WhatsApp è crittografato. Il tuo backup no.

Probabilmente lo sai già, almeno per sentito dire: WhatsApp è "crittografato end-to-end", lo scrivono loro stessi in cima a ogni chat. Ed è vero. Il problema è che questa frase, presa da sola, fa pensare a qualcosa che non è del tutto esatto: che tutto quello che riguarda le tue chat, sempre e comunque, sia al sicuro da occhi indiscreti. Non è così. C'è un pezzo importante che quella frase non copre, ed è il posto dove probabilmente hai più cose da perdere: il backup

Cos'è davvero la crittografia end-to-end

Immagina di scrivere una lettera e chiuderla in una cassetta con un lucchetto a due chiavi identiche: una la tieni tu, l'altra ce l'ha solo il destinatario. Nessun altro, nemmeno chi consegna la cassetta, ha una copia di quella chiave. Il postino la trasporta, ma non può aprirla. Anche se qualcuno la intercettasse durante il viaggio, si troverebbe davanti solo un lucchetto chiuso.

Questo è, in sostanza, cosa fa la crittografia end-to-end (E2E): il messaggio viene cifrato sul tuo telefono prima ancora di partire, e può essere decifrato solo sul telefono di chi lo riceve. Nemmeno WhatsApp, che pure fa passare quel messaggio sui propri server, ha la chiave per leggerlo. È attiva di default su WhatsApp dal 2016, su ogni messaggio, chiamata e nota vocale che scambi.

Fin qui, tutto bene. Il punto debole comincia da un'altra parte.

Il backup è un'altra cosa, e ha regole diverse

Ogni volta che il telefono fa il backup automatico di WhatsApp, quella copia delle tue chat non resta sul telefono: va a finire su Google Drive, se hai Android, o su iCloud, se hai un iPhone. Fino a qui sembra un dettaglio tecnico irrilevante. Non lo è.

Quel backup, per impostazione predefinita, non è protetto dalla stessa crittografia end-to-end dei messaggi. È crittografato, sì, ma con le chiavi di Google o di Apple, non con una chiave che conosci solo tu. La differenza è enorme: se Google o Apple ricevessero una richiesta legale per consegnare quei dati, o se il loro sistema subisse una violazione, quel backup è tecnicamente leggibile, mentre il messaggio originale, mentre viaggiava, non lo era mai stato.

In pratica: anni di conversazioni, foto, documenti condivisi, magari anche chat di lavoro, restano su un server esterno con un livello di protezione più basso di quello che credi di avere.

Come chiudere anche questa porta

Dal 2021 WhatsApp offre la possibilità di estendere la crittografia end-to-end anche al backup, così che nemmeno Google, Apple o WhatsApp stessa possano aprirlo.

Attivarla richiede pochi passaggi

Su Android e iPhone:

vai su Impostazioni → Chat → Backup delle chat → Backup crittografato end-to-end, tocca Attiva, e scegli come proteggerlo: una password che scegli tu, una chiave crittografica a 64 cifre, oppure, dalla fine del 2025, una passkey, che usa la crittografia a chiave pubblica in combinazione con dati biometrici come l'impronta digitale e il riconoscimento facciale o un PIN del dispositivo per verificare l'identità del proprietario di un account. La passkey è l'opzione più comoda: non devi ricordare nulla a memoria, perché la protezione si appoggia a quella che già usi ogni giorno per aprire lo smartphone.

L'unica cosa a cui devi stare davvero attento

Qui c'è un compromesso che devi conoscere prima di attivarla, non dopo

Se scegli la password o la chiave a 64 cifre e la dimentichi, quel backup è perso per sempre. Non esiste un "recupera password" per questa funzione. Non può aiutarti nemmeno l'assistenza di WhatsApp, perché letteralmente non hanno modo di accedere a quei dati, il che è esattamente il motivo per cui la protezione funziona.

Se invece scegli la passkey, questo rischio si riduce molto: finché hai accesso al tuo stesso metodo di sblocco del telefono (impronta, volto, PIN), puoi sempre recuperare il backup.

Non è un motivo per non attivarla, ma un motivo per scegliere con criterio: se puoi, preferisci la passkey, così non devi gestire nulla manualmente. Se invece scegli password o chiave a 64 cifre, salvala in un posto sicuro, idealmente in un password manager, o scritta su carta in un posto che ricordi, esattamente come i codici di backup di cui parlavamo per la verifica in due passaggi.

Perché ormai conviene attivarla quasi sempre

Fino a poco tempo fa, il consiglio "attivala solo se hai chat davvero sensibili" aveva un senso: il rischio di perdere tutto per una password dimenticata poteva giustificare di lasciar stare, se le tue chat erano solo organizzazione di cene con gli amici. Ma è un ragionamento che oggi regge meno di quanto sembri: anche una chat "innocua" contiene comunque nomi, numeri di telefono, contatti, a volte indirizzi, dati personali reali, non meno esposti solo perché il contenuto ti sembra poco interessante per un malintenzionato.

E soprattutto, con la passkey il vero motivo per cui prima si consigliava di soprassedere è quasi sparito: non devi più scegliere tra "proteggo tutto" e "rischio di perdere tutto se dimentico una password".

Se il tuo telefono supporta le passkey, il costo di attivarla è vicino allo zero e il beneficio, proteggere i tuoi contatti oltre che i tuoi messaggi, resta comunque valido.

A questo punto la vera domanda non è più "ho qualcosa da nascondere?", ma semplicemente: perché non dovrei attivarla, se non mi costa quasi nulla farlo?