Un router configurato con la password predefinita è come una porta di casa lasciata accostata: dall’esterno non sembra necessariamente aperta, ma non dovrebbe esserlo. Questa guida sicurezza router domestico aiuta a proteggere la rete di casa o del piccolo ufficio con interventi concreti, senza richiedere competenze da amministratore di rete.
Il router è il punto di passaggio di PC, smartphone, smart TV, stampanti, videocamere e dispositivi domotici. Se viene compromesso, un aggressore può intercettare traffico non protetto, modificare il DNS per indirizzare verso siti falsi o tentare di raggiungere gli altri dispositivi collegati. La priorità non è attivare ogni opzione disponibile: è eliminare le esposizioni inutili e mantenere il dispositivo aggiornato.
Prima di iniziare: identifica router e pannello di gestione
Controlla l’etichetta sotto il router oppure l’app del provider per individuare marca, modello, versione hardware e versione firmware. Questo dettaglio conta: due router con nomi simili possono avere menu, funzioni e aggiornamenti diversi.
Per entrare nel pannello amministrativo, di solito basta digitare nel browser l’indirizzo del gateway locale, spesso `192.168.1.1`, `192.168.0.1` oppure `192.168.1.254`. Su Windows puoi verificarlo con il comando `ipconfig`, cercando la voce “Gateway predefinito”. Su macOS, Android e iPhone lo trovi nei dettagli della rete Wi-Fi connessa.
Avvertenza: configura il router da un computer collegato via cavo Ethernet quando possibile. Una modifica alle impostazioni Wi-Fi può interrompere la connessione e, se stai operando da remoto, lasciarti fuori dal pannello. Prima di cambiare impostazioni delicate, annota i valori attuali oppure usa l’eventuale funzione di backup della configurazione.
Guida sicurezza router domestico: i controlli essenziali
1. Aggiorna il firmware, ma solo da fonti ufficiali
Il firmware è il sistema operativo del router. Corregge vulnerabilità, problemi di stabilità e difetti che possono consentire l’accesso non autorizzato. Cerca nel pannello una sezione come Aggiornamento firmware, Manutenzione o Sistema e verifica la disponibilità di una versione più recente.
Se il router supporta gli aggiornamenti automatici, in genere conviene abilitarli. Alcuni modelli richiedono invece il caricamento manuale di un file: scarica esclusivamente il firmware previsto per il tuo modello e la tua revisione hardware. Installare un file errato può rendere il router inutilizzabile.
Evita di spegnere il dispositivo durante l’aggiornamento. Un riavvio richiede normalmente pochi minuti. Se il produttore non pubblica aggiornamenti da anni e il router gestisce ancora una rete con dati di lavoro, videocamere o dispositivi smart, la sostituzione è una misura di sicurezza, non soltanto un upgrade prestazionale.
2. Cambia subito la password amministratore
La password del Wi-Fi e quella del pannello del router sono due credenziali diverse. La seconda protegge le impostazioni più sensibili: DNS, apertura porte, rete ospiti, aggiornamenti e configurazioni VPN.
Sostituisci la password predefinita con una passphrase lunga almeno 16 caratteri, unica e conservata in un password manager. Non usare nome dell’azienda, indirizzo, numero di telefono o dati facilmente riconducibili alla famiglia. Se il router permette di cambiare anche il nome utente amministrativo, fallo: riduce l’efficacia dei tentativi basati su credenziali standard.
Dove disponibile, abilita l’autenticazione a due fattori per l’account cloud associato al router o all’app del produttore. Non tutti i dispositivi la offrono, ma è particolarmente utile per i sistemi mesh gestiti tramite applicazione.
3. Usa WPA3 oppure WPA2-AES per il Wi-Fi
La protezione wireless determina quanto sia difficile collegarsi alla rete senza autorizzazione. Se tutti i dispositivi sono abbastanza recenti, seleziona WPA3-Personal. Se hai periferiche più vecchie che non si connettono, usa WPA2-Personal con AES oppure la modalità mista WPA2/WPA3, se disponibile.
Non usare WEP, WPA originale o WPA2 con TKIP: sono protocolli datati. Anche una password Wi-Fi deve essere lunga e non riutilizzata altrove. Una passphrase composta da quattro o cinque parole casuali è pratica da digitare e più resistente di una parola breve con qualche numero finale.
| Impostazione Wi-Fi | Scelta consigliata | Da evitare |
|---|---|---|
| Crittografia | WPA3-Personal o WPA2-AES | WEP, WPA, TKIP |
| Password | Unica, lunga almeno 16 caratteri | Password stampata sul router o riutilizzata |
| WPS | Disabilitato | PIN WPS attivo |
| Rete ospiti | Separata dalla rete principale | Condivisione della password aziendale o domestica |
4. Disabilita WPS e l’amministrazione remota
WPS è nato per semplificare il collegamento di dispositivi Wi-Fi, ma il metodo tramite PIN ha avuto problemi di sicurezza noti. Disabilitalo, soprattutto se non lo usi. Il pulsante fisico WPS può restare disponibile in alcuni modelli, ma un’opzione per spegnerlo completamente è preferibile.
Controlla poi le voci “Remote Management”, “Web Access from WAN”, “Amministrazione da Internet” o equivalenti. Devono essere disattivate salvo un’esigenza precisa. Esporre il pannello di gestione sulla rete Internet aumenta la superficie d’attacco e raramente è necessario in una casa o in un piccolo studio.
Se hai davvero bisogno di accedere alla rete dall’esterno, valuta prima una VPN configurata correttamente. Non limitarti ad aprire una porta verso il pannello del router o verso un PC, perché questa scelta può annullare molte delle protezioni appena impostate.
5. Valuta UPnP e apertura automatica delle porte
UPnP consente a console, app per videoconferenze e altri programmi di aprire automaticamente porte sul router. È comodo, ma implica che un dispositivo interno possa modificare l’esposizione della rete. In una rete semplice e affidabile può essere accettabile; in presenza di PC condivisi, software poco controllato o dispositivi IoT economici, è meglio disabilitare UPnP e aprire manualmente solo le porte indispensabili.
Prima di spegnerlo, considera il compromesso: alcuni giochi online, console o applicazioni peer-to-peer potrebbero segnalare NAT ristretto. Non riattivarlo automaticamente al primo inconveniente. Verifica quale servizio ne ha bisogno e, se necessario, crea una regola mirata, documentandola con nome del dispositivo, porta e motivo.
6. Separa dispositivi ospiti e smart home
Una rete unica per notebook di lavoro, smartphone, telecamere e ospiti facilita la configurazione, ma permette anche una maggiore visibilità tra i dispositivi. La soluzione più pratica è attivare una rete Wi-Fi ospiti per visitatori e, se il router la supporta, una rete dedicata a IoT e domotica.
La rete ospiti dovrebbe impedire l’accesso alla rete locale. Per i dispositivi smart, verifica se esiste l’opzione di isolamento dei client o di rete separata. Attenzione però: alcune lampadine, stampanti e assistenti vocali devono comunicare con lo smartphone o con un hub locale. Dopo la separazione, prova le funzioni essenziali prima di considerare concluso il lavoro.
7. Controlla DNS, porte e dispositivi collegati
Apri periodicamente l’elenco dei client connessi. Un nome sconosciuto non indica sempre un intruso: molti dispositivi mostrano un identificativo generico del produttore. Confronta indirizzo MAC, nome del dispositivo e numero di apparecchi presenti in casa. Se rilevi una connessione non riconosciuta, cambia la password Wi-Fi, disconnetti i client e controlla di nuovo l’elenco.
Esamina anche le regole di port forwarding, DMZ e DNS personalizzato. Se non ricordi di averle create, rimuovile dopo aver verificato che non servano a servizi specifici. La DMZ, in particolare, inoltra gran parte del traffico in ingresso verso un singolo dispositivo e non è adatta come soluzione generica per far funzionare un gioco o una telecamera.
Il DNS può essere impostato dal provider, dal router o manualmente. Un DNS sconosciuto può essere il segnale di una configurazione alterata. Mantieni provider DNS affidabili e, se il router lo offre, attiva DNS sicuro o DNS over HTTPS solo dopo aver verificato la compatibilità con parental control, filtri locali o VPN aziendali.
8. Proteggi anche IPv6
Molte connessioni moderne usano IPv6 oltre a IPv4. Non va disabilitato per principio: può migliorare connettività e compatibilità. Tuttavia, verifica che il firewall IPv6 sia attivo e che non esistano servizi amministrativi raggiungibili dall’esterno.
Il punto critico è la coerenza: bloccare il traffico indesiderato su IPv4 ma dimenticare IPv6 crea una possibile eccezione. Se il menu del router è poco chiaro, mantieni l’impostazione firewall predefinita e aggiorna il firmware invece di modificare regole avanzate senza comprenderne l’effetto.
9. Riavviare non sostituisce la manutenzione
Un riavvio può risolvere rallentamenti temporanei, ma non corregge password deboli, firmware vulnerabile o porte esposte. Pianifica un controllo ogni tre-sei mesi e dopo eventi importanti: cambio provider, installazione di una videocamera, acquisto di un sistema mesh o accesso di un collaboratore alla rete.
In particolare, verifica questi quattro elementi:
- firmware aggiornato e aggiornamenti automatici attivi, quando affidabili;
- password amministratore e Wi-Fi distinte, lunghe e non riutilizzate;
- amministrazione remota, WPS e UPnP disattivati se non necessari;
- client collegati, DNS e regole di inoltro porte coerenti con le tue esigenze reali.
10. Quando eseguire un reset completo
Il ripristino alle impostazioni di fabbrica è indicato se hai perso la password amministratore, sospetti modifiche non autorizzate, hai ereditato un router usato o riscontri comportamenti anomali persistenti dopo un aggiornamento. Dopo il reset, aggiorna prima il firmware e modifica subito le credenziali: non limitarti a ripristinare ciecamente un vecchio backup, perché potrebbe reintrodurre impostazioni rischiose.
Per molti utenti il miglior risultato arriva da pochi controlli ripetuti con regolarità. Un router aggiornato, con accessi chiusi e reti ben separate, riduce i problemi prima che diventino un’interruzione del lavoro, una perdita di privacy o una lunga serata passata a capire perché la rete non è più affidabile.
