Autenticazione a due fattori (2FA): come attivarla e quale metodo scegliere

Ti è mai arrivata un’email che dice “abbiamo rilevato un accesso al tuo account”? Nella maggior parte dei casi a quel punto è troppo tardi: se qualcuno ha la tua password, ha anche tutto il resto. L’autenticazione a due fattori — spesso abbreviata in 2FA — è la singola protezione più efficace che puoi attivare oggi, e nella maggior parte dei servizi richiede cinque minuti.

Il principio è semplice: la password è “qualcosa che sai”, il secondo fattore è “qualcosa che hai” — il tuo telefono, una chiavetta, un’app. Un criminale può rubare la password con un sito falso o una fuga di dati, ma senza quel secondo elemento non entra. Le statistiche dei provider sono concordi nel dire che la 2FA blocca la grande maggioranza degli accessi non autorizzati, molto più di qualsiasi password complicata. Eppure la usano ancora in pochi, spesso perché sembra complicata o per la paura di restare chiusi fuori dal proprio account. In questa guida vediamo come attivarla, quale metodo scegliere e — soprattutto — come prepararti al caso in cui perdi il telefono.

1) Come funziona, in pratica

Quando accedi, il servizio ti chiede due cose: la password e un secondo elemento. Il secondo può arrivare in modi diversi, ma la logica è sempre quella: dimostrare di avere in mano qualcosa che solo tu possiedi.

Alcuni servizi lo fanno solo in situazioni sospette — un nuovo dispositivo, un Paese diverso, un browser mai usato — e lo chiamano spesso “verifica in due passaggi”. Altri lo chiedono a ogni accesso. Il livello di protezione è simile; cambia la seccatura quotidiana, che con le app moderne è comunque minima.

2) I metodi a confronto

Perché l’SMS è meglio di niente ma non è il massimo

L’SMS è comodo e universalmente supportato, ma ha due debolezze: dipende dalla rete telefonica e dal numero, e può essere intercettato o dirottato con tecniche di social engineering verso l’operatore. Per un account importante, l’app di autenticazione è una scelta migliore; l’SMS può restare come ripiego.

Attenzione alle notifiche push “approva o nega”

Sono comodissime, ma sono state bersaglio di una tecnica chiamata MFA fatigue: il criminale, che ha già la password, invia decine di richieste finché l’utente, esasperato, preme “approva” per farle smettere. Regola d’oro: se ricevi una richiesta di approvazione che non hai avviato tu, nega e cambia subito la password.

3) Attivarla sui servizi principali

I percorsi cambiano, ma la logica è sempre la stessa: si va nelle impostazioni di sicurezza dell’account e si cerca la voce “verifica in due passaggi”, “autenticazione a due fattori” o “sicurezza dell’accesso”.

• Account Microsoft: Sicurezza > Opzioni di sicurezza avanzate. Puoi usare un’app, un’email o un numero di telefono.
• Google: Sicurezza > Verifica in due passaggi. Propone notifiche, codici, chiavi di sicurezza e passkey.
• Apple: Impostazioni > [il tuo nome] > Accesso e sicurezza. L’autenticazione a due fattori è legata all’ID Apple e si conferma sui dispositivi fidati.
• Servizi bancari e fiscali: quasi sempre già obbligatoria, spesso con app dedicata dell’istituto.
• Social e messaggistica: cerca la voce nelle impostazioni di sicurezza o privacy; alcuni servizi la nascondono nei menu avanzati.

Attivala prima sui servizi che, se compromessi, darebbero accesso a tutto il resto: la casella email principale, l’account con cui recuperi le password, e il cloud dove tieni i documenti.

4) Scegliere l’app di autenticazione

Esistono diverse app che generano codici temporanei, e funzionano tutte allo stesso modo: si scansiona un codice QR, l’app salva il “segreto” e produce codici che cambiano ogni 30 secondi. Non serve connessione a Internet.

• App dedicate: leggere, senza fronzoli, e di solito permettono il backup cifrato dell’archivio.
• App dei grandi produttori: comode se sei già nel loro ecosistema, ma il backup può essere legato all’account.
• Gestori di password con 2FA integrata: la soluzione più pratica se già usi un gestore, perché password e codici stanno insieme e il backup è gestito.

Un consiglio pratico: non tenere l’unica copia dei codici sullo stesso telefono che usi per accedere. Se lo perdi, perdi entrambi gli strumenti. Vedi il punto successivo.

5) Codici di backup: la parte che salva la vita

Ogni servizio serio, quando attivi la 2FA, ti mostra dei codici di recupero: una lista di codici usa e getta che funzionano quando non hai il telefono. Sono l’equivalente della chiave di riserva sotto lo zerbino — solo che quasi tutti chiudono la finestra senza salvarli.

1. Salvali in un posto che non sia il telefono: un file in una cartella sul PC, oppure — meglio — stampati e messi in un cassetto.
2. Se li salvi digitalmente, proteggi il file: un archivio cifrato o un gestore di password vanno benissimo.
3. Ricordati dove li hai messi. Sembra banale, ma è il punto in cui tutti falliscono.

6) Se perdi il telefono o cambi numero

Ecco la procedura tipo, che vale per quasi tutti i servizi:

• Usa un codice di backup per accedere da un altro dispositivo.
• Entra nelle impostazioni di sicurezza e rimuovi il vecchio metodo (il numero o l’app che non hai più).
• Aggiungi il nuovo telefono o la nuova app, scansionando un nuovo codice QR.
• Rigenera i codici di backup: quelli vecchi potrebbero non essere più validi.

Se non hai i codici di backup, la procedura di recupero passa dall’assistenza del servizio e può richiedere giorni, se non è disponibile un altro metodo già configurato. Ecco perché conviene configurare sempre due metodi: l’app come principale, un secondo dispositivo o i codici come riserva.

7) I limiti: quando la 2FA non basta

La 2FA non è invincibile. Non protegge da questi scenari:

• Phishing in tempo reale: siti falsi che chiedono password e codice insieme e li usano subito. Contro questo, le chiavi fisiche e le passkey sono molto più robuste, perché il codice è legato al sito reale.
• Dispositivo già compromesso: se il telefono o il PC sono infetti, il secondo fattore può essere intercettato. Qui conta l’igiene digitale: aggiornamenti, antivirus, applicazioni da fonti ufficiali.
• Recupero account debole: se la domanda di sicurezza è “nome del tuo cane” e la risposta è pubblica sui social, il criminale può aggirare tutto passando dal recupero.

Per questo la 2FA va accompagnata da password uniche, un gestore di password e un po’ di attenzione. Trovi i criteri nella guida password sicure e il confronto degli strumenti in confronto tra gestori di password.

8) Errori da evitare

• Attivare la 2FA solo sull’email secondaria: protegge poco. Parti dalla casella principale, che è la chiave di recupero di tutto.
• Non salvare i codici di backup: è l’errore che trasforma una protezione in un blocco.
• Usare lo stesso telefono come unico metodo e unico archivio: due rischi nella stessa tasca.
• Fidarsi dell’SMS per tutto: accettabile come riserva, debole come unica difesa.
• Condividere codici “solo con una persona fidata”: quella persona diventa il tuo punto debole.
• Dimenticare i dispositivi fidati: dopo un sospetto accesso, controlla l’elenco dei dispositivi collegati e rimuovi quelli che non riconosci.

Tre situazioni tipiche

“La uso solo sul telefono, va bene?”

Va bene come punto di partenza, ma aggiungi un secondo metodo: se il telefono si rompe o viene rubato rischi di restare fuori. Un secondo dispositivo, una chiave fisica o i codici stampati risolvono il problema.

“Mi chiede la 2FA ogni volta che accedo, è normale?”

Dipende dal servizio e dalle impostazioni sui dispositivi fidati. Se puoi, attiva l’opzione “ricorda questo dispositivo” solo su computer personali e mai su quelli condivisi o pubblici.

“Ho attivato la 2FA e ora non ricevo più i codici”

Controlla l’ora del telefono: i codici a tempo dipendono dall’orologio di sistema. Se è sbagliato di qualche minuto, il codice risulta sempre errato. Imposta data e ora automatiche e riprova.

Domande frequenti

La 2FA è obbligatoria per legge?

Per i servizi finanziari e molti servizi pubblici sì, in base alle normative sulla sicurezza dei pagamenti e all’autenticazione rafforzata. Per gli altri servizi è una scelta, ma fortemente consigliata.

Posso usare la stessa app per tutti gli account?

Sì, è il modo più comodo. L’importante è che l’archivio dell’app sia protetto e che tu abbia un backup: se perdi l’accesso all’app, perdi tutti i codici insieme.

Le passkey sostituiranno la 2FA?

Le passkey stanno rendendo l’accesso più semplice e sicuro perché eliminano la password, ma la diffusione è ancora disomogenea. Finché non sono disponibili ovunque, la 2FA resta il metodo da attivare.

Devo attivarla anche sui siti che uso raramente?

Se contengono dati personali o metodi di pagamento sì. Per un forum senza dati sensibili, la password unica è già una buona difesa.

Quanto tempo richiede attivarla?

Cinque minuti per servizio, codici di backup inclusi. È probabilmente il quarto d’ora meglio investito nella sicurezza della tua vita digitale.

Fonti ufficiali

• Microsoft — verifica in due passaggi per l’account
• Google — attivare la verifica in due passaggi

Articoli correlati:
Password sicure: come crearle e gestirle
Confronto tra gestori di password
Evitare truffe e phishing
Sicurezza dello smartphone Android
PC infetto da malware: cosa fare