Se gestisci un’attività o lavori da freelance, la posta elettronica spesso custodisce anche le chiavi per reimpostare le password degli altri servizi. Attivare una seconda verifica riduce il rischio che una password compromessa basti per entrare, ma i metodi disponibili non offrono tutti la stessa protezione né la stessa facilità d’uso.
La scelta pratica dipende da quali opzioni offre ciascun servizio, da quanto è delicato l’account e da come recupererai l’accesso se perdi il telefono. Qui trovi le differenze tra SMS, app di autenticazione, passkey e codici di recupero, oltre ai controlli da fare dopo la configurazione.
Che cosa aggiunge davvero una seconda verifica?
L’autenticazione a due fattori, spesso abbreviata in 2FA, richiede due prove di categorie diverse per verificare l’accesso. In genere si combina qualcosa che conosci, come una password, con qualcosa che possiedi, come un telefono o una chiave di sicurezza; in alcuni sistemi la seconda prova è legata a qualcosa che sei, per esempio un’impronta usata per sbloccare il dispositivo. Due password, invece, restano entrambe informazioni che conosci e non costituiscono da sole due fattori distinti.
La protezione serve soprattutto quando una password viene riutilizzata, sottratta con una truffa o esposta in una violazione. Non rende l’account invulnerabile: un malintenzionato può ancora tentare di ingannarti, sfruttare una procedura di recupero debole o accedere a una sessione già aperta. Per un’impresa, conviene iniziare dagli account che permettono di reimpostare altre credenziali o custodiscono dati e documenti importanti: posta di lavoro, archiviazione cloud, contabilità e accessi amministrativi.
Quale metodo scegliere tra SMS, app e passkey?
Gli SMS sono semplici da usare: il servizio invia un codice al numero registrato. Sono utili se non hai alternative, ma il numero telefonico può diventare un punto debole, per esempio se qualcuno riesce a trasferire la linea o intercettare i messaggi. La CISA li considera l’opzione più debole tra i metodi comuni e raccomanda di preferire forme resistenti al phishing quando disponibili; per gli account importanti, trattali come ripiego, non come prima scelta.
Un’app di autenticazione genera codici temporanei sul telefono. Di solito non deve ricevere un SMS per ogni accesso, perciò non dipende dalla copertura cellulare. I codici vanno digitati nel servizio e possono comunque essere sottratti se li inserisci in una pagina contraffatta. Alcuni accessi usano invece una notifica push: approvala solo se hai appena avviato tu il login. Se compare la richiesta di confrontare o inserire un numero, controlla che corrisponda a quello mostrato sullo schermo d’accesso.
Una passkey è una credenziale crittografica registrata per un sito o un’app e sbloccata sul dispositivo, spesso con PIN o biometria. In genere non devi trascrivere un codice: il dispositivo dimostra l’accesso alla credenziale. Secondo la documentazione per sviluppatori di Google, la passkey è associata all’identità del sito o dell’app e questo la rende resistente al phishing; la credenziale può essere sincronizzata attraverso un gestore compatibile oppure usata da un telefono vicino per accedere da un computer. Verifica su quali dispositivi e account viene conservata.
| Metodo | Com’è l’accesso | Aspetto da valutare |
|---|---|---|
| SMS | Inserisci il codice ricevuto sul numero registrato | Comodo, ma dipende dal numero e dalla rete telefonica |
| App con codice | Copi il codice temporaneo mostrato nell’app | Non dipende dagli SMS, ma il codice può essere carpito con il phishing |
| Notifica push | Approvi una richiesta nell’app | Rifiuta richieste che non hai avviato e controlla l’eventuale numero di conferma |
| Passkey | Sblocchi la credenziale sul dispositivo | Protegge meglio dal phishing, ma devi sapere come recuperarla o sincronizzarla |
| Codice di recupero | Inserisci un codice di emergenza conservato in precedenza | Serve in caso di perdita dell’autenticatore; va custodito separatamente |
Non tutti i siti offrono tutte queste opzioni. Le indicazioni della CISA per le piccole e medie imprese mettono le chiavi di sicurezza e le forme resistenti al phishing davanti a codici SMS o email; tra le alternative, le app di autenticazione sono un passo utile quando la passkey o una chiave non sono disponibili. Se per un servizio di lavoro è prevista una politica interna, segui le istruzioni dell’amministratore.
Come preparare l’attivazione senza bloccarti fuori?
Prima di iniziare, assicurati di poter accedere all’account e aggiorna i recapiti di recupero. Apri il sito o l’app digitando l’indirizzo o usando un segnalibro già verificato, quindi cerca le impostazioni di sicurezza. Evita link ricevuti in messaggi inattesi: l’attivazione può comportare la scansione di un codice QR o l’inserimento di un codice temporaneo, e una pagina falsa potrebbe chiederti proprio quei dati.
Procedi così:
- Scegli il metodo più forte tra quelli che il servizio supporta e che puoi mantenere nel tempo. Per un account di lavoro, privilegia una passkey o una chiave di sicurezza se sono compatibili con i dispositivi e le regole aziendali; altrimenti considera un’app invece degli SMS.
- Completa l’associazione seguendo la schermata ufficiale. Se usi un’app, inquadra il QR mostrato nella sessione autentica e inserisci il codice di prova richiesto dal servizio. Se scegli una passkey, controlla quale dispositivo o gestore la conserverà.
- Registra, se possibile, un secondo metodo che rimanga accessibile in caso di guasto o smarrimento del principale. Non basarti solo sullo stesso telefono: se è proprio il dispositivo che perdi, anche un metodo installato soltanto lì potrebbe non aiutare.
- Salva i codici di recupero prima di chiudere la procedura. Le linee guida NIST descrivono i codici salvati come credenziali da conservare offline; una volta usato un codice di questo tipo, va considerato consumato. Tienili in un luogo sicuro e distinto dal dispositivo usato ogni giorno, non in una nota non protetta sul telefono.
- Esci e prova un nuovo accesso, se puoi farlo senza rischiare di perdere la sessione corrente. Controlla che la verifica richiesta arrivi al dispositivo giusto e che il metodo alternativo funzioni. Solo dopo, rimuovi eventuali opzioni che non vuoi più usare, come un vecchio numero telefonico.
Se riusi password tra servizi, riduci il problema alla radice sostituendole con credenziali uniche. Un gestore può aiutarti a crearle e conservarle; valuta le opzioni e le modalità di recupero prima di affidargli gli accessi, come nel caso della scelta di un gestore di password per account e lavoro. Per chi integra strumenti digitali nei processi, la stessa attenzione agli accessi va applicata anche agli account che autorizzano servizi automatizzati o strumenti di intelligenza artificiale per una piccola impresa.
Come verificare che la protezione funzioni?
Fai una prova concreta: avvia l’accesso da una finestra privata o da un dispositivo che non ha già una sessione attiva. Dopo la password, il servizio deve chiedere il metodo configurato, senza inviare automaticamente un codice a un vecchio numero che pensavi di aver rimosso. Se appare una notifica che non hai richiesto, rifiutala e controlla le attività recenti dell’account; non approvare per liberarti del messaggio.
Verifica anche chi può amministrare gli accessi. In un’attività, un metodo più robusto sul solo account del titolare non basta se collaboratori o consulenti accedono agli stessi documenti con protezioni più deboli. Dove possibile, assegna account individuali, limita i privilegi a ciò che serve e definisci come revocare un dispositivo quando una persona non deve più accedere. La rubrica Web e tecnologia raccoglie temi digitali collegati a queste scelte.
La configurazione va ricontrollata quando cambi telefono, numero, gestore di password o dispositivo aziendale. Le regole tecniche NIST prevedono, per esempio, che i codici temporanei monouso non siano riutilizzabili durante il loro periodo di validità e che un codice emesso per recuperare l’accesso via SMS o voce scada entro 10 minuti. Sono requisiti per i servizi che seguono quelle linee guida, non una garanzia che ogni sito applichi le stesse regole. Se hai perso un dispositivo, usa la procedura ufficiale, revoca l’autenticatore non più sotto il tuo controllo e controlla le notifiche di recupero e gli accessi recenti.
Per le attività basate su account cloud, la gestione del recupero è parte della continuità operativa: annota chi ha accesso agli account amministrativi, dove sono custodite le credenziali di emergenza e come si revocano. Non condividere codici monouso in chat o al telefono, neppure con chi si presenta come assistenza. Il supporto legittimo non ha bisogno che tu gli comunichi il codice con cui stai autorizzando un accesso.
Domande frequenti
L’autenticazione a due fattori è la stessa cosa della verifica in due passaggi?
Le espressioni sono spesso usate per indicare un accesso che richiede due verifiche. In senso tecnico, però, due passaggi non garantiscono sempre due fattori diversi: per esempio, due codici inviati attraverso canali simili potrebbero non aggiungere la stessa protezione di una password più un dispositivo o una passkey. Controlla che cosa richiede davvero il servizio.
Posso usare la stessa app di autenticazione per più account?
Molti servizi consentono di registrare la stessa app per generare codici di account diversi, ma ogni account va configurato separatamente tramite la procedura ufficiale. Verifica anche come l’app gestisce il trasferimento o il backup: se il telefono viene perso o sostituito, potresti dover registrare di nuovo gli account oppure usare i codici di recupero.
Che cosa fare se non ricevo il codice SMS?
Controlla prima copertura, numero associato all’account e impostazioni che possono filtrare i messaggi. Non chiedere né condividere codici con chi ti contatta: accedi direttamente al sito o all’app e usa un metodo alternativo già configurato, come una passkey, un’app o un codice di recupero. Se il problema continua, segui la procedura ufficiale del servizio.