Introduzione: il tuo forziere di password cambia proprietario in silenzio
Molti di voi hanno seguito percorsi simili: lasciare LastPass o Dashlane per Bitwarden. E proprio perché era l'outsider open source e trasparente che prometteva gratuitamente per sempre. Quindi gli avete affidato quello che avete di più sensibile nella vostra vita digitale, cioè la chiave che apre assolutamente tutto il resto.
Ora, dall'inizio del 2026, una serie di cambiamenti molto discreti si accumula presso l'editore, senza il minimo comunicato stampa o articolo di blog, solo modifiche nascoste che si notano solo se si va a scavare. Infatti, ci è voluto che un giornalista di Fast Company tirasse il filo perché l'intero quadro diventasse finalmente visibile.
Guardiamo tutto questo a mente fredda, al momento della stesura di questo articolo (maggio 2026), e senza cedere al panico generale. Prima i fatti verificati, poi quello che Bitwarden ha risposto, poi perché il profilo del nuovo amministratore delegato fa seriamente storcere il naso, e soprattutto l'interrogativo che è l'unico che conta davvero: chi possiede veramente il vostro forziere?
Cosa accade davvero in Bitwarden: i fatti
Un cambio di direzione passato sotto silenzio
Nel febbraio 2026, Michael Crandell, che dirigeva Bitwarden dal 2019, è passato senza fare rumore a un semplice ruolo di consulente, e ciò senza il minimo comunicato dell'azienda, tanto che non l'avreste saputo se non fosse andato a cercare sul suo profilo LinkedIn. Il suo successore, Michael Sullivan, è l'ex CEO di Acquia e Insightsoftware, ed è proprio lì che il dettaglio cambia tutto. Sulla sua stessa pagina LinkedIn mette in evidenza la sua esperienza in tutti gli aspetti delle fusioni e acquisizioni, incluso il lavoro con grandi fondi di private equity.
E non è un argomento tirato fuori dal nulla, perché Sullivan ha guidato l'acquisizione di Acquia da parte di Vista Equity Partners per 1 miliardo di dollari nel 2019, poi un investimento di un miliardo del fondo Hg in Insightsoftware nel 2021. Non stiamo quindi parlando di un dirigente prodotto che avrebbe casualmente raccolto finanziamenti, ma di qualcuno il cui mestiere è preparare un'azienda per rivenderla al miglior offerente.
Sulla scia di ciò, anche il direttore finanziario Stephen Morrison se n'è andato nell'aprile 2026, sostituito dall'ex CEO di InVision. In fin dei conti, rimane solo Kyle Spearrin al suo posto. E lui aveva lanciato Bitwarden nel 2015, proprio perché era preoccupato per quello che sarebbe accaduto a LastPass sotto un nuovo proprietario. L'ironia è quasi troppo bella!
Anche il sito web si rifà il trucco, discretamente
La menzione « Always free » è scomparsa dalla pagina del gestore di password personale a metà aprile, anche se era proprio sotto il selettore dei piani. Il piano gratuito esiste ancora, ma l'impegno scritto, beh, è semplicemente volatilizzato.
E poi c'è la riscrittura dei valori, che dice molto. Bitwarden definiva fino a ora la sua cultura con l'acronimo GRIT, per Gratitude, Responsibility, Inclusion, Transparency, solo che dopo il 4 maggio significa ora Gratitude, Responsibility, Innovation, Trust. Inclusion e Transparency sono quindi uscite, Innovation e Trust sono entrate, e tutto ciò senza che alcun articolo abbia annunciato la piega. Un vecchio articolo del 2022 firmato da Crandell è stato semplicemente modificato di nascosto, e il risultato è buffo, perché l'elenco dei valori vi mostra i nuovi mentre il paragrafo esplicativo in fondo allo stesso articolo cita ancora i vecchi, cosicché l'articolo si contraddice da solo senza che nessuno ne abbia scritto uno nuovo.
Cosa ha risposto Bitwarden
E qui voglio essere perfettamente onesto, perché è importante per quello che segue. La menzione « Always free » è effettivamente scomparsa nel corso di aprile, sia dalla pagina dei prezzi che dalla pagina dei prodotti del gestore personale. Ma dopo la pubblicazione dell'inchiesta di Fast Company, un dipendente di Bitwarden ha indicato su Reddit che si trattava di una dimenticanza del team di marketing, e la menzione è stata ripristinata. Ed è verificabile dalla vostra parte: al momento in cui scrivo queste righe, « Always free » figura di nuovo sia sulla pagina dei prezzi che sulla pagina dei prodotti.
La marcia indietro è quindi reale e completa su questo punto specifico. Quel che rimane imbarazzante, invece, è che nessuna comunicazione ufficiale ha spiegato né la scomparsa, né il ripristino. Il direttore delle relazioni con i clienti, Gary Orenstein, ha comunque riaffermato via email l'impegno dell'azienda su un piano gratuito che descrive come robusto.
Quindi siamo chiari: ad oggi, non c'è nessuna catastrofe confermata, il piano gratuito è ancora lì senza il minimo limite sul numero di password o dispositivi, i client rimangono open source, e nessuno vi ha tolto niente oggi. Quello che osserviamo sono segnali deboli e non un'esecuzione.
Perché questo profilo di dirigente fa storcere il naso
Facciamo un piccolo decodaggio, perché il gergo tende a nascondere l'essenziale. M&A è semplicemente il mestiere di comprare e vendere aziende, e un fondo di private equity compra una società, ottimizza i costi, fa gonfiare i ricavi, poi la rivende con un bel guadagno. Questi fondi non sono lì per far girare un editore di software per quindici anni, gestiscono un investimento verso un'uscita, e non si recluta mai questo profilo di dirigente a caso ma perché sa esattamente come si svolge questo processo.
È un po' come se assumeste, per gestire la casa dove vivete quotidianamente, un agente immobiliare la cui intera carriera consiste nel rifare velocemente prima di rivendere. Potrebbe fare benissimo il lavoro, non è quello il punto, ma la sua logica semplicemente non è la vostra. Certo, al momento, tutto ciò rimane solo una lettura, un'interpretazione di un fascio di indizi, e in nessun caso una certezza, poiché nessuno ha annunciato alcuna vendita.
Tuttavia, lo schema non esce proprio dal nulla, perché nel gennaio 2026, Bitwarden ha già effettuato il suo primo aumento di prezzo in dieci anni, con Premium che passa da 9,99 $ a 19,80 $ all'anno (niente male!). Ancora una volta, la notizia è stata sepolta in un articolo di blog dedicato a nuove funzionalità, comunicata ai clienti esistenti solo quindici giorni prima del loro rinnovo, e visualizzata sotto forma di prezzo mensile mentre l'abbonamento è sempre stato fatturato una sola volta all'anno.
Sotterrare la brutta notizia, non attirare l'attenzione, contare sull'attrito del cambiamento: è esattamente la stessa partita della scomparsa silenziosa di « Always free », e il motivo si ripete invariabilmente, si costruisce la fiducia, si installa la dipendenza, poi si rinegozia lentamente i termini.
La vera domanda: chi possiede il vostro forziere?
Arriviamo al cuore della questione, e questo è tutto il DNA di quello che difendiamo qui. Perché per un gestore di password il modello di minaccia è davvero unico nel suo genere: non è un'app tra le altre, è la serratura maestra della vostra intera vita digitale.
La buona notizia tecnica è che la crittografia lato client fa sì che Bitwarden non veda mai le vostre password in chiaro. Una vendita dell'azienda non darebbe quindi al vostro caveau decifrato a un acquirente. Il vero rischio è altrove. Riguarda la vostra dipendenza da un'infrastruttura e dalla buona volontà di un futuro proprietario. Il prezzo può salire, il piano gratuito può essere ridotto, le condizioni possono cambiare a poco a poco. L'unico vero salvagente, in fin dei conti, è che i client ufficiali sono open source, quindi biforcabili dalla comunità se mai le cose andassero storte. E la prova vivente che questo modello regge già senza Bitwarden Inc. ha un nome: Vaultwarden.
Vaultwarden: la prova che il modello regge
Cos'è esattamente Vaultwarden?
Vaultwarden è una reimplementazione non ufficiale del server Bitwarden, scritta in Rust e mantenuta dalla comunità. La sua idea geniale sta in una frase: parla esattamente lo stesso linguaggio del server ufficiale, quindi tutti i client ufficiali Bitwarden, che si tratti di estensioni del browser, app mobili, applicazione desktop o riga di comando, si collegano senza nemmeno accorgersene della differenza. Tutte le funzioni Premium, dai codici TOTP a Bitwarden Send passando per l'accesso d'emergenza, gli allegati e le organizzazioni, vi sono sbloccate gratuitamente.
Cosa comporta davvero l'auto-hosting
Riprendere il controllo del vostro forziere è un'ottima cosa, ma siamo onesti fino in fondo, perché significa anche accettare la responsabilità che ne derivano: ora siete voi che tenete i backup, e perdere il vostro caveau rimane una catastrofe irreversibile. Se non vi sentite pronti a mantenere una routine di backup seria, restate tranquillamente sul cloud Bitwarden. A 19,80 $ all'anno, Premium rimane ragionevole rispetto alla concorrenza per un'infrastruttura completamente gestita e la tranquillità, anche dopo l'aumento. E un auto-hosting fatto male sarà sempre peggio del problema che cercavate di risolvere.
D'altro canto, se avete già uno stack Docker che gira sul vostro NAS o sul vostro server Home Assistant, la configurazione non vi prenderà che una serata tranquilla. Non la dettaglierò qui, semplicemente perché le ho già dedicato una guida completa e passo dopo passo che troverete nel mio tutorial completo per auto-ospitare Vaultwarden. C'è tutto, non vi rimarrà che seguire i passaggi.
Conclusione: niente panico, ma riprendete il controllo
Arriviamo al verdetto. Se siete sul piano gratuito e non avete alcuna infrastruttura personale, francamente non c'è nessuna ragione di scappare oggi, perché il piano gratuito è ancora lì e Bitwarden ha fatto un passo indietro dal peggio, quindi accontentatevi di monitorare il resto. E se voleste comunque cambiare per principio, è Proton Pass, che è gratuito, credibile, svizzero e open source, che costituisce l'alternativa più vicina a quello che conoscete già.
Ma per coloro che hanno già Home Assistant, un NAS e uno stack Docker in esecuzione, la mia preferenza va molto chiaramente a Vaultwarden, perché avete già tutta l'infrastruttura a portata di mano e sarebbe davvero un peccato non usarla per riprendere la piena proprietà del dato più sensibile che possedete.
Il vero campanello d'allarme da tenere d'occhio sarà il giorno in cui i client ufficiali passassero a closed source, perché quel giorno non sarà più questione di prudenza ma bensì di urgenza. Nel frattempo, tenete semplicemente a mente che la sovranità digitale non è affatto una fissazione da paranoici, è solo il buon riflesso per riprendere il controllo mentre è ancora semplice farlo.
