Quando un utente decide di memorizzare le proprie credenziali su Google Chrome, il browser crea una traccia precisa all’interno del profilo locale. In ogni sistema operativo esiste una cartella dedicata, detta User Data, che contiene la sottocartella Default dove risiede il file chiamato Login Data. Si tratta di un database SQLite, invisibile all’occhio inesperto ma fondamentale, in cui sono conservati l’indirizzo del sito, l’username e il frammento cifrato della password.
La vera protezione non sta però nella struttura del database, bensì nei meccanismi nativi di cifratura che Chrome eredita dal sistema ospitante. Su Windows viene impiegato il DPAPI, su macOS entra in gioco il Keychain e su Linux il keyring. In ciascun caso la chiave di accesso è legata all’identità del sistema operativo, il che significa che copiare il file Login Data altrove non consente di recuperare automaticamente le password.
Accanto al database principale, un altro file denominato Local State custodisce l’encrypted key che Chrome utilizza per decifrare i dati memorizzati. Questa chiave, a sua volta, è protetta dai sistemi di sicurezza del sistema operativo e garantisce che l’intero ecosistema resti blindato. Il risultato è un archivio che funziona solo nel contesto corretto e che diventa inaccessibile se estratto e spostato.
La dimensione cloud: quando le password viaggiano con noi
L’elemento che distingue Chrome da un semplice gestore locale è la sincronizzazione con l’account Google. Attivando questa funzione, ogni password viene copiata in forma cifrata sul cloud e resa disponibile su tutti i dispositivi collegati. La gestione è affidata al Google Password Manager, accessibile sia da desktop sia via web all’indirizzo passwords.google.com.
Google dichiara di proteggere queste informazioni attraverso una crittografia a riposo nei suoi data center e una cifratura in transito durante la trasmissione. In aggiunta, l’utente può decidere di adottare la cifratura on-device, opzione che impedisce a Google di possedere la chiave di decodifica: in tal caso le password vengono rese leggibili solo dopo lo sblocco locale con PIN, password o dati biometrici.
Negli ultimi anni il sistema si è evoluto con l’introduzione delle passkey, credenziali basate su coppie di chiavi crittografiche che sostituiscono la tradizionale password. Chrome integra queste funzionalità nello stesso hub delle password, ma la differenza è sostanziale: non esiste più una stringa testuale memorizzata, bensì una chiave che non può essere esposta in chiaro, nemmeno dall’utente stesso.
Dove cercare su Windows, macOS e Linux
Nel mondo Windows il percorso tipico conduce a %LOCALAPPDATA%\Google\Chrome\User Data\Default, dove il file Login Data raccoglie le credenziali cifrate. In parallelo, Local State contiene i parametri critici per la decodifica, protetti dal Data Protection API. Senza l’account del sistema operativo, queste informazioni rimangono inutilizzabili.
Su macOS il browser sfrutta il percorso ~/Library/Application Support/Google/Chrome/Default e si affida al Keychain di Apple. Qui la logica è simile: le password restano leggibili solo se l’utente riesce a sbloccare il portachiavi, il che rende praticamente impossibile l’accesso esterno senza le credenziali del proprietario del Mac.
Gli ambienti Linux utilizzano invece ~/.config/google-chrome/Default, dove i dati sono sempre inseriti nel database SQLite. A differenza di altri sistemi, la sicurezza dipende dal keyring, come libsecret o KWallet, che custodisce le chiavi di cifratura. In assenza di un keyring attivo, il browser avverte e riduce le funzionalità, dimostrando quanto il meccanismo sia integrato nella protezione complessiva.
Mobile e servizi collegati: un ecosistema integrato
Su Android, Chrome dialoga con il Google Password Manager che opera come servizio di autofill e memorizza le credenziali nel Keystore del sistema operativo. Il recupero delle password avviene dopo l’autenticazione biometrica o con il blocco schermo, assicurando che solo il proprietario del telefono possa utilizzarle.
Su iPhone e iPad, Chrome conserva la coerenza con l’infrastruttura di Google ma si adatta anche alle restrizioni di Apple, facendo uso del portachiavi iOS per proteggere i dati locali. L’esperienza resta simile a quella Android, con riconoscimento facciale o impronta digitale come livello di sblocco.
In entrambi i mondi mobili, il vero punto di convergenza rimane il Password Manager accessibile online, che permette di visualizzare, eliminare o esportare i dati da qualsiasi dispositivo. Qui trovano spazio anche funzioni aggiuntive come il Password Checkup, che segnala le violazioni di sicurezza.
Visualizzare, esportare e proteggere i dati
Le password salvate possono essere consultate direttamente da Chrome, aprendo le impostazioni e cercando la sezione dedicata. La visualizzazione in chiaro richiede sempre una verifica con i meccanismi del sistema operativo, che si tratti di Windows Hello, del Keychain o dello sblocco biometrico mobile.
Quando l’utente ha necessità di trasferire le credenziali, può esportarle in un file CSV leggibile. Questa operazione è protetta da avvisi e conferme, poiché il file generato non è cifrato e rappresenta un rischio se lasciato incustodito. La raccomandazione è di usarlo solo temporaneamente e di cancellarlo subito dopo la migrazione.
Google integra sistemi come il controllo delle password compromesse, che confronta versioni cifrate delle credenziali con database di violazioni note. In questo modo l’utente riceve notifiche senza che le password vengano mai trasmesse in chiaro ai server, mantenendo un equilibrio tra sicurezza e riservatezza.
Dimenticato la password