Autenticazione a due fattori: come attivarla e quali app usare per proteggere gli account
L’autenticazione a due fattori, spesso indicata come 2FA, richiede una prova aggiuntiva dopo la password. Riduce il rischio di accesso illecito quando una password viene rubata tramite phishing, violazione di un servizio o riuso delle credenziali.
Il secondo fattore può essere un codice SMS, un codice creato da un’app, una notifica sul telefono o una chiave di sicurezza fisica. La scelta incide su sicurezza, praticità, compatibilità e possibilità di recuperare l’account.
Come funziona l’autenticazione a due fattori
Per accedere servono due elementi distinti: qualcosa che si conosce, cioè la password, e qualcosa che si possiede, come lo smartphone o una chiave FIDO2. Alcuni servizi usano anche dati biometrici, per esempio impronta digitale o riconoscimento del volto, per sbloccare il dispositivo.
La 2FA protegge l’accesso anche se un aggressore conosce la password. Non protegge però da ogni truffa: un sito falso può chiedere password e codice temporaneo nello stesso momento. Controllare dominio, app e richieste di approvazione resta necessario.
SMS, app o chiave: quale metodo scegliere
| Metodo | Sicurezza | Comodità | Limiti principali |
|---|---|---|---|
| Codice SMS | Discreta | Alta | Rischio di SIM swap, dipendenza dalla rete |
| App autenticatore | Alta | Alta | Va configurato il recupero prima di cambiare telefono |
| Notifica push | Alta | Molto alta | Richiede attenzione alle approvazioni ricevute |
| Chiave FIDO2 | Molto alta | Buona | Compatibilità e costo iniziale |
L’SMS è preferibile all’assenza di 2FA e risulta utile come metodo di emergenza. Per email, archivi cloud, home banking, social e account di lavoro conviene usare un’app autenticatore o una chiave di sicurezza, quando il servizio la supporta.
Le app di autenticazione più adatte
Le app generano codici temporanei validi di solito 30 secondi, senza rete mobile. Google Authenticator e Microsoft Authenticator sono soluzioni semplici e compatibili con molti servizi; 2FAS offre backup e sincronizzazione cifrata opzionale.
Su Android, Aegis permette di conservare un archivio locale cifrato e di esportarlo per il ripristino. Su iPhone, i codici di verifica possono essere gestiti anche nell’app Password di Apple, se si usa l’ecosistema Apple. Valutare sempre esportazione, backup protetto, blocco biometrico e disponibilità su più dispositivi.
Come attivare la 2FA passo dopo passo
- Accedere alle impostazioni dell’account e cercare “Sicurezza”, “Accesso” o “Autenticazione a due fattori”.
- Scegliere l’app autenticatore come metodo principale, se disponibile.
- Aprire l’app, scansionare il codice QR mostrato dal servizio e inserire il codice a sei cifre generato.
- Scaricare o stampare i codici di recupero e conservarli fuori dallo smartphone.
- Aggiungere un secondo metodo: chiave FIDO2, secondo dispositivo o numero telefonico verificato.
- Terminare la sessione e fare una prova di accesso da un browser affidabile.
Non fotografare il QR e non inviarlo via chat: chi lo acquisisce può generare gli stessi codici. Se il servizio mostra una chiave segreta testuale, trattarla come una password molto sensibile.
Servizi da proteggere per primi
L’account email viene prima di tutto, perché spesso permette il reset delle password degli altri servizi. Subito dopo vanno protetti account Apple, Google o Microsoft, password manager, servizi finanziari, PEC, identità digitale, cloud e account di lavoro.
Una password lunga e unica resta la base. Un password manager sicuro semplifica la creazione di credenziali diverse per ogni sito e riduce il riuso, che rende una singola violazione molto più dannosa.
Quando usare una chiave di sicurezza
Una chiave FIDO2 collega l’accesso al sito corretto e limita l’efficacia delle pagine di phishing. I modelli USB-C sono pratici con notebook recenti e smartphone Android compatibili; una chiave con NFC amplia l’uso su telefoni e tablet.
Prima dell’acquisto, verificare che l’account supporti FIDO2 o WebAuthn, che la chiave abbia la porta adatta e che sia possibile registrare almeno due chiavi. Tenerne una di riserva in un luogo sicuro evita blocchi in caso di smarrimento.
Recupero, cambio smartphone e errori da evitare
Il problema più comune nasce quando si sostituisce o si perde il telefono senza codici di recupero. Prima del cambio, trasferire l’app con la procedura ufficiale oppure aggiungere il nuovo dispositivo nelle impostazioni di ogni account. Un telefono ricondizionato va inizializzato e aggiornato prima di usarlo per codici e notifiche.
Non approvare notifiche di accesso non richieste, non condividere codici temporanei con presunti operatori e non impostare la stessa password su più servizi. Le passkey per accedere senza password possono affiancare o sostituire la password su servizi compatibili, con un buon livello di sicurezza e minori rischi di phishing.
Autenticazione a due fattori: scelta pratica
Per la maggior parte delle persone, un’app autenticatore con codici di recupero conservati offline offre il miglior rapporto tra sicurezza e semplicità. L’SMS resta un’opzione di riserva utile, mentre una chiave FIDO2 è consigliata per account critici, amministratori e attività professionali.
Attivare la 2FA sui tre account principali richiede pochi minuti e migliora subito la protezione. Il controllo periodico dei metodi registrati, dei dispositivi connessi e delle opzioni di recupero mantiene efficace la configurazione nel tempo.
