Cancellare un SSD prima di venderlo: Secure Erase, sanitize NVMe e Windows 11

Prima di vendere un PC o un SSD usato, formattare non basta e nemmeno sovrascrivere tutto con zeri dà garanzie: il controller di un SSD sposta di continuo i dati tra le celle e tiene da parte blocchi di riserva che il sistema operativo non vede. Le strade affidabili sono i comandi di cancellazione eseguiti dal disco stesso (sanitize, format con secure erase, ATA Secure Erase) oppure la cifratura con distruzione della chiave. Dal mese scorso Windows 11 ha anche una funzione che chiede al disco di sanificarsi da solo. Vediamo quale usare e come verificare il risultato.

Versioni: Windows 11 26H2 con l’aggiornamento non di sicurezza di ottobre 2026, nvme-cli 2.13 e hdparm 9.65 (pacchetti di Debian 13), NIST SP 800-88 Revisione 2 (26 settembre 2025). La procedura segue la documentazione ufficiale di Microsoft, del NIST, di nvme-cli e di hdparm, verificata il 4 novembre 2026.

Perché sovrascrivere un SSD non basta

Su un hard disk ogni settore ha un indirizzo fisso: sovrascriverlo tutto lo cancella. Su un SSD no. Il controller distribuisce le scritture per non consumare sempre le stesse celle (wear leveling), ritira i blocchi che si degradano e tiene una quota di spazio di riserva. Quando il sistema operativo “sovrascrive” un file, il controller scrive i nuovi dati altrove e la vecchia copia resta in celle che il sistema non può più indirizzare. Apple lo scrive nel manuale di diskutil: la cancellazione a passaggi multipli non è più considerata sicura sui dispositivi moderni, e la soluzione moderna è la cifratura, perché distruggere la chiave rende i dati irrecuperabili. Le linee guida NIST SP 800-88, aggiornate alla revisione 2 nel settembre 2025, usano tre livelli di sanificazione: Clear (protegge da strumenti di recupero normali), Purge (rende il recupero impraticabile anche in laboratorio) e Destroy (distruzione fisica).

Passo 1 (PC che resta con Windows 11): ricostruzione dal cloud con sanificazione

Con l’aggiornamento non di sicurezza di ottobre 2026 o successivo, Windows 11 offre la ricostruzione dal cloud (Cloud rebuild): reinstalla una copia pulita di Windows e dei driver scaricati da Windows Update e, se lo scegliete, chiede al disco di sanificare i dati. È la strada più semplice se vendete o regalate il PC intero.

1. Collegate il PC alla corrente e a internet.
2. Aprite Impostazioni > Sistema > Ripristino e, accanto alla voce di ricostruzione del PC (Rebuild this PC nell’interfaccia inglese), avviate la procedura.
3. Scegliete l’opzione di rimozione con sanificazione (Remove & sanitize) invece della semplice rimozione dei file.
4. Scegliete se sanificare solo il disco di Windows o tutti i dischi.
5. Non spegnete e non riavviate durante l’operazione: Microsoft avverte che un’interruzione può lasciare Windows non avviabile.

Se Windows non parte, la stessa funzione è disponibile da Ambiente ripristino Windows: Risoluzione dei problemi e poi la voce di ricostruzione dal cloud.

Sui PC senza l’aggiornamento di ottobre resta Reimposta il PC > Rimuovi tutto con l’opzione di pulizia dei dati (Clean data): richiede più tempo e, nelle parole di Microsoft, rende più difficile il recupero dei file. Su un SSD è una sovrascrittura, quindi un livello “Clear”, non “Purge”. Nella pagina sulla ricostruzione dal cloud, Microsoft consiglia a chi ricicla, restituisce o regala il PC e non riesce a sanificare di usare lo strumento di cancellazione del produttore.

Passo 2 (SSD NVMe): sanitize con nvme-cli

Avviate il PC da una chiavetta live di Ubuntu o Debian, aprite un terminale e installate nvme-cli:

sudo apt install nvme-cli
sudo nvme list

nvme list mostra modello, numero di serie e capacità di ogni SSD: identificate quello giusto (qui /dev/nvme0 per il controller, /dev/nvme0n1 per il namespace). Poi controllate cosa supporta il disco:

sudo nvme id-ctrl /dev/nvme0 -H

Nella sezione sanicap (Sanitize Capabilities) il disco dichiara se supporta crypto erase, block erase e overwrite; nella sezione fna (Format NVM Attributes) se supporta la cancellazione crittografica con il comando format. Se sanitize è supportato, avviate la cancellazione crittografica (azione 0x04) oppure, se non disponibile, il block erase (azione 0x02):

sudo nvme sanitize /dev/nvme0 --sanact=start-crypto-erase
sudo nvme sanitize /dev/nvme0 --sanact=start-block-erase

Usate uno solo dei due comandi. Il sanitize prosegue in background all’interno del disco; per seguirne l’avanzamento:

sudo nvme sanitize-log /dev/nvme0

sudo dd if=/dev/nvme0n1 bs=1M count=100 status=none | hexdump -C | head

Se il disco non supporta sanitize: nvme format

Molti SSD consumer supportano solo il format con cancellazione sicura. --ses=1 cancella i dati utente, --ses=2 li cancella distruggendo la chiave di cifratura interna:

sudo nvme format /dev/nvme0n1 --ses=1

Se il disco ha più namespace o il controller non supporta il format per singolo namespace, la documentazione indica di specificare --namespace-id (0xffffffff per tutti).

Passo 3 (SSD SATA e hard disk): ATA Secure Erase con hdparm

Collegate il disco a una porta SATA interna. Il wiki ATA del kernel Linux racconta di un disco reso inutilizzabile dopo aver impostato la password tramite un adattatore USB, e alcuni ponti USB, SAS o RAID resettano il disco durante le cancellazioni lunghe. Da una sessione live, identificate il disco con lsblk (qui /dev/sdX) e leggete lo stato di sicurezza:

sudo hdparm -I /dev/sdX

Impostate una password temporanea (qui Eins, come nell’esempio del wiki: viene azzerata dalla cancellazione) e avviate l’erase. Il manuale di hdparm marca questi comandi come pericolosi, e lo sono: agiscono sul disco indicato senza altre domande.

sudo hdparm --user-master u --security-set-pass Eins /dev/sdX
sudo hdparm --user-master u --security-erase Eins /dev/sdX

Se in hdparm -I il disco dichiara il supporto all’enhanced erase, potete usare --security-erase-enhanced al posto di --security-erase. Su un SSD l’operazione dura in genere da secondi a minuti, su un hard disk grande anche ore (la stima è riportata da hdparm -I).

Passo 4 (solo hard disk): azzerare con diskpart

Per un hard disk meccanico la sovrascrittura completa resta valida. Da Windows, prompt dei comandi come amministratore:

diskpart
list disk
select disk NUMERO
detail disk

Controllate che detail disk mostri il modello e i volumi del disco da cancellare, non quelli del disco di sistema; solo allora lanciate:

clean all

Secondo Microsoft, clean all imposta a zero ogni settore del disco. Richiede ore su dischi da diversi TB. Su un SSD lo sconsigliamo: consuma scritture senza raggiungere le aree di riserva.

La scorciatoia della cifratura

Se il disco è stato cifrato per intero con BitLocker (o con FileVault sul Mac) prima di metterci i dati, i blocchi rimasti nelle aree di riserva sono illeggibili senza la chiave: cancellare il volume e la chiave equivale a una cancellazione crittografica. Il caso da evitare è BitLocker attivato in seguito con l’opzione che cifra solo lo spazio utilizzato: lo spazio libero può contenere ancora copie in chiaro di vecchi file. Nel dubbio, la cifratura è un livello in più, non un sostituto dei passi 1–3.

Se qualcosa va storto

• nvme sanitize risponde con un errore “Invalid Field in Command”: il disco non supporta l’azione richiesta. Controllate sanicap e provate l’altra azione o nvme format.
• hdparm mostra sempre “frozen”: provate la sospensione o un’altra porta SATA; il wiki cita anche lo scollegamento e ricollegamento a caldo del cavo SATA, avvertendo però che può bloccare il sistema. In alternativa usate lo strumento del produttore (per esempio Samsung Magician, che crea una chiavetta avviabile per il Secure Erase).
• Dopo la cancellazione il disco risulta bloccato da password: l’erase si è interrotto. Sbloccatelo con sudo hdparm --user-master u --security-disable Eins /dev/sdX e ripetete.
• La ricostruzione di Windows si ferma con l’errore 0xc1900200: secondo Microsoft una causa comune è il TPM disattivato; riattivatelo come spiegato in https://hardwarfare.it/guide/tutorial/attivare-secure-boot-tpm-virtualizzazione-bios/.
• Il disco non risponde più ai comandi: i guasti del controller impediscono qualsiasi cancellazione via software. Resta la distruzione fisica (il livello Destroy del NIST), cioè foratura o triturazione dei chip.

Una nota per chi vende PC aziendali

Se il PC ha contenuto dati personali di clienti o dipendenti, la cancellazione rientra tra le misure di sicurezza che l’azienda, come titolare del trattamento, deve poter dimostrare ai sensi del GDPR. Conservate un registro con numero di serie del disco, metodo usato, data, esito della verifica e, quando c’è, il log prodotto dallo strumento. Per i supporti che hanno ospitato dati delicati la scelta prudente resta la distruzione fisica certificata.

Come tornare indietro

Non si torna indietro: è lo scopo dell’operazione. L’unico ripristino possibile è quello del backup fatto prima. Dopo un sanitize o un Secure Erase il disco è vuoto e senza partizioni: per riusarlo create una nuova tabella delle partizioni da Gestione disco o con diskpart, o installate direttamente Windows (https://hardwarfare.it/gaming/pc-gaming/installare-windows-11-pulito-guida/).

Guide collegate

• https://hardwarfare.it/ai-software/windows/formattare-pc-windows-11-senza-perdere-dati/: le opzioni di Reimposta il PC confrontate.
• https://hardwarfare.it/guide/tutorial/controllare-salute-ssd-hard-disk-smart/: lo stato di salute da comunicare a chi compra.

Il nostro giudizio: per un PC intero con Windows 11 aggiornato la ricostruzione dal cloud con sanificazione è finalmente una risposta semplice e corretta; per un SSD venduto da solo la scelta migliore resta nvme sanitize, che è l’unico metodo di questa lista pensato per raggiungere anche le celle che il sistema operativo non vede.

Articolo redatto con il supporto di strumenti di intelligenza artificiale e verificato dalla redazione. Come usiamo l'AI · Come lavoriamo