Autenticazione in due passaggi: perché protegge meglio gli account
L’autenticazione in due passaggi richiede una seconda verifica oltre alla password, per esempio un’app di autenticazione, una chiave di sicurezza o un codice. Non elimina tutti i rischi, ma rende più difficile accedere all’account usando soltanto una password rubata.
In breve
- Attivala per email, account finanziari e servizi importanti.
- Preferisci passkey, chiavi di sicurezza o app quando sono supportate.
- Conserva i metodi di recupero e non approvare richieste inattese.
Sintomi
- Vuoi capire perché l’autenticazione in due passaggi protegge di più
- Non sai quale metodo scegliere fra codice, app o chiave di sicurezza
- Vuoi attivarla su un account
- Temi di non poter più accedere se perdi il telefono
- Ti chiedi se serva su tutti gli account
Cause più probabili
- L’autenticazione in due passaggi aggiunge un secondo fattore: la password da sola non basta
- Il secondo fattore può essere un codice, un approvazione sull’app o una chiave legata al dispositivo
- Se qualcuno ruba la password, serve anche il secondo fattore per accedere
- I metodi più resistenti sono quelli legati alla crittografia del dispositivo
- Le app di autenticazione possono funzionare senza rete
⚠️ Attenzione
Il punto debole è quasi sempre la perdita dell’accesso, non l’attacco. Per questo, prima di attivare l’autenticazione in due passaggi, prepara il recupero: conserva le chiavi di recupistro che il servizio ti fornisce, annota dove sono e verifica di poter accedere a un secondo dispositivo. Un account protetto da un secondo fattore che hai perso diventa un account che non puoi più aprire, e in alcuni casi non c’è nessuna procedura di recupero.
Procedura passo-passo
Perché aggiunge protezione
Se qualcuno scopre la password, il secondo passaggio può impedire l’accesso senza un altro elemento di verifica. L’efficacia dipende dal metodo scelto: le richieste push inattese possono essere approvate per errore e i codici via SMS possono essere esposti a rischi specifici.
Quale metodo scegliere
Quando disponibili, passkey o chiavi di sicurezza possono offrire una protezione robusta contro il phishing. Le app di autenticazione sono un’altra opzione utile. Anche gli SMS sono generalmente meglio dell’assenza di verifica aggiuntiva, ma non sono il metodo più resistente a tutti gli attacchi.
Come attivarla
Accedi direttamente al servizio, apri le impostazioni di sicurezza e segui la procedura di verifica in due passaggi. Configura il metodo aggiuntivo e verifica che funzioni prima di uscire dall’account.
Prepara il recupero
Salva i codici di recupero in un luogo protetto e mantieni aggiornati i recapiti. Non condividere codici temporanei e rifiuta le richieste di approvazione che non hai avviato. Se ricevi notifiche inattese, cambia la password e controlla le sessioni attive.
⚠️ Se non funziona
- Scegli il metodo più adatto: l’app di autenticazione o la chiave di sicurezza resistono meglio del codice via SMS
- Attivalo dall’app o dall’area personale del servizio, non da un link ricevuto per messaggio
- Salva le chiavi di recuporso e le stampa su carta
- Configura un secondo metodo, così non dipendi da un solo dispositivo
- Se perdi l’accesso, usa la procedura di recupero del servizio
Prevenzione
- Attiva il secondo fattore su tutti gli account che contengono dati o denaro
- Preferisci i metodi legati al dispositivo a quelli via SMS
- Conserva le chiavi di recupero in un posto sicuro e non sullo stesso servizio
- Cambia la password di accesso ai servizi che contengono le tue chiavi
- Controlla periodicamente i metodi attivi e i dispositivi collegati
Domande frequenti
L’app di autenticazione è meglio del codice SMS?
Sì, in generale è più resistente del codice via SMS, perché l’approvazione o il codice viene generato sul dispositivo e può funzionare anche senza rete. Però nessun metodo è infallibile: le richieste push inattese possono essere approvate per errore, mentre i codici SMS soffrono di rischi come il trasferimento fraudolento del numero. Le soluzioni più robuste, quando disponibili, sono le passkey e le chiavi di sicurezza.
Se perdo il telefono, perdo l’account?
Non necessariamente, se hai preparato il recupero prima di attivare l’autenticazione in due passaggi. Conserva le chiavi di recupero che il servizio ti fornisce, stampale e annotale dove sono sicuri, aggiorna i recapiti e configura un secondo metodo, così non dipendi da un solo dispositivo. Se perdi il telefono e non hai preparato nulla, l’account può diventare impossibile da aprire: in alcuni casi non esiste un recupero alternativo.