Password router di casa e domotica: l’impostazione che protegge ogni dispositivo

Hai connesso lampadine, termostati, videocamere e magari anche la serratura smart. Funzionano, ma in fondo ti chiedi: quanto sono al sicuro? In anni di integrazione tra impianti tradizionali e sistemi smart ho visto le stesse falle ripetersi in case diverse. La verità è che la tua rete domestica è il primo impianto di sicurezza della domotica. E c’è un’impostazione, semplice e spesso ignorata, che può blindare ogni dispositivo in una volta sola: separare gli oggetti smart su una rete ospite isolata.

Perché la password del Wi‑Fi non basta

Molti pensano che una buona password del Wi‑Fi risolva tutto. Non è così. Se un dispositivo poco aggiornato viene compromesso, l’attaccante non mira solo a quel singolo oggetto: tenta di muoversi “in orizzontale” verso smartphone, PC e NAS sulla stessa rete. È il cosiddetto movimento laterale.

In più, spesso si confonde la password del Wi‑Fi con quella di amministrazione del router. La prima protegge l’accesso radio, la seconda governa l’intera infrastruttura. Se lasci la password admin di default o facilmente indovinabile, esponi la cabina di regia di casa.

Potrebbe interessarti anche

Le prese smart che simulano la presenza: il deterrente da 20 euroCome collegare videocitofono e domotica: funzioni extra che possono davvero tornare utiliVerifiche impianto elettrico prima di vendere casa: la mossa che accelera il rogitoPermessi per rifare l’impianto elettrico: cosa devi presentare prima di iniziare i lavori

Infine, molti dispositivi IoT richiedono la banda a 2,4 GHz e protocolli meno recenti. Metterli insieme a laptop e telefoni moderni costringe a compromessi sulla sicurezza e sulle prestazioni. Qui entra in gioco l’impostazione che fa la differenza.

L’impostazione chiave: rete ospite isolata per la domotica

Quasi tutti i router moderni includono la “Rete Ospiti” con isolamento client (spesso chiamato “AP Isolation” o “Isolamento client”). Attivandola e dedicandola ai dispositivi smart, separi l’Internet delle Cose dal resto della casa: i device IoT navigano sul web ma non vedono PC, smartphone e stampanti sulla rete principale, né possono comunicare tra loro se non necessario.

Il principio è semplice: segmentare. Riduci al minimo i punti di contatto, limiti la propagazione di eventuali problemi e guadagni controllo. È un cambio di architettura, non un gadget: una sola impostazione che eleva il livello di sicurezza per tutto l’ecosistema.

Ecco come impostarla in pratica (le voci possono variare a seconda del marchio):

• Crea una rete ospite con SSID dedicato, ad esempio “Casa‑IoT”.
• Attiva l’isolamento client/ospiti: i dispositivi sulla rete IoT non devono accedere alla LAN.
• Imposta sicurezza WPA3 quando disponibile; in alternativa WPA2‑AES.
• Usa una passphrase lunga (almeno 16–20 caratteri) e diversa da quella della rete principale.
• Disattiva WPS: è una scorciatoia comoda ma vulnerabile.
• Se il router lo consente, limita la rete IoT alla banda 2,4 GHz e lascia la 5 GHz alla rete principale.
• Valuta DNS filtranti per bloccare domini noti malevoli sui soli device IoT.

Con questa impostazione, anche se una videocamera o una lampadina venisse compromessa, non sarebbe un trampolino verso i tuoi documenti o i backup di famiglia. E nel quotidiano non cambia nulla: l’app del produttore continua a gestire il dispositivo via cloud; per i controlli locali, molte piattaforme domestiche funzionano bene anche su reti separate.

Criteri di scelta del router (o del firmware) giusto

Non tutti i router gestiscono l’isolamento con la stessa finezza. Se stai per acquistarne uno nuovo o aggiornare il firmware, valuta questi criteri:

• Rete ospite con isolamento attivabile e, meglio ancora, possibilità di creare una “IoT network” dedicata.
• Supporto WPA2‑AES e WPA3 su entrambe le bande.
• Gestione separata per 2,4 GHz e 5 GHz, utile per device IoT esigenti.
• Aggiornamenti di sicurezza regolari e opzione di aggiornamento automatico.
• Controllo remoto sicuro (app con 2FA) e disattivazione dell’amministrazione da WAN.
• Funzioni di parental/DNS filtering per la sola rete IoT.
• In sistemi mesh, possibilità di assegnare SSID separati e mantenere l’isolamento su tutti i nodi.

Se vuoi spingerti oltre la sola segmentazione, trovi accorgimenti spesso ignorati per mettere in sicurezza la smart home che completano il quadro operativo con misure pratiche e veloci da applicare.

Nota sulla privacy: separare gli oggetti smart riduce anche la superficie di dati esposta ai tuoi dispositivi personali. Non è solo sicurezza informatica, è protezione dei dati domestici in ottica GDPR.

Errori comuni che indeboliscono la protezione

Nel lavoro sul campo, questi sono gli scivoloni più frequenti che ho corretto nelle abitazioni:

• Usare la stessa password per Wi‑Fi e amministrazione router. Sono due livelli diversi: rendili entrambi robusti e unici.
• Lasciare WPS attivo. Disattivalo: abbinare manualmente i device richiede un minuto in più ma elimina una porta d’ingresso.
• Mantenere UPnP aperto a tutti. Se possibile, limitane l’uso o disattivalo; molte funzioni smart non ne hanno realmente bisogno.
• SSID di default e visibili. Scegli nomi neutri che non rivelino marca e modello del router.
• Firmware obsoleto. Pianifica aggiornamenti periodici: sono le “patch” che chiudono falle note.
• Mescolare IoT e PC sulla stessa rete per comodità. La rete ospite isolata risolve proprio questa tentazione.
• Abilitare la gestione remota da Internet senza 2FA. Meglio tenerla spenta o usare VPN del router se necessaria.

Se fossi al posto tuo

Prenderei una decisione semplice e netta: attivare subito una rete ospite isolata dedicata alla domotica e migrare lì tutti i dispositivi connessi. È l’intervento con il miglior rapporto tempo/beneficio che puoi fare in una casa smart.

Stabilirei una passphrase lunga e diversa da quella della rete principale; se il router lo consente, forzerei la rete IoT a 2,4 GHz e lascerei la 5 GHz a laptop e telefoni. Disattiverei WPS e limiterei UPnP. Poi imposterei aggiornamenti automatici del router, e verificherei la presenza di WPA2‑AES o, meglio, di WPA3.

Infine, testerei l’isolamento: dal PC su rete principale non devi “vedere” l’IP della lampadina IoT, e i device IoT non devono raggiungere stampanti o NAS. Se abiti con persone meno avvezze alla tecnologia, vale la pena ragionare anche su interfacce semplici e automazioni affidabili: ci sono soluzioni domotiche pensate per aumentare la sicurezza quotidiana di chi è anziano che si integrano bene con questa architettura a reti separate.

Checklist operativa finale

• Accedi al router e cambia la password di amministrazione con una lunga e unica.
• Crea una rete ospite “Casa‑IoT” e attiva l’isolamento client/ospiti.
• Imposta sicurezza WPA2‑AES (o WPA3 se disponibile) e una passphrase di almeno 16–20 caratteri.
• Disattiva WPS e limita/chiudi UPnP se non indispensabile.
• Se possibile, limita la rete IoT alla banda 2,4 GHz; lascia 5 GHz alla rete principale.
• Configura DNS filtranti sulla rete IoT per bloccare domini rischiosi.
• Aggiorna il firmware del router e abilita gli update automatici.
• Migra tutti i dispositivi smart sulla nuova rete “Casa‑IoT”.
• Verifica l’isolamento: i device IoT non devono raggiungere LAN, stampanti o NAS.
• Programma un controllo trimestrale: nuovi dispositivi, password e aggiornamenti.