Link con password e scadenza: come proteggere ciò che condividi

Un link con password si apre solo per chi conosce la parola d’accesso, e un link con scadenza smette di funzionare alla data che scegli tu: insieme, e magari con un limite di download, trasformano un link che chiunque potrebbe inoltrare in un accesso limitato nel tempo, nelle persone e nel numero di utilizzi. La password va sempre comunicata su un canale diverso da quello del link.

La maggior parte degli incidenti di condivisione non sono attacchi informatici. Sono vecchi link: una cartella condivisa anni fa con «chiunque abbia il link», un link di consegna che il cliente ha girato a un collega, un URL incollato in un canale pubblico. Questa guida spiega come scegliere scadenze, password e limiti di download, con le indicazioni ufficiali più recenti sulle password, e cosa fare quando un link è finito dove non doveva.

Perché un link dovrebbe scadere

• I link viaggiano. Le email vengono inoltrate, le chat finiscono in uno screenshot, gli strumenti di progetto si aprono a persone nuove.
• Le persone dimenticano. Nessuno ricontrolla le condivisioni create tre anni fa.
• La protezione dei dati lo chiede. Il principio di limitazione della conservazione del GDPR (articolo 5, paragrafo 1, lettera e) dice che i dati personali non vanno conservati più del necessario; un link che scade a lavoro finito è il modo più semplice per applicarlo. Vedi la nostra guida su invio file e GDPR.
• Meno esposizione. Se un link scaduto finisce in giro, non porta da nessuna parte.

Link con scadenza: quanto deve durare?

Su Transfr, il piano gratuito ti fa scegliere tra 1, 3, 5 o 7 giorni; Pro aggiunge 15, 30 e 60 giorni. Se hai effettuato l’accesso, puoi cambiare la scadenza anche dopo l’invio, per esempio per allungarla a un cliente che era in ferie.

Password sicura: quanti caratteri servono?

Il National Institute of Standards and Technology (NIST) statunitense ha aggiornato le sue linee guida sull’identità digitale a luglio 2025 (SP 800-63B-4). Le regole sulle password sono un buon riferimento anche per le password dei link:

• La lunghezza conta più della complessità: il NIST chiede almeno 15 caratteri per una password usata da sola, e vieta di imporre regole di composizione come «un simbolo e una maiuscola».
• Evita le password comuni o già trapelate: i servizi dovrebbero confrontare le nuove password con elenchi di password diffuse e compromesse.
• Niente cambi periodici forzati, solo quando ci sono indizi di compromissione.
• Gestori di password e incolla devono essere consentiti, così le password lunghe e casuali restano pratiche.

Il National Cyber Security Centre britannico suggerisce un metodo semplice per una password da ricordare: unire tre parole casuali, che danno una password «abbastanza lunga e abbastanza forte», e osserva che sostituire lettere con simboli (la o con lo 0) non la rende davvero più robusta. Per la password di un link, che tanto incollerai, una stringa lunga e casuale generata da un gestore di password è ancora meglio.

Limite di download: chiudere la porta dopo l’uso

Un limite di download fa smettere di funzionare il link dopo un certo numero di download. Impostalo sul numero di persone che devono ricevere i file, magari più uno per un secondo tentativo, e un link inoltrato diventa presto inutile. Su Transfr i limiti di download sono gratuiti, vanno da 1 a 1.000 (oppure illimitati) e si possono modificare dopo l’invio.

Password, scadenza, limite di download o crittografia end-to-end?

Le protezioni si sommano. Per le consegne di routine basta una data di scadenza. Per dati personali o riservati, combina scadenza breve, password, limite di download e crittografia end-to-end. Tutte e quattro sono disponibili nel piano gratuito di Transfr; vedi anche la pagina su come proteggere un file con password.

Scadenza e password sui servizi più usati

Lo schema è chiaro: i servizi di trasferimento scadono di default, gli spazi cloud no. Se condividi da Google Drive, OneDrive o Dropbox, mettiti un promemoria in calendario per togliere l’accesso, oppure usa un trasferimento per le consegne una tantum. Il confronto Google Drive o WeTransfer e la nostra selezione di siti per inviare file pesanti gratis approfondiscono.

Link con scadenza anche per i file che ricevi

La stessa logica vale quando raccogli file. Un link di richiesta file che resta aperto per sempre può continuare a ricevere caricamenti molto dopo la fine di un progetto, a volte da persone che non avevi previsto. Dai alle richieste una data di fine o un numero massimo di invii, e una password se i documenti sono delicati. Vedi come ricevere file dai clienti.

Come creare un link con password su Transfr

1. 1

   Passo 1

   Aggiungi i file

   Apri Transfr e aggiungi file o cartelle, fino a 100 GB per trasferimento gratis.

2. 2

   Passo 2

   Apri le impostazioni del trasferimento

   Scegli la scadenza (da 1 a 7 giorni gratis, fino a 60 giorni con Pro).

3. 3

   Passo 3

   Aggiungi una password

   Usa una frase lunga o una password casuale generata dal tuo gestore di password.

4. 4

   Passo 4

   Imposta un limite di download

   Fallo corrispondere al numero dei destinatari.

5. 5

   Passo 5

   Invia, poi comunica la password a parte

   Invia il link per email o copialo, e comunica la password con un altro canale.

Un link è finito alla persona sbagliata: cosa fare?

1. Revoca subito l’accesso: elimina il trasferimento, accorcia la scadenza o cambia la password. Su Transfr, chi invia con un account può farlo dalla propria dashboard.
2. Controlla i download: se avevi attivato le notifiche o il monitoraggio dei download, verifica se e quando i file sono stati scaricati.
3. Valuta il contenuto: se sono stati esposti dati personali, la tua organizzazione può avere degli obblighi in base al GDPR, compresa la notifica al Garante privacy, ove possibile entro 72 ore, quando c’è un rischio per le persone (articolo 33).
4. Invia un nuovo link alla persona giusta, questa volta con una password.

Attenzione alle false email «ti hanno condiviso un file»

Chi attacca imita le notifiche di condivisione file per rubare password: il CSIRT Italia dell’Agenzia per la cybersicurezza nazionale ha segnalato campagne di phishing che usavano come esca un presunto documento da visionare, con link che portavano a false pagine di accesso. Un link di trasferimento autentico non dovrebbe chiederti di accedere con la password della tua email. Nel dubbio, verifica con il mittente su un altro canale. La nostra checklist per inviare file in modo sicuro tratta questa e altre abitudini.