Wi-Fi 6 è più sicuro? WPA3 conta più del numero sulla scatola

TLDR

Wi-Fi 6 descrive soprattutto prestazioni, efficienza e capacità radio; WPA3 è il protocollo che migliora autenticazione e protezione della rete wireless.
Un router Wi-Fi 6 può essere configurato ancora in WPA2 o in modalità WPA2/WPA3: il logo sulla scatola non dice quale protezione stai usando davvero.
WPA3-Personal con SAE rende molto più scomodo provare password catturate offline, ma non sostituisce una password lunga, firmware aggiornato e pannello admin protetto.
Se un vecchio dispositivo non supporta WPA3, è meglio isolarlo su una rete dedicata invece di abbassare per sempre la sicurezza di tutti.

La risposta breve

Wi-Fi 6 non è automaticamente più sicuro perché è più nuovo.

Wi-Fi 6, chiamato anche 802.11ax, descrive soprattutto il modo in cui i dispositivi usano la radio: più efficienza, migliore gestione di molti client, meno congestione e prestazioni più alte nelle condizioni giuste. La sicurezza dell'accesso dipende invece dal protocollo configurato sul router, in particolare WPA2 o WPA3.

Puoi quindi avere un router Wi-Fi 6 velocissimo che accetta ancora connessioni WPA2, usa una password debole, espone il pannello di gestione e non riceve aggiornamenti da due anni.

È una macchina sportiva con la porta del garage aperta.

Router Wi-Fi moderno accanto a una stampante e dispositivi domestici meno recenti durante un controllo di sicurezza — Scena ricostruita: il router nuovo convive quasi sempre con stampanti, lampadine e piccoli device più vecchi. È qui che nasce il compromesso tra WPA3 e compatibilità.

Perché conta ora

Nel 2026 il router domestico non collega più soltanto due portatili. Tiene insieme telefoni, TV, console, telecamere, assistenti vocali, stampanti, sensori, elettrodomestici e computer di lavoro.

Nello stesso periodo continuano a comparire vulnerabilità critiche nei prodotti di rete e discussioni sulla qualità del firmware dei router consumer. Le recenti patch per dispositivi UniFi e il dibattito arrivato su Hacker News attorno alla sicurezza dei router ricordano una cosa semplice: una radio moderna non può compensare un sistema operativo trascurato.

La domanda giusta non è quindi “supporta Wi-Fi 6?”.

È: quale protocollo usa, chi aggiorna il firmware e cosa succede ai dispositivi che non possono seguire?

Wi-Fi e WPA fanno due lavori diversi

Le sigle sembrano appartenere alla stessa scala, ma rispondono a domande differenti.

Wi-Fi 6, 6E e 7 riguardano la generazione della rete wireless: bande, capacità, efficienza, latenza e gestione dello spettro.

WPA2 e WPA3 riguardano il modo in cui un dispositivo dimostra di conoscere la credenziale della rete e protegge la comunicazione radio con l'access point.

Quando compri un router nuovo, le due cose si incontrano. Non sono però intercambiabili. Il fatto che l'hardware supporti WPA3 non significa che WPA3 sia attivo, né che tutti i client lo stiano usando.

Il controllo va fatto nel pannello del router, banda per banda e access point per access point. Nei sistemi mesh, una configurazione dimenticata su un nodo può rendere il risultato molto meno uniforme di quanto racconti l'app.

Cosa cambia davvero con WPA3-Personal

Nelle reti domestiche, WPA3-Personal sostituisce il vecchio scambio basato su chiave precondivisa con SAE, Simultaneous Authentication of Equals.

La differenza più facile da capire riguarda le password.

Con configurazioni WPA2-Personal, chi raccoglie lo scambio iniziale di una connessione può tentare in seguito molte possibili password senza continuare a parlare con il router. Se la password è corta, comune o prevedibile, il tempo lavora a favore di chi prova.

SAE cambia questo modello: ogni tentativo deve partecipare a un nuovo scambio con la rete. Non rende impossibile indovinare una password debole, ma toglie all'attaccante la comodità di lavorare offline a velocità industriale.

WPA3 introduce inoltre protezioni più robuste per i frame di gestione e offre forward secrecy: conoscere in futuro la password non dovrebbe permettere di decifrare automaticamente traffico raccolto in passato.

Sono miglioramenti reali. Non sono una bolla d'invulnerabilità.

La modalità mista è un ponte, non una destinazione

Il problema arriva quando la casa contiene una stampante del 2016, una lampadina mai aggiornata e una console che non conosce WPA3.

Per evitare una rivolta domestica, molti router propongono WPA2/WPA3 Transitional. Lo stesso nome di rete accetta client moderni in WPA3 e dispositivi vecchi in WPA2.

È una soluzione ragionevole durante una migrazione. Va però capita bene: il telefono compatibile può ottenere i vantaggi di WPA3, mentre la stampante resta su WPA2. Non tutta la rete “torna WPA2”, ma il percorso più vecchio continua a esistere per i dispositivi che lo usano.

Il rischio pratico è dimenticare la modalità transitoria per anni. Si compra hardware nuovo, si lascia attivo il compromesso per un singolo dispositivo dimenticato e si smette di controllare.

La modalità mista dovrebbe avere una data di revisione, come il latte.

Il modo pulito di gestire i dispositivi vecchi

Prima di dichiarare incompatibile un dispositivo, aggiorna il suo firmware. Alcuni prodotti hanno ricevuto il supporto WPA3 dopo l'acquisto.

Se non basta, evita di abbassare l'intera rete principale. Crea invece un secondo SSID per i dispositivi legacy e isolalo:

niente accesso al pannello amministrativo del router;
niente comunicazione verso laptop, NAS e telefoni principali;
accesso a Internet solo se davvero necessario;
comunicazioni locali consentite soltanto verso il dispositivo che deve controllarli;
password diversa da quella della rete principale;
elenco dei client rivisto periodicamente.

Una rete guest può bastare se il router applica un vero isolamento tra client e LAN. Su prodotti più completi, VLAN e regole firewall permettono un controllo migliore.

La stampante non ha bisogno di conoscere il NAS. La lampadina non deve poter bussare al laptop di lavoro.

Per approfondire questo confine, vale la pena leggere anche Router e firmware: il perimetro di casa brucia prima che te ne accorga.

Wi-Fi 6E, 6 GHz e Wi-Fi 7

Wi-Fi 6E estende Wi-Fi 6 alla banda dei 6 GHz; Wi-Fi 7 continua su quella strada con maggiore capacità e nuove tecniche radio. Sulla banda a 6 GHz l'ecosistema è stato progettato attorno a protezioni moderne come WPA3 ed Enhanced Open, senza trascinarsi tutte le vecchie modalità.

È un vantaggio, ma non risolve il resto della rete.

Il router può trasmettere lo stesso SSID su 2,4, 5 e 6 GHz. Un telefono recente userà la banda e il protocollo migliori disponibili; un sensore economico resterà magari su 2,4 GHz con il percorso di compatibilità. Guardare soltanto l'icona sul telefono nasconde questa differenza.

La sicurezza va verificata su ogni banda e su ogni rete, comprese guest e IoT.

Le cinque impostazioni che contano più del logo

1. Protocollo

Usa WPA3-Personal quando tutti i client importanti lo supportano. Se devi mantenere la modalità WPA2/WPA3, annota quali dispositivi la rendono necessaria e prova periodicamente a rimuoverla.

Evita WEP, WPA, TKIP e le combinazioni legacy. Se sei costretto a WPA2, usa WPA2-Personal con AES.

2. Password Wi-Fi

Scegli una password lunga, unica e non riciclata da altri account. WPA3 rende più difficile il lavoro offline, ma non trasforma “casa1234” in una buona idea.

3. Password amministrativa

Deve essere diversa da quella del Wi-Fi. Chi entra nella rete non dovrebbe ottenere automaticamente anche le chiavi del pannello di controllo.

Se il router offre MFA per l'account cloud, abilitala. Disattiva la gestione remota se non ti serve.

4. Firmware

Attiva gli aggiornamenti automatici quando disponibili e controlla la data dell'ultima release. Un router senza patch recenti resta un cattivo acquisto anche se sulla scatola compaiono Wi-Fi 7, AI e abbastanza antenne da sembrare un satellite.

5. Segmentazione

Separa almeno rete principale, ospiti e IoT. Il protocollo wireless protegge il collegamento radio; non decide da solo quali dispositivi possano parlare tra loro una volta entrati nella LAN.

Cose che sembrano sicurezza ma non lo sono

Nascondere il nome della rete non la rende invisibile a chi osserva davvero il traffico wireless. Può invece creare problemi di connessione e privacy ai client.

Filtrare gli indirizzi MAC non sostituisce WPA3. Gli indirizzi possono essere osservati e imitati, mentre i dispositivi moderni li randomizzano anche per ragioni di privacy.

Avere una password lunghissima sul Wi-Fi non protegge un pannello admin con credenziali di default.

Spegnere la trasmissione a 2,4 GHz può eliminare alcuni client vecchi, ma non corregge automaticamente firmware, cloud del produttore o regole di rete sbagliate.

Comprare un router più costoso non garantisce un supporto più lungo. Prima del prezzo conta la politica di aggiornamento.

Migrazione pratica in venti minuti

Apri il pannello del router e fai un controllo ordinato.

Salva un backup della configurazione.
Aggiorna firmware del router, dei nodi mesh e dei dispositivi principali.
Cerca la voce Security, Encryption o Wireless Authentication.
Prova WPA3-Personal sulla rete principale.
Ricollega telefoni e computer dimenticando prima la vecchia rete, se necessario.
Annota i dispositivi che non tornano online.
Sposta quei dispositivi su una rete legacy isolata oppure abilita temporaneamente la modalità transitoria.
Disattiva WPS se non lo usi.
Controlla che gestione remota e account di default siano spenti o sostituiti.
Imposta un promemoria per rivedere la rete legacy tra tre mesi.

Non cambiare cinque impostazioni contemporaneamente senza prendere note. Se qualcosa smette di funzionare, devi poter capire quale variazione l'ha causato.

Chi vuole sperimentare senza mettere in crisi la rete di casa può costruire un piccolo ambiente separato seguendo Gadget Wi-Fi da laboratorio: cosa comprare davvero.

Cosa guardare prima di comprare un router

La scheda tecnica tende a gridare velocità teoriche. Tu cerca informazioni più silenziose:

fino a quando il produttore promette aggiornamenti;
se WPA3-Personal può funzionare senza modalità transitoria;
se guest e IoT sono realmente isolabili dalla LAN;
se ogni banda e nodo mesh usa impostazioni coerenti;
se gli aggiornamenti automatici sono disponibili;
se la gestione cloud è facoltativa;
se puoi esportare configurazione e log;
se il modello ha una pagina pubblica con firmware e advisory;
se esiste un percorso chiaro quando arriva la fine del supporto.

Il miglior router non è quello con il numero più alto. È quello che puoi amministrare, aggiornare e sostituire senza dover indovinare cosa stia facendo.

Alla fine, la sicurezza non viaggia alla velocità del Wi-Fi

Passare a Wi-Fi 6 o Wi-Fi 7 può migliorare molto una rete affollata. Passare a WPA3 può migliorare davvero la protezione dell'accesso wireless.

Sono due upgrade diversi.

Il primo rende la rete più capace. Il secondo rende più robusto il modo in cui ci entri. Firmware, password amministrativa e segmentazione decidono poi cosa succede dopo l'ingresso.

Quindi sì: un router Wi-Fi 6 può essere più sicuro del precedente.

Ma soltanto dopo che hai aperto il pannello e smesso di fidarti della scatola.

FAQ

Wi-Fi 6 richiede sempre WPA3?

I dispositivi Wi-Fi 6 certificati recenti supportano WPA3, ma il router può comunque essere configurato in WPA2 o in modalità transitoria WPA2/WPA3. Bisogna controllare la configurazione attiva, non fermarsi al logo Wi-Fi 6.

È meglio WPA3-Personal o WPA2/WPA3 Transitional?

WPA3-Personal è la scelta più robusta quando tutti i dispositivi sono compatibili. La modalità transitoria serve a mantenere online i client più vecchi, che però continuano a collegarsi con WPA2.

Cosa faccio con stampanti e dispositivi IoT che non supportano WPA3?

Aggiorna prima il loro firmware. Se restano incompatibili, collegali a un SSID separato o a una rete guest isolata, senza accesso ai computer principali e al pannello del router.

Con WPA3 posso usare una password semplice?

No. SAE riduce il vantaggio degli attacchi a dizionario offline, ma una password prevedibile resta una cattiva password. Usane una lunga, unica e diversa da quella dell'amministratore del router.

Wi-Fi 6E e Wi-Fi 7 risolvono il problema?

Le generazioni più nuove favoriscono configurazioni moderne, soprattutto sulla banda a 6 GHz, ma non correggono firmware abbandonato, account admin deboli, WPS inutile o dispositivi IoT non isolati.