Modifica password utente MySQL: comandi ALTER USER (MySQL 5.7 / 8.0) + recupero della password root

1. [Quick Answer] Elenco dei comandi per cambiare la password dell’utente MySQL (soluzione più veloce)

Il comando base per cambiare la password di un utente in MySQL è ALTER USER.
Questo metodo è consigliato in MySQL 5.7 e versioni successive, ed è usato allo stesso modo in MySQL 8.0.

1.1 Sintassi di base (la più comunemente usata)

ALTER USER 'username'@'localhost' IDENTIFIED BY 'newpassword';

• username : il nome utente target da aggiornare
• localhost : l’host client (un account MySQL è identificato da “nome utente + host”)
• newpassword : la nuova password

Dopo l’esecuzione, la modifica ha effetto immediato. Nella maggior parte dei casi, FLUSH PRIVILEGES; non è necessario (ALTER USER aggiorna automaticamente le tabelle dei privilegi).

Trappole comuni

• Anche con lo stesso nome utente, @'localhost' e @'%' sono trattati come account diversi
• I simboli nelle password devono essere racchiusi tra apici singoli

1.2 Modifica di un utente di accesso remoto (%)

ALTER USER 'username'@'%' IDENTIFIED BY 'newpassword';

% significa “qualsiasi host”.
È comunemente usato in ambienti cloud o per utenti a cui è permesso connettersi dall’esterno.

Note

• È più sicuro verificare in anticipo con SELECT User, Host FROM mysql.user;
• Se cambi la password per l’Host sbagliato, non potrai più accedere

1.3 Cambia password specificando il plugin di autenticazione (importante in 8.0)

In MySQL 8.0, il plugin di autenticazione predefinito è caching_sha2_password.
Se non riesci a connetterti con client più vecchi, imposta esplicitamente il plugin.

ALTER USER 'username'@'localhost'
IDENTIFIED WITH mysql_native_password
BY 'newpassword';

• mysql_native_password : metodo legacy (priorità alla compatibilità)
• caching_sha2_password : standard MySQL 8.0 (raccomandato)

Errori tipici

• PHP o client più vecchi potrebbero non supportare il plugin predefinito di MySQL 8.0
• Decidere “Non riesco ad accedere” senza verificare il plugin di autenticazione

1.4 Se ricevi un errore di privilegio

Esempio di errore:

ERROR 1227 (42000): Access denied; you need (at least one of) the SYSTEM_USER privilege(s)

In questo caso, l’utente attualmente connesso non ha i permessi per effettuare la modifica.

Verifica:

SHOW GRANTS FOR CURRENT_USER();

Esegui il comando come root o come utente con privilegi sufficienti.

1.5 Come verificare dopo la modifica

SELECT User, Host, plugin FROM mysql.user WHERE User='username';

• Controlla il plugin di autenticazione tramite la colonna plugin
• Il controllo più affidabile è accedere realmente e confermare la connettività

1.6 Cosa succede alle sessioni esistenti

Dopo aver cambiato una password:

• Le nuove connessioni devono usare la nuova password
• Le sessioni esistenti possono essere terminate immediatamente a seconda dell’ambiente
• In produzione, è consigliato effettuare le modifiche fuori dall’orario lavorativo

2. Nozioni di base su utenti e host MySQL (prevenire problemi comuni “bloccati”)

In MySQL, un utente non è identificato solo da un “nome utente”. È invece identificato dalla combinazione di “nome utente + host client (Host)”.
Se non comprendi questo, potresti incorrere nel classico problema: “Ho cambiato la password ma non riesco ancora ad accedere.”

2.1 Un utente è una coppia “user@host”

Esempi:

• 'appuser'@'localhost'
• 'appuser'@'%'
• 'appuser'@'192.168.1.%'

Questi sono tutti trattati come account diversi.
Quindi, anche se cambi la password per localhost, non influisce sull’account %.

Comando di verifica:

SELECT User, Host FROM mysql.user ORDER BY User, Host;

Trappole comuni

• Non rendersi conto che esistono più account con lo stesso nome utente
• Hai cambiato la password per localhost, ma in realtà ti stai connettendo via TCP (127.0.0.1)

2.2 localhost e 127.0.0.1 sono trattati diversamente

In MySQL:

• localhost → connessione socket UNIX (connessione interna locale)
• 127.0.0.1 → connessione TCP/IP

A seconda dell’ambiente, potrebbe corrispondere a un account diverso.

Verifica:

mysql -u username -p -h 127.0.0.1

Se non riesci ad accedere con quanto sopra, l’account @'127.0.0.1' potrebbe non esistere.

2.3 Verifica l’utente attualmente autenticato

È importante capire “con quale account sei autenticato”.

SELECT CURRENT_USER();

Questo mostra il “user@host” che è stato effettivamente autenticato.

SELECT USER(); mostra le informazioni della richiesta di connessione, quindi potrebbe non corrispondere.

2.4 Verifica i privilegi (SHOW GRANTS)

Se non riesci a cambiare una password, la mancanza di privilegi sufficienti potrebbe essere la causa.

SHOW GRANTS FOR 'username'@'host';

Oppure per l’utente attualmente connesso:

SHOW GRANTS FOR CURRENT_USER();

Privilegi minimi richiesti

• ALTER USER
• O SYSTEM_USER (MySQL 8.0 e versioni successive)

2.5 Modelli tipici di errore

1. Hai cambiato la password per l’Host sbagliato
2. Il plugin di autenticazione è diverso (molto comune in 8.0)
3. L’account di destinazione non esiste affatto

Verifica se l’utente esiste:

SELECT User, Host FROM mysql.user WHERE User='username';

Una volta compreso questo modello, puoi evitare la maggior parte dei problemi legati al cambio della password.

3. Procedura consigliata: Cambiare in modo sicuro con ALTER USER (Funziona per MySQL 8.0 / 5.7)

In MySQL 5.7 e versioni successive, cambiare le password con ALTER USER è l’approccio standard e consigliato.
Aggiornamenti diretti come UPDATE mysql.user possono comportarsi diversamente a seconda della versione e comportare rischi di compatibilità futura, quindi è meglio evitarli.

3.1 Pre-controlli (Conferma sempre prima di cambiare)

Prima di cambiare una password, conferma questi tre punti.

① Conferma l’utente e l’Host di destinazione

SELECT User, Host FROM mysql.user WHERE User='username';

• Verifica se esistono più account con lo stesso nome utente
• Non confondere localhost con %

② Conferma il plugin di autenticazione corrente (importante in 8.0)

SELECT User, Host, plugin
FROM mysql.user
WHERE User='username';

• caching_sha2_password (standard MySQL 8.0)
• mysql_native_password (plugin legacy)

Alcuni errori di connessione sono causati dal plugin di autenticazione.

③ Conferma l’utente attualmente autenticato

SELECT CURRENT_USER();

Per evitare errori di privilegio, esegui i comandi come root o come un utente con i privilegi appropriati.

3.2 Esegui ALTER USER (forma standard)

ALTER USER 'username'@'localhost'
IDENTIFIED BY 'NewStrongPassword123!';

La modifica ha effetto immediato.
Nella maggior parte dei casi, FLUSH PRIVILEGES; non è necessario.

Note

• Se la politica password ( validate_password ) è violata, può verificarsi ERROR 1819
• Se la password include caratteri speciali, racchiudila sempre tra virgolette singole

3.3 Cambia specificando il plugin di autenticazione (solo se necessario)

Se stai usando client più vecchi in un ambiente MySQL 8.0:

ALTER USER 'username'@'localhost'
IDENTIFIED WITH mysql_native_password
BY 'NewStrongPassword123!';

Casi in cui dovresti cambiarlo:

• Impossibile connettersi con vecchi client PHP / MySQL
• Un ambiente che non supporta caching_sha2_password

Casi in cui NON dovresti cambiarlo:

• Se riesci già a connetterti senza problemi in un ambiente moderno (il plugin standard è più sicuro)

3.4 Verifica post-modifica

① Verifica il plugin di autenticazione

SELECT User, Host, plugin
FROM mysql.user
WHERE User='username';

② Verifica effettuando effettivamente il login

mysql -u username -p

Testa sempre di poter effettuare il login.

3.5 Impatto sulle sessioni esistenti

Dopo aver cambiato una password:

• Nuove connessioni → devono usare la nuova password
• Connessioni esistenti → possono rimanere a seconda dell’ambiente
• Produzione → potrebbe essere necessario riavviare le connessioni dell’applicazione

Errori comuni

• Non aggiornare le credenziali di connessione dell’applicazione
• Vecchie password ancora presenti nei file di configurazione

3.6 Consigli operativi sicuri per la produzione

• Eseguire le modifiche al di fuori dell’orario di lavoro
• Controllare in anticipo i file di configurazione dell’applicazione
• Lavorare senza disconnettere la sessione SSH
• Quando si cambia root, assicurarsi di avere un metodo di recupero pronto

4. Differenze tra MySQL 8.0 e 5.7

La causa principale dei problemi quando si cambiano le password di MySQL è la differenza nei metodi di autenticazione tra MySQL 8.0 e 5.7.
In particolare, molti casi del tipo “L’ho cambiata ma non riesco ad accedere” sono dovuti a differenze nel plugin di autenticazione.

Differenza di autenticazione tra MySQL 5.7 e MySQL 8.0

4.1 Differenze del plugin di autenticazione predefinito

In MySQL 8.0, caching_sha2_password è diventato lo standard per una maggiore sicurezza.
Tuttavia, i client più vecchi (versioni PHP più vecchie, connettori MySQL più vecchi, ecc.) potrebbero non supportarlo.

Come verificare:

SELECT User, Host, plugin
FROM mysql.user
WHERE User='username';

Problemi comuni

• I client vecchi non possono connettersi agli utenti creati su MySQL 8.0
• Anche se si verifica un errore, non si capisce che la causa principale è il plugin di autenticazione

4.2 Come cambiare il plugin di autenticazione per compatibilità

Solo quando è necessario connettersi da un ambiente più vecchio, modificarlo in questo modo:

ALTER USER 'username'@'localhost'
IDENTIFIED WITH mysql_native_password
BY 'NewStrongPassword123!';

Dopo averlo cambiato, eseguire sempre un test di connessione.

Note

• Dal punto di vista della sicurezza, caching_sha2_password è più sicuro
• Non passare al plugin legacy inutilmente
• Se possibile, è preferibile aggiornare il lato client

4.3 Direct UPDATE non è consigliato

In MySQL 5.7 e versioni precedenti, si usavano metodi come il seguente:

UPDATE mysql.user
SET authentication_string=PASSWORD('newpassword')
WHERE User='username';
FLUSH PRIVILEGES;

Tuttavia, questo approccio è:

• Fortemente dipendente dalla versione
• Soggetto a modifiche delle specifiche in 8.0
• Probabilmente deprecato in futuro

Regola pratica: usare ALTER USER

4.4 Differenze di comportamento del plugin validate_password

In MySQL 5.7 e 8.0, le funzionalità di policy password (controllo della robustezza) sono disponibili per impostazione predefinita.

Controlla:

SHOW VARIABLES LIKE 'validate_password%';

Se violi la policy, potresti ricevere:

ERROR 1819 (HY000)

.

Poiché molti ambienti 8.0 impongono baseline di sicurezza più rigide,
dopo l’aggiornamento da 5.7, potresti scoprire che le modifiche delle password non passano più a causa di requisiti di policy più severi.

4.5 Come verificare la tua versione

Se non sei sicuro di quale versione stai usando:

SELECT VERSION();

Se applichi correzioni senza confermare la versione, potresti finire per usare il metodo sbagliato

5. Recuperare una password root dimenticata (Procedura incentrata sulla sicurezza)

Se dimentichi la password dell’utente root di MySQL (amministratore), non puoi accedere normalmente.
In questo caso, devi disabilitare temporaneamente le tabelle dei privilegi e reimpostare la password. Tuttavia, questa procedura comporta rischi di sicurezza, quindi segui attentamente i passaggi.

5.1 Confermare se hai davvero bisogno della password root

Prima, verifica quanto segue:

• Se disponi dei privilegi sudo a livello di OS
• Se l’autenticazione auth_socket è abilitata (comune sui sistemi basati su Ubuntu)

Controllo di esempio:

SELECT User, Host, plugin
FROM mysql.user
WHERE User='root';

Se il plugin è auth_socket, potresti essere in grado di accedere come utente root del sistema operativo.

sudo mysql

Se questo funziona, devi solo reimpostare la password.

5.2 Flusso di recupero (procedura generale)

① Arresta il server MySQL

sudo systemctl stop mysql

② Avvia con le tabelle dei privilegi disabilitate

sudo mysqld_safe --skip-grant-tables &

--skip-grant-tables disabilita l’autenticazione.
In questo stato, chiunque può connettersi, quindi completa la procedura rapidamente.

③ Connettiti a MySQL

mysql -u root

Puoi connetterti senza password.

④ Reimposta la password root (metodo consigliato)

ALTER USER 'root'@'localhost'
IDENTIFIED BY 'NewStrongPassword123!';

Importante

• NON utilizzare direttamente UPDATE mysql.user
• Utilizzare ALTER USER (per compatibilità di versione)

⑤ Riattivare le tabelle dei privilegi

FLUSH PRIVILEGES;

⑥ Riavviare MySQL in modalità normale

sudo systemctl restart mysql

Quindi verifica l’accesso normale:

mysql -u root -p

5.3 Errori comuni

• Lasciare --skip-grant-tables abilitato (rischio di sicurezza serio)
• Cambiare accidentalmente l’Host root
• Modificare in modo errato il plugin di autenticazione e bloccarsi fuori

5.4 Note per gli ambienti di produzione

• Eseguire sempre durante una finestra di manutenzione sui server pubblici
• Mantenere attiva la sessione SSH durante il lavoro
• Creare un backup in anticipo, se possibile

Il recupero della password root può essere eseguito in modo sicuro se effettuato con attenzione.

6. Errori comuni e soluzioni (Cattura traffico per messaggio di errore)

Diversi errori tipici si verificano quando si cambiano le password MySQL.
Di seguito, organizziamo le cause comuni e le soluzioni per i codici di errore più ricercati.

6.1 ERRORE 1819 (La password non soddisfa i requisiti della politica)

Esempio di errore:

ERROR 1819 (HY000): Your password does not satisfy the current policy requirements

Causa

La password non ha superato la convalida di robustezza imposta dal plugin validate_password.

Verifica la politica corrente

SHOW VARIABLES LIKE 'validate_password%';

Impostazioni importanti:

• validate_password.length
• validate_password.policy
• validate_password.mixed_case_count
• validate_password.number_count
• validate_password.special_char_count

Soluzione ① (Raccomandata): Usa una password più forte

• Almeno 12 caratteri
• Includi lettere maiuscole, minuscole, numeri e simboli
• Evita parole di dizionario

Soluzione ② (Allentare temporaneamente la politica)

SET GLOBAL validate_password.policy = LOW;

Dopo aver completato il compito, è consigliato ripristinare l’impostazione originale.

Errori comuni

• Lasciare la politica allentata in produzione
• Trascurare che modificare questa impostazione richiede privilegi SUPER

6.2 ERRORE 1227 (Privilegi insufficienti)

Esempio di errore:

ERROR 1227 (42000): Access denied; you need (at least one of) the SYSTEM_USER privilege(s)

Causa

L’utente corrente non dispone del privilegio ALTER USER o SYSTEM_USER.

Verifica i privilegi

SHOW GRANTS FOR CURRENT_USER();

Soluzione

Eseguire il comando come root o come utente con privilegi sufficienti.

Se necessario:

GRANT ALTER USER ON *.* TO 'username'@'host';
FLUSH PRIVILEGES;

Nota

• In MySQL 8.0, potrebbe essere richiesto anche il privilegio SYSTEM_USER
• Seguire il principio del minimo privilegio in produzione

6.3 Impossibile accedere dopo aver cambiato la password

Cause principali

1. Host errato
2. Incongruenza del plugin di autenticazione
3. Incompatibilità del client
4. Configurazione dell’applicazione non aggiornata

① Verifica Host

SELECT User, Host FROM mysql.user WHERE User='username';

② Verifica plugin di autenticazione

SELECT plugin FROM mysql.user WHERE User='username';

③ Cambia plugin di autenticazione (se necessario)

ALTER USER 'username'@'localhost'
IDENTIFIED WITH mysql_native_password
BY 'NewStrongPassword123!';

④ Verifica configurazione dell’applicazione

• .env
• config.php
• Stringa di connessione (DSN)

Errori comuni

• Cambiare MySQL ma non aggiornare l’applicazione
• Non riavviare i container negli ambienti Docker

6.4 Ancora possibile accedere con la vecchia password dopo il cambiamento

Normalmente, le modifiche effettuate con ALTER USER hanno effetto immediato.

Possibili cause:

• Hai effettivamente modificato un account Host diverso
• La connessione punta a un altro server (replica)
• Cache della sessione

Controlla:

SELECT CURRENT_USER();

È fondamentale confermare con precisione sia il server connesso sia l’utente autenticato.

7. Operazioni di sicurezza: politiche password e migliori pratiche

Cambiare una password non è un compito una tantum.
Nelle operazioni reali, mantieni la sicurezza combinando l’applicazione della robustezza, la progettazione dei privilegi e le regole operative.

7.1 Utilizzo del plugin validate_password

MySQL fornisce funzionalità integrate per imporre la robustezza delle password.

Verifica delle impostazioni attuali

SHOW VARIABLES LIKE 'validate_password%';

Principali parametri di configurazione

• validate_password.length (lunghezza minima)
• validate_password.policy (LOW / MEDIUM / STRONG)
• validate_password.mixed_case_count
• validate_password.number_count
• validate_password.special_char_count

Configurazione di esempio (minimo 12 caratteri, politica MEDIUM)

SET GLOBAL validate_password.length = 12;
SET GLOBAL validate_password.policy = MEDIUM;

Nota

• Le modifiche GLOBALI possono essere ripristinate dopo un riavvio
• Per rendere permanenti le impostazioni, configurale nel file di configurazione ( my.cnf / my.ini )

7.2 Requisiti minimi per password robuste

Standard consigliati in pratica:

• Almeno 12 caratteri
• Includere maiuscole, minuscole, numeri e simboli
• Evitare parole di dizionario
• Non riutilizzare su altri servizi

Esempio:

X9v!pQ4z#Lm2

Esempi da evitare

password123
mysql2025
companyname!

7.3 Più importante dei cambi periodici

Più importante del “cambiare ogni sei mesi” è progettare assumendo una potenziale perdita di credenziali.

① Separare gli utenti dell’applicazione

• Non usare root nelle applicazioni
• Creare utenti con i minimi privilegi

Esempio:

GRANT SELECT, INSERT, UPDATE ON dbname.* TO 'appuser'@'localhost';

② Ridurre al minimo i privilegi (Principio del minimo privilegio)

Consentire solo le operazioni necessarie per limitare i potenziali danni.

③ Utilizzare audit e log

Esempio di verifica del log:

tail -f /var/log/mysql/mysql.log

MySQL Enterprise supporta anche plugin di audit.

7.4 Consigli operativi per ambienti di produzione

• Testare in staging prima di apportare modifiche in produzione
• Tracciare la cronologia delle modifiche (Git o documentazione)
• Eseguire sempre un test di connessione dopo le modifiche
• Mantenere attiva la sessione SSH durante il lavoro

7.5 Cose che non devi mai fare

• Usare l’account root nelle applicazioni
• Codificare le password nel codice sorgente
• Disabilitare validate_password e lasciarlo così
• Lasciare il server in esecuzione con --skip-grant-tables

La gestione delle password non è un compito una tantum, ma fa parte di una progettazione operativa continua.

8. FAQ (Domande frequenti)

8.1 D. Cosa succede alle sessioni attive dopo aver cambiato una password?

R. In linea di principio, le nuove connessioni richiedono la nuova password.
Per le sessioni esistenti, possono essere terminate immediatamente o rimanere attive a seconda dell’ambiente e della configurazione.

Nella pratica:

• Eseguire le modifiche fuori dall’orario lavorativo in produzione
• Riavviare l’applicazione per aggiornare le connessioni

è consigliato.

8.2 D. Ho cambiato la password ma non riesco ancora ad accedere

Le tre cause più comuni sono:

1. Host errato ( localhost vs % , ecc.)
2. Mancata corrispondenza del plugin di autenticazione (molto comune in 8.0)
3. Configurazione dell’applicazione non aggiornata

Verifica con:

SELECT User, Host, plugin
FROM mysql.user
WHERE User='username';

Presta particolare attenzione alla colonna plugin.

8.3 D. Posso consentire solo a un utente specifico di cambiare le password?

Sì.

GRANT ALTER USER ON *.* TO 'username'@'host';
FLUSH PRIVILEGES;

In MySQL 8.0, il privilegio SYSTEM_USER potrebbe essere necessario.

SHOW GRANTS FOR 'username'@'host';

Usa questo per verificare i privilegi.

8.4 D. Il metodo è lo stesso in MariaDB?

Fondamentalmente, ALTER USER è disponibile, ma:

• Plugin di autenticazione
• Comportamento della politica password
• Differenze specifiche di versione

possono differire a seconda dell’ambiente.

Verifica con:

SELECT VERSION();

MySQL Community Edition non fornisce il tracciamento della cronologia delle password integrato per impostazione predefinita.

8.5 Q. Posso verificare la cronologia delle modifiche della password?

Possibili approcci:

• Abilitare la registrazione di audit
• Utilizzare una gestione dei log esterna
• Tracciare la cronologia nella documentazione operativa

Esempio:

tail -f /var/log/mysql/mysql.log

8.6 Q. Posso recuperare gli utenti non root con –skip-grant-tables?

Sì, ma crea uno stato altamente pericoloso.
Torna sempre alla modalità normale immediatamente dopo aver completato la procedura.

9. Riepilogo

Cambiare una password MySQL può sembrare semplice, ma senza comprendere il modello user@host, i plugin di autenticazione e il design dei privilegi, può facilmente portare a problemi.

I punti chiave di questo articolo sono:

9.1 Usa ALTER USER come metodo standard

ALTER USER 'username'@'localhost'
IDENTIFIED BY 'NewStrongPassword123!';

• Metodo standard in MySQL 5.7 e successive
• L’uso diretto di UPDATE mysql.user non è consigliato
• FLUSH PRIVILEGES è solitamente non necessario

9.2 Gli utenti sono gestiti come “user@host”

• localhost e % sono account diversi
• Possono esistere più account con lo stesso nome utente
• Verifica con SELECT User, Host FROM mysql.user;

9.3 Presta attenzione ai plugin di autenticazione in 8.0

• Default 8.0: caching_sha2_password
• Compatibilità legacy: mysql_native_password
• Se non riesci a connetterti, controlla la colonna plugin

  SELECT plugin FROM mysql.user WHERE User='username';
  

9.4 Fai attenzione quando recuperi la password root

• --skip-grant-tables è solo una misura temporanea
• Torna sempre alla modalità normale dopo aver terminato
• Esegui durante una finestra di manutenzione in produzione

9.5 La maggior parte degli errori ha cause chiare

• ERROR 1819 → Violazione della politica password
• ERROR 1227 → Privilegi insufficienti
• Impossibile accedere → Mismatch dell’host o del plugin di autenticazione

9.6 In pratica, il principio del minimo privilegio e il design operativo sono i più importanti

• Non utilizzare root nelle applicazioni
• Creare utenti dedicati
• Applicare politiche password robuste
• Testare sempre le connessioni dopo le modifiche

La gestione delle password MySQL non riguarda solo la modifica di un valore—è la fondazione di operazioni di database sicure.
Scegli il metodo appropriato per il tuo ambiente ed eseguilo con attenzione.