Una password, anche lunga e complessa, può essere rubata attraverso phishing, malware, fughe di dati o accessi effettuati su dispositivi non sicuri. L’autenticazione a due fattori, chiamata anche 2FA o verifica in due passaggi, aggiunge una seconda prova all’accesso e riduce il rischio che qualcuno possa entrare in un account conoscendo soltanto la password. Il principio è semplice: per verificare l’identità dell’utente, il servizio richiede almeno due elementi appartenenti a categorie diverse.
Il primo elemento è generalmente qualcosa che si conosce, come una password o un PIN. Il secondo può essere qualcosa che si possiede, per esempio uno smartphone, una chiave di sicurezza o un dispositivo già autorizzato, oppure qualcosa che si è, come un dato biometrico. La doppia verifica viene utilizzata da servizi di posta elettronica, social network, piattaforme cloud, negozi online, home banking e account aziendali.
Attivare questa protezione richiede pochi minuti, ma la procedura cambia in base al servizio. Prima di iniziare conviene controllare che il numero di telefono sia aggiornato, installare eventualmente un’app di autenticazione e conservare i codici di recupero in un luogo sicuro. La scelta del secondo fattore dipende dalle esigenze personali, dal livello di rischio e dalla disponibilità di dispositivi alternativi in caso di smarrimento dello smartphone.
Che cos’è l’autenticazione a due fattori
L’autenticazione a due fattori verifica l’identità tramite due fattori distinti. La password rappresenta il primo passaggio più comune, mentre il secondo può assumere forme diverse. L’obiettivo è impedire che la compromissione di un solo elemento sia sufficiente per accedere all’account.
La 2FA non rende un profilo invulnerabile. Un utente può ancora essere ingannato da una pagina di phishing, approvare per errore una notifica o perdere il controllo del numero telefonico. Tuttavia, aggiunge una barriera importante e limita l’utilità di una password sottratta. Dopo l’attivazione, il servizio può chiedere il secondo fattore a ogni accesso, su un dispositivo nuovo o quando rileva un’attività insolita.
La verifica in due passaggi non deve essere confusa con la verifica in due fasi basata soltanto su due password o su due informazioni simili. La protezione è più solida quando i fattori appartengono a categorie differenti e non dipendono dallo stesso canale.
Quali sono i principali metodi di verifica
Ogni metodo offre un equilibrio diverso tra comodità, disponibilità e resistenza agli attacchi. La scelta va valutata considerando anche il recupero dell’account e la possibilità di utilizzare un secondo dispositivo.
Codici via SMS
Il servizio invia un codice temporaneo tramite messaggio al numero associato all’account. È una soluzione semplice, compatibile con molti dispositivi e adatta a chi non vuole installare applicazioni aggiuntive. Il limite principale è la dipendenza dalla rete telefonica: il numero può essere vittima di SIM swap, intercettazione o trasferimento fraudolento. Gli SMS sono quindi preferibili all’assenza di una seconda verifica, ma in genere offrono una protezione inferiore rispetto alle app di autenticazione, alle chiavi hardware e alle passkey.
App di autenticazione
Applicazioni come Google Authenticator, Microsoft Authenticator, 1Password e altre app compatibili generano codici temporanei direttamente sul dispositivo. Il codice viene creato in base a una chiave segreta associata all’account e, nella configurazione più comune, continua a funzionare anche senza connessione dati.
Questo metodo evita la dipendenza dagli SMS, ma richiede attenzione durante la configurazione. Se lo smartphone viene perso o ripristinato, l’utente deve avere un backup dell’app, una procedura di trasferimento supportata oppure i codici di recupero. Prima di rimuovere un’app di autenticazione è opportuno verificare che gli account siano stati trasferiti correttamente.
Notifiche di conferma
Il servizio invia una richiesta push a uno smartphone già autorizzato. Per approvare l’accesso basta toccare una notifica e, in alcuni casi, confermare un numero visualizzato sullo schermo del computer. La procedura è rapida e riduce gli errori nella digitazione dei codici.
Le notifiche richiedono connessione, batteria e disponibilità del dispositivo registrato. Esiste inoltre il rischio di approvare automaticamente richieste inattese, soprattutto quando arrivano più notifiche ravvicinate. Se compare una richiesta non riconosciuta, va rifiutata e la password deve essere modificata.
Chiavi di sicurezza
Le chiavi di sicurezza sono dispositivi fisici USB, NFC o Bluetooth che confermano l’accesso dopo il collegamento o il contatto. Utilizzano standard come FIDO2 e WebAuthn e sono progettate per contrastare anche molte pagine di phishing, perché verificano il dominio del servizio prima di autorizzare la richiesta.
Una chiave può essere molto adatta per account professionali, amministratori e profili con dati sensibili. Il costo e la necessità di avere il dispositivo con sé rappresentano gli aspetti meno comodi. È consigliabile registrare almeno una chiave di riserva e conservarla separatamente.
Passkey
Le passkey sostituiscono la password con una coppia di chiavi crittografiche. La chiave privata resta sul dispositivo o in un gestore compatibile, mentre il servizio conserva la chiave pubblica. L’accesso viene confermato con impronta digitale, riconoscimento del volto, PIN del dispositivo o un altro metodo locale.
Le passkey riducono il rischio di phishing e non richiedono la digitazione di codici. La compatibilità dipende dal servizio, dal sistema operativo e dal gestore utilizzato. Prima di eliminare una passkey è necessario verificare di avere un metodo alternativo per entrare nell’account.
Come attivare la verifica in due passaggi
La voce da cercare si trova di solito nelle impostazioni dell’account, nella sezione sicurezza, accesso o privacy. È preferibile eseguire l’attivazione dall’app ufficiale o digitando manualmente l’indirizzo del servizio, evitando collegamenti ricevuti via email o messaggio.
Account Google
Aprire la sezione Verifica in due passaggi di Google, accedere all’account e seguire la procedura guidata. Google permette di configurare notifiche, codici tramite app, chiavi di sicurezza, passkey e, dove previsto, SMS. Dopo la configurazione è utile controllare l’elenco dei dispositivi collegati e delle sessioni attive.
Account Microsoft
Per un account Microsoft, la gestione avviene dalle impostazioni di sicurezza dell’account. La documentazione ufficiale sulla verifica in due passaggi Microsoft illustra i metodi disponibili, tra cui Microsoft Authenticator, email, telefono e chiavi di sicurezza. Dopo l’attivazione bisogna aggiungere un metodo alternativo, se disponibile, per evitare il blocco in caso di telefono inutilizzabile.
Apple Account
Su iPhone, iPad e Mac, la verifica è gestita dall’Apple Account. Le istruzioni ufficiali per attivare l’autenticazione a due fattori per l’Apple Account indicano i passaggi da seguire e il ruolo dei dispositivi attendibili. È importante mantenere aggiornati numero telefonico e contatti di recupero, soprattutto prima di cambiare iPhone o numero di telefono.
Molti altri servizi, tra cui social network, piattaforme di pagamento e applicazioni di messaggistica, offrono opzioni analoghe. I nomi dei menu possono cambiare con gli aggiornamenti: bisogna fare riferimento alla documentazione ufficiale del singolo servizio e controllare che l’indirizzo web appartenga realmente al gestore.
Come conservare i codici di recupero
I codici di recupero consentono di entrare nell’account quando il secondo fattore principale non è disponibile. In genere vengono mostrati al termine della configurazione e possono essere scaricati o stampati. Ogni codice dovrebbe essere trattato come una password temporanea o come una chiave di accesso.
- Salvare i codici in un gestore di password affidabile oppure in una copia cartacea custodita in un luogo protetto.
- Non conservarli in una fotografia presente nella galleria del telefono o in un documento non protetto.
- Non inviarli via email, chat o messaggi a persone non autorizzate.
- Rigenerarli se si sospetta che siano stati copiati o visualizzati da terzi.
- Verificare quanti codici restano disponibili e crearne di nuovi quando il servizio lo consente.
Cosa fare se si perde il dispositivo
La preparazione va fatta prima dello smarrimento. È consigliabile registrare un secondo dispositivo, una chiave di sicurezza alternativa o un numero telefonico aggiornato. Per gli account più importanti conviene conservare anche i codici di recupero offline e verificare periodicamente che funzionino le procedure previste dal servizio.
In caso di furto, bisogna bloccare la SIM tramite l’operatore, utilizzare la funzione di localizzazione e blocco remoto del dispositivo e cambiare le password partendo dall’email principale. Se il telefono è ancora accessibile, occorre rimuovere le sessioni attive e revocare il dispositivo dall’elenco degli account. Non bisogna comunicare codici di verifica a chi telefona sostenendo di appartenere all’assistenza: i servizi affidabili non chiedono di dettare un codice ricevuto per entrare nel profilo.
La combinazione più equilibrata per molti utenti consiste in un’app di autenticazione o una passkey come metodo principale, accompagnata da codici di recupero e da un’opzione alternativa. Gli SMS possono restare una soluzione di emergenza, mentre chiavi hardware e passkey sono indicate quando la protezione contro il phishing ha priorità elevata.
Domande frequenti
La verifica in due fattori rende inutile una password?
No. La password deve restare lunga, unica per ogni servizio e difficile da indovinare. La 2FA aggiunge un controllo ulteriore, ma non sostituisce le buone pratiche di gestione delle credenziali.
Qual è il metodo più sicuro?
Chiavi di sicurezza e passkey offrono generalmente una protezione elevata contro il phishing. Anche le app di autenticazione sono una scelta solida per molti utenti. Il livello effettivo dipende dalla configurazione, dal servizio e dalla capacità di proteggere il dispositivo.
Gli SMS sono ancora utili?
Sì, soprattutto quando non sono disponibili alternative. Rispetto ad altri metodi, però, dipendono dal numero telefonico e possono essere esposti a rischi legati alla SIM. Quando possibile, è preferibile usare un’app, una passkey o una chiave di sicurezza.
Cosa succede se perdo i codici di recupero?
Bisogna verificare se l’account dispone di un dispositivo già autorizzato, di un metodo alternativo o di una procedura di recupero dell’identità. Se non esistono altre opzioni, il supporto del servizio potrebbe non riuscire a ripristinare l’accesso.
È necessario attivare la 2FA su tutti gli account?
È opportuno iniziare da email principale, account Apple o Google, servizi bancari, gestori di password, social network e piattaforme che contengono dati personali o finanziari. In seguito si possono proteggere anche gli altri account che offrono la funzione.
