Guida alla Configurazione dell'Autenticazione a Due Fattori: Proteggi i Tuoi Account

Le password da sole non bastano. Anche una password forte e unica può essere compromessa tramite phishing, violazioni di dati o malware. L'autenticazione a due fattori (2FA) aggiunge un secondo passaggio di verifica che rende drasticamente più difficile il furto dell'account. Questa guida copre tutto ciò che devi sapere per configurarla correttamente.

Cos'è la 2FA?

L'autenticazione a due fattori richiede due tipi diversi di prova per dimostrare la tua identità:

1. Qualcosa che sai: Password
2. Qualcosa che hai: Telefono, chiave di sicurezza o app di autenticazione
3. Qualcosa che sei: Impronta digitale, riconoscimento facciale

La 2FA standard combina una password (fattore 1) con un codice dal telefono o una chiave di sicurezza (fattore 2). Anche se un attaccante ruba la tua password, non può accedere al tuo account senza il secondo fattore.

Tipi di 2FA

TOTP (Time-Based One-Time Password) — Raccomandato

Un'app di autenticazione genera un nuovo codice a 6 cifre ogni 30 secondi:

Codice: 847 293 (scade tra 18 secondi)

Come funziona: Durante la configurazione, il servizio condivide una chiave segreta con la tua app di autenticazione (di solito tramite codice QR). Sia il servizio che la tua app usano questa chiave più l'ora corrente per generare indipendentemente lo stesso codice.

App: Google Authenticator, Authy, Microsoft Authenticator, 1Password, Bitwarden.

Pro: Funziona offline, non serve il numero di telefono, resistente al SIM swapping. Contro: Perdere il telefono significa perdere l'accesso (senza codici di backup).

Chiavi di Sicurezza (WebAuthn/FIDO2) — Più Sicuro

Dispositivi hardware fisici che si autenticano via USB, NFC o Bluetooth:

Marchi: YubiKey, Google Titan, SoloKeys.

Pro: A prova di phishing (legati a domini specifici), nessun codice da inserire, funzionano istantaneamente. Contro: Dispositivo fisico da portare con sé, costa denaro, opzioni di recupero limitate in caso di perdita.

Codici SMS — Evitare Se Possibile

Un messaggio di testo con un codice di verifica:

Pro: Non serve un'app, semplice da configurare. Contro: Vulnerabile al SIM swapping (l'attaccante convince l'operatore a trasferire il tuo numero), intercettazione SMS, richiede copertura cellulare.

Raccomandazione: Usa la 2FA via SMS solo se TOTP o le chiavi di sicurezza non sono disponibili. È comunque significativamente meglio che nessuna 2FA.

Notifiche Push

Il servizio invia un prompt a un'app sul tuo telefono — tocca "Approva" per autenticarti.

Pro: Conveniente, mostra il contesto del login (posizione, dispositivo). Contro: Vulnerabile ad attacchi di "push fatigue" (l'attaccante attiva molti prompt fino a quando l'utente approva accidentalmente).

Configurare TOTP

Passo 1: Installa un'App di Autenticazione

Scegli un'app che supporti backup/sincronizzazione:

• Authy: Backup cloud, sincronizzazione multi-dispositivo
• 1Password / Bitwarden: Integrato con il gestore password
• Google Authenticator: Semplice, ora supporta backup cloud

Passo 2: Abilita la 2FA sul Tuo Account

La maggior parte dei servizi: Impostazioni → Sicurezza → Autenticazione a Due Fattori → Abilita.

Passo 3: Scansiona il Codice QR

Il servizio mostra un codice QR. Scansionalo con la tua app di autenticazione. L'app inizia a generare codici.

Passo 4: Inserisci il Codice di Verifica

Inserisci il codice a 6 cifre corrente per confermare la configurazione.

Passo 5: Salva i Codici di Backup

Questo è il passo più critico. Il servizio fornisce 8-10 codici di backup monouso. Questi sono il tuo metodo di recupero se perdi il dispositivo di autenticazione.

Conserva i codici di backup in:

• Il tuo gestore password (crittografato)
• Una copia stampata in un luogo sicuro (cassaforte, cassetta di sicurezza)
• Mai in un file di testo non crittografato o in un'email

Account Prioritari per la 2FA

Abilita la 2FA su questi account per primi (in ordine di impatto se compromessi):

1. Email — Il reset della password per tutti gli altri account passa attraverso l'email
2. Gestore password — Contiene tutte le tue credenziali
3. Finanziari — Conti bancari, investimenti, criptovalute
4. Cloud storage — Google Drive, Dropbox, iCloud
5. Social media — Possono essere usati per l'ingegneria sociale
6. Account sviluppatore — GitHub, npm, AWS, registrar di domini
7. Shopping — Amazon, servizi di pagamento (carte di credito memorizzate)

Strategie di Recupero

Se Perdi il Telefono

1. Usa un codice di backup salvato per effettuare il login
2. Trasferisci l'autenticatore su un nuovo dispositivo (Authy si sincronizza automaticamente)
3. Contatta il supporto con verifica dell'identità (ultima risorsa)

Best Practice per il Backup

• Salva i segreti TOTP: Alcune app permettono di esportare codici QR o chiavi segrete. Salvali in modo sicuro.
• Registra più chiavi di sicurezza: Se usi chiavi hardware, registrane almeno due. Tienine una come backup.
• Stampa i codici di backup: Le copie fisiche sopravvivono ai guasti dei dispositivi.
• Testa il recupero: Verifica periodicamente che il tuo metodo di backup funzioni davvero.

Errori Comuni

1. Non salvare i codici di backup: La causa più comune di blocco della 2FA
2. Usare solo SMS: Vulnerabile al SIM swapping — usa TOTP invece
3. Stesso autenticatore e gestore password sullo stesso dispositivo: Se il dispositivo è compromesso, entrambi i fattori lo sono
4. Non abilitare la 2FA sull'email: La tua email è il meccanismo di recupero per tutto il resto
5. Approvare le notifiche push senza controllare il contesto: Verifica sempre la posizione e il dispositivo del login prima di approvare

Per generare password forti a complemento della tua configurazione 2FA, usa il nostro Generatore di Password.

FAQ

La 2FA può essere aggirata?

Il TOTP può essere aggirato da attacchi di phishing in tempo reale (l'attaccante passa il codice prima che scada) o da malware sul dispositivo. Le chiavi di sicurezza (WebAuthn) sono resistenti al phishing perché verificano il dominio del sito web. Nessun metodo 2FA è infallibile al 100%, ma tutti i metodi riducono drasticamente il tasso di successo degli attacchi.

Dovrei usare il TOTP integrato del gestore password?

Memorizzare i codici TOTP nel tuo gestore password è conveniente ma mette entrambi i fattori nello stesso posto. Per la maggior parte delle persone, la convenienza vale il compromesso — un gestore password con 2FA è molto più sicuro di account senza 2FA. Per account di alto valore, considera un'app di autenticazione separata o una chiave di sicurezza hardware.

Risorse Correlate

• Generatore di Password — Genera password forti
• Entropia delle Password Spiegata — Comprendere la robustezza delle password
• Guida agli Strumenti per la Privacy Online — Protezione completa della privacy