sente a proprio agio nel mantenere aggiornato un server Linux, scegliete un servizio ospitato e fermatevi lì; una cassaforte self-hosted trascurata è più pericolosa di un cloud commerciale ben gestito. Se optate per un servizio ospitato, controllate il Paese di costituzione dell'operatore e il suo punteggio EIU, poi cercate un white paper di sicurezza aggiornato e un rapporto di audit indipendente risalente a non più di tre anni prima. Verificate che il fornitore supporti passkey e chiavi di sicurezza hardware, perché l'autenticazione resistente al phishing è oggi il miglioramento più importante che possiate fare. Se scegliete di ospitare in proprio Vaultwarden, affidatevi a un fornitore di hosting con sede in una democrazia piena, come Hetzner in Germania, un fornitore equivalente nei Paesi nordici o un provider italiano se preferite restare sotto la giurisdizione nazionale, e mantenete il data center nella stessa giurisdizione. Mettete il servizio dietro HTTPS con un certificato valido, disattivate la registrazione aperta una volta creati i vostri account, proteggete il pannello di amministrazione con un token lungo o disattivatelo del tutto, e programmate backup cifrati automatici verso una seconda posizione. Iscrivetevi alle notifiche di rilascio del progetto e aggiornate entro pochi giorni da ogni rilascio di sicurezza. Qualunque strada scegliate, impostate una password principale lunga e unica di almeno cinque parole casuali, attivate l'autenticazione a due fattori sulla cassaforte stessa ed esportate una copia di emergenza cifrata da conservare offline.
Conclusione: quale gestore di password per un consumatore democratico
Per la maggior parte dei privati e delle famiglie in Europa, Dashlane è una scelta democratica solida: un'azienda con radici francesi e un modello di sicurezza trasparente, che opera sotto due democrazie con tribunali indipendenti e autorità per la protezione dei dati attive, e che richiede un impegno tecnico quasi nullo. Se volete la massima sovranità e voi, o una persona di cui vi fidate, potete gestire un server in modo responsabile, Vaultwarden ospitato in Italia, Germania, Finlandia o in un'altra democrazia piena è l'opzione più forte disponibile: codice aperto, giurisdizione locale e libertà da qualsiasi vincolo di abbonamento. Le piccole imprese soggette a NIS2 dovrebbero valutare con attenzione la tracciabilità ai fini di audit: un fornitore commerciale con certificazioni formali spesso semplifica la conformità, mentre un'istanza Vaultwarden self-hosted richiede procedure documentate per convincere un revisore. Ciò che raccomandiamo di evitare, senza esitazioni, è qualsiasi gestore di password il cui operatore abbia sede in uno Stato autoritario o non sia affatto identificabile. La vostra cassaforte è la chiave maestra della vostra banca, della vostra casella di posta e della vostra identità. Scegliere chi la custodisce è una delle decisioni di acquisto digitale più importanti dell'anno, e merita la stessa attenzione che dedicate all'origine del cibo sulla vostra tavola.