Questa app ruba la password? Perché non ti chiediamo mai le credenziali di Instagram

Risposta rapida

Non ti chiediamo mai la password di Instagram perché per cercare contenuti pubblici non serve: i nostri server recuperano dati pubblici a partire da un nome utente, quindi una password non avrebbe niente da sbloccare. Per lo stesso motivo su questo sito non c'è alcun accesso a Instagram. Quello che vediamo sono il tuo indirizzo IP e il nome utente che scrivi, perché senza di essi un server non può risponderti. Quello che conserviamo sono conteggi: pagine viste al giorno, ricerche al giorno e quante volte è stato cercato ogni nome utente pubblico, senza nulla accanto a quei numeri che dica chi ha cercato. Contano entrambe le metà, e il resto della pagina spiega come verificarle senza doverci credere sulla parola. Per sette giorni conserviamo anche un registro anonimo delle visite: il momento della visita, il paese, il dispositivo, le pagine, le ricerche e gli account pubblici cercati in ciascuna visita, senza indirizzo IP, cookie o identificativo di account, consultabile soltanto da chi gestisce il sito.

Perché questo sito non mi chiede di accedere?

Dipende da dove parte la richiesta. Tu invii un nome utente pubblico ai nostri server; questi chiedono il profilo pubblico, le storie, le storie in evidenza e i post di quell'account a fornitori commerciali di dati e, per alcuni dati pubblici, agli endpoint pubblici di Instagram, poi ti rimandano il risultato. Il tuo browser comunica solo con noi, quindi Instagram vede una richiesta che arriva dalla nostra infrastruttura e non dal tuo dispositivo: è anche per questo che nell'elenco degli spettatori della storia non si aggiunge nessuno. Il meccanismo è descritto nella nostra pagina di metodologia.

Ora guardalo dal punto di vista delle credenziali: l'unica chiave che serve per la richiesta è un nome utente pubblico. Una password identifica te, e in tutta questa catena tu non entri in gioco come utente di Instagram: un campo per la password non servirebbe a nulla. Per lo stesso motivo nessuna credenziale renderebbe visibile un account privato: privato significa che Instagram lo mostra solo ai follower approvati.

Questa app ruba la password? Che cosa ottiene davvero un sito con un modulo di accesso

Non possiamo controllare i server altrui e non daremo del ladro a nessun sito in particolare, ma vale la pena capire il meccanismo. Un sito che ti fa scrivere nome utente e password di Instagram in una sua pagina ottiene, in un colpo solo:

• La possibilità di agire al posto tuo. Con quella sessione può pubblicare, eliminare, seguire, leggere e inviare messaggi diretti, e cambiare l'email e il numero di telefono usati per recuperare l'account. Se la pagina chiede anche il codice a sei cifre dell'app di autenticazione o dell'SMS, l'autenticazione a due fattori non è più un ostacolo.
• Una credenziale da provare altrove. Molte persone riutilizzano le password, quindi conviene provare la coppia che apre Instagram anche su email, servizi cloud e home banking: è il classico guadagno del phishing di credenziali descritto dalla Federal Trade Commission statunitense, un solo modulo e tanti tentativi successivi.
• Un account in prestito per fare le richieste. I servizi di contenuti pubblici vengono limitati a monte, e disporre di un insieme di account reali già collegati è utile sul piano operativo. A rischiare la limitazione è il tuo account: le Condizioni d'uso (Si apre in una nuova finestra) di Instagram fanno ricadere sul tuo account quello che succede con le tue credenziali.

Allora che cosa raccogliete?

È la parte che le pagine del tipo «rispettiamo la tua privacy» tralasciano. Qui Instagram non vede te. Noi sì.

Ogni riga qui sotto viene dalla nostra informativa sulla privacy e dalla nostra pagina di metodologia, e lo stesso elenco è pubblicato in /llms.txt, così puoi confrontare le tre versioni. Se questo articolo e l'informativa non dovessero coincidere, fa fede l'informativa.

Dato	Dove si trova	Per quanto tempo	Chi può vederlo
La tua password di Instagram	Da nessuna parte. Sul sito non c'è alcun accesso a Instagram né un campo che possa accettarla	Non applicabile	Nessuno, noi compresi
Il tuo indirizzo IP	Il nostro server lo vede a ogni richiesta, come qualsiasi server web, e lo usa in memoria per i limiti di frequenza, per la protezione dagli abusi e per un hash rinnovato ogni giorno che serve a contare i visitatori unici e non esce mai dalla memoria. Quando cerchi un account, l'indirizzo non viene scritto in nessuna tabella, log o file. Le eccezioni sono tre e circoscritte: una richiesta di rimozione conserva un hash a senso unico del tuo indirizzo, per evitare che la stessa persona ne invii centinaia; scorrere i commenti di un post fa salire un contatore giornaliero di utilizzo ragionevole, associato a un hash a senso unico del tuo indirizzo; un tentativo di accesso alla pagina privata di amministrazione viene registrato nel log di audit insieme al suo indirizzo IP. Anche i nostri fornitori di hosting e di rete vedono ogni indirizzo IP, per poter consegnare il sito, e conservano i propri log secondo le proprie regole	Non conservato per le ricerche; gli hash e le voci di audit indicati sopra vengono conservati	Nessuno, una volta finita la ricerca; per le eccezioni, soltanto chi gestisce il sito
Il nome utente che hai cercato	Il nostro server lo vede, perché è l'account che andiamo a recuperare. Resta in un conteggio giornaliero (quel giorno, quel nome utente pubblico, quel numero di ricerche, senza colonne per visitatore, sessione o IP) e, per sette giorni, nel registro anonimo delle visite, che elenca gli account pubblici cercati in ciascuna visita senza indirizzo IP, cookie o identificativo di account	Il conteggio resta; il registro delle visite viene cancellato dopo sette giorni; il fatto che sia stato tu a fare una ricerca non viene conservato, perché nessuno dei due dice chi sei	Chi gestisce il sito vede i conteggi e il registro delle visite; nessuno dei due dice chi era il visitatore
Le pagine che apri, i clic, il tempo sulla pagina, quanto scorri	Il nostro server, come totali giornalieri per pagina: nessun cookie di analisi, nessuna riga per visitatore, nessuna sessione. Non c'è un consenso alle statistiche da dare né una disattivazione da chiedere	I conteggi restano; non c'è niente da cancellare per singola persona	Chi gestisce il sito
La tua watchlist	Solo nel tuo browser (IndexedDB peekghost-watchlist, con localStorage come ripiego)	Finché non cancelli i dati del sito	Solo tu; non viene caricata sul server
Le tue ricerche recenti	Solo nel tuo browser (localStorage: il nome utente e una piccola miniatura)	Finché non cancelli i dati del sito	Solo tu
Contenuti pubblici in cache	Il nostro server: immagini pubbliche ridimensionate in una cache su disco di dimensione limitata, che scarta quelle usate meno di recente (128 MB su questo sito alla data indicata sopra); metadati testuali da qualche minuto a qualche ora; video e file a dimensione originale vengono trasmessi in streaming, non conservati	I metadati vengono eliminati una settimana dopo la scadenza della loro finestra di cache; per le immagini dipende dal traffico	Chiunque cerchi lo stesso account pubblico

Due note, anziché clausole scritte in piccolo. Il conteggio per nome utente non è facoltativo, e preferiamo spiegare perché invece di nasconderlo: sono quelle ricerche che paghiamo, quindi il conteggio ci serve a capire i nostri costi. È un numero che riguarda un account pubblico, non te, e chi possiede l'account può opporsi dalla pagina di rimozione. Dove la legge lo richiede può comunque comparire un banner per il consenso, ma solo per i tag pubblicitari e di analisi di terze parti, se chi gestisce il sito ne ha attivato qualcuno: mai per i nostri conteggi, che non impostano alcun cookie. E se in futuro venissero offerti piani a pagamento e tu attivassi la sincronizzazione della watchlist, conserveremmo una copia cifrata della tua lista che non siamo in grado di leggere: è l'unico caso in cui qualcosa della colonna «solo nel browser» lascia il tuo dispositivo.

Non vendiamo questi dati e non diciamo a chi possiede un account chi l'ha cercato. Li comunichiamo quando la legge lo impone: è un limite per noi, non una promessa.

Come posso verificarlo da solo?

Per tutto quello che succede nel tuo browser, non devi crederci sulla parola.

Che cosa non possiamo promettere

• Noi ti vediamo. Il tuo indirizzo IP e il nome utente che scrivi arrivano al nostro server a ogni ricerca, e nessun giro di parole lo cambia. Quello che possiamo promettere riguarda il passo successivo: il tuo indirizzo IP non viene annotato, e il nome utente resta solo nei conteggi giornalieri e in un registro anonimo delle visite di sette giorni, senza indirizzo IP, cookie o identificativo di account. Nessun nostro record ti identifica, quindi non c'è niente che possa trapelare, essere richiesto con un ordine giudiziario o venduto. Le eccezioni circoscritte (un hash a senso unico legato a una richiesta di rimozione o allo scorrimento dei commenti, e i tentativi di accesso alla pagina di amministrazione) sono elencate nella riga dell'indirizzo IP della tabella qui sopra. Qui «anonimo» vale nei confronti di Instagram, di chi possiede l'account e di quello che archiviamo, non nei confronti del nostro server nel momento in cui ti risponde.
• Non possiamo nasconderti alla tua rete. Il tuo operatore internet, il tuo datore di lavoro o la tua scuola possono comunque vedere che hai visitato il sito, e la cronologia del browser registra quello che hai aperto.
• Non possiamo promettere che non esca mai nulla. Se la legge ci obbliga a comunicare dei dati, lo facciamo, anche se quello che abbiamo da consegnare sono conteggi e, per una richiesta di rimozione, l'hash di un indirizzo.
• Non possiamo mostrare account privati né dirti chi ha visto qualcosa. Entrambe le cose sono al di fuori dei dati pubblici.
• Non puoi vedere i nostri server. Oltre a ciò che succede nel browser, hai un'informativa pubblicata, tre descrizioni che devono restare coerenti, una procedura di rimozione entro 72 ore e un gestore che puoi contattare. È una base per fidarsi, non una prova, e preferiamo dirlo.

Domande frequenti

Questa app ruba la password?

Non ne riceve mai una. Sul sito non c'è alcun accesso a Instagram, e una ricerca pubblica parte da un nome utente. Puoi verificarlo cercando type="password" nel codice sorgente della pagina.

Devo accedere per vedere una storia pubblica?

No. Una storia, una storia in evidenza, un reel, un post o un'immagine del profilo pubblici si possono recuperare con il solo nome utente. Se un sito pretende l'accesso a Instagram prima di mostrare contenuti pubblici, la ragione non è tecnica.

È sicuro dare a queste app l'accesso al mio account Instagram?

Concedere l'accesso, con la password o autorizzando un'app, significa consegnare la possibilità di agire al posto tuo: pubblicare, scrivere messaggi, leggere i messaggi diretti, cambiare i dati di recupero. Per guardare contenuti pubblici non serve niente di tutto questo, e noi non offriamo nessun pulsante «Accedi con Instagram». La nostra checklist di sicurezza in 12 punti spiega come valutare qualsiasi sito su questo aspetto.

Queste app raccolgono dati per violare gli account?

Possiamo rispondere solo per questa. Quello che conserviamo è nella tabella qui sopra: i conteggi delle pagine viste e delle ricerche, e di quante volte è stato cercato ogni nome utente pubblico, più, per sette giorni, un registro anonimo delle visite con gli account pubblici cercati in ciascuna visita, senza indirizzo IP, cookie o identificativo di account. Non vendiamo questi dati né li condividiamo con gli inserzionisti. Un nome utente e un indirizzo IP non sono una credenziale e non permettono di accedere a nulla; una password sì, ed è proprio quello che non chiediamo mai. E no, non possiamo vedere chi ha guardato la tua storia né aprire un account privato.

È una truffa?

Giudicalo su elementi verificabili, non sulle nostre parole: un solo campo da compilare, nessun accesso a Instagram, nessun sondaggio o download obbligatorio prima del contenuto, un'informativa precisa su che cosa vede il server, che cosa conserva e per quanto tempo, e una procedura di rimozione. Un sito che non rispetta questi criteri va abbandonato, compreso questo.

Come faccio a togliere il mio account da questo strumento?

Usa la pagina di rimozione: puntiamo a bloccare le ricerche di quel nome utente, eliminare i conteggi che conserviamo e scartare le copie in cache entro 72 ore, e il blocco resta finché non sei tu a revocarlo. Su Instagram non cambia nulla: per quello, rendi privato l'account.

In conclusione

Una password non ci darebbe niente di cui abbiamo bisogno, ed è per questo che nessun campo te la chiede: puoi verificarlo in pochi secondi invece di fidarti. Quello che prendiamo è più banale di una credenziale, e preferiamo scriverlo chiaramente: il nostro server vede il tuo indirizzo IP e il nome utente che scrivi, quando fai una ricerca non annota né l'uno né l'altro e conserva invece dei conteggi (pagine viste, ricerche e quante volte è stato cercato ogni nome utente pubblico). Le eccezioni sono nella tabella qui sopra: le abbiamo messe lì invece di ometterle. Diciamo la prima metà perché è ciò che dà valore alla seconda. Per sette giorni conserviamo anche un registro anonimo delle visite: il momento della visita, il paese, il dispositivo, le pagine, le ricerche e gli account pubblici cercati in ciascuna visita, senza indirizzo IP, cookie o identificativo di account, consultabile soltanto da chi gestisce il sito. Non siamo affiliati a Instagram né a Meta.

Fonti

1. Informativa sulla privacy di Peekghost - Che cosa raccogliamo (Si apre in una nuova finestra) (consultato il 27 set 2026)
2. Informativa sulla privacy di Peekghost - Per quanto tempo conserviamo i dati (Si apre in una nuova finestra) (consultato il 27 set 2026)
3. Metodologia di Peekghost - Che cosa registrano i nostri server (Si apre in una nuova finestra) (consultato il 27 set 2026)
4. Peekghost - Rimuovi il mio profilo (procedura di rimozione per i titolari degli account) (Si apre in una nuova finestra) (consultato il 27 set 2026)
5. Proteggere il tuo account Meta con l'autenticazione a due fattori (Centro assistenza di Instagram) (Si apre in una nuova finestra) (consultato il 27 set 2026)
6. Condizioni d'uso di Instagram (Centro assistenza di Instagram) (Si apre in una nuova finestra) (consultato il 27 set 2026)
7. Federal Trade Commission statunitense - Come riconoscere ed evitare le truffe di phishing (Si apre in una nuova finestra) (consultato il 27 set 2026)