Come salvare le chiavi segrete 2FA prima di perdere il telefono

Perché un telefono smarrito può bloccarti fuori

L'autenticazione a due fattori è uno dei modi migliori per proteggere i tuoi account — finché il dispositivo che conserva i tuoi codici non scompare. Se usi un'app di autenticazione, ecco il problema: le tue chiavi segrete TOTP risiedono solo su quel telefono. Nessuna copia sul cloud, nessun backup, nulla sul lato del servizio. Per impostazione predefinita, l'app genera i tuoi codici a sei cifre a partire dai dati memorizzati solo sul dispositivo.

Perdi il telefono, lo lasci cadere in un lago o lo formatti prima di venderlo, e quelle chiavi sono perdute. Senza di esse, l'app non può generare codici validi — e ogni account protetto in questo modo resta nel buio dietro una porta che non puoi aprire. Il danno è a catena: la posta, le banche e i social collegati a quell'indirizzo email diventano tutti irraggiungibili insieme.

Il recupero senza backup esiste, ma spesso è lento, richiede una prova di identità e alcuni servizi si rifiutano semplicemente. Alcune persone non riescono mai più ad accedere.

La soluzione richiede cinque minuti: fai un backup delle tue chiavi prima di averne bisogno. Non dopo l'acquisto di un nuovo telefono, non "prima o poi" — oggi, mentre l'app funziona ancora. Ecco come.

Esegui il backup quando attivi il 2FA per la prima volta

La schermata di configurazione è la tua migliore occasione per fare un backup. La maggior parte dei servizi mostra un codice QR, ma quel codice è solo un involucro visivo di una chiave segreta — solitamente mostrata tramite un link "non riesci a scansionare?" che rivela una stringa di testo. Salva quella chiave, non solo la scansione. Scrivila su carta o conservala nelle note sicure del tuo password manager. Chiunque abbia la chiave può rigenerare i tuoi codici su un nuovo dispositivo, che è esattamente ciò di cui avrai bisogno dopo aver perso un telefono. Per questo motivo trattala come una password: chi la fotte dal tuo blocco note ottiene l'accesso al secondo fattore.

Durante la configurazione, la maggior parte dei servizi offre anche codici di recupero: password monouso che funzionano se il tuo autenticatore no. Sono facili da saltare al momento e dolorosi da rimpiangere dopo. Un errore comune è salvarli nello stesso telefono che vuoi proteggere: se il dispositivo muore, muoiono anche i codici. Conserva le copie fuori dal dispositivo, per esempio stampate o in un secondo dispositivo.

Fai entrambe le cose ora:

• Salva la chiave segreta (in forma di testo) offline o in un password manager
• Scarica i codici di recupero e conservali nel tuo password manager
• Verifica che i codici funzionino prima di lasciare la pagina di configurazione

Attenzione ai casi particolari: alcuni servizi mostrano la chiave solo in quel momento, dopo di che occorre disattivare e riattivare il 2FA per vederla di nuovo. Se configuri più account in fila, etichetta ogni voce con il nome del servizio — dieci chiavi anonime nel password manager non ti servono a niente quando hai fretta.

La configurazione è l'unica volta in cui un servizio ti consegna tutto in una volta.

Opzione 1: Sincronizzazione cloud crittografata nella tua app di autenticazione

Molte app di autenticazione possono eseguire il backup dei tuoi codici automaticamente sincronizzandoli con un account. Ciò include le opzioni integrate su iOS e Android, oltre alle diffuse app di terze parti. Una volta attivata la sincronizzazione, i tuoi codici ricompaiono quando accedi su un nuovo telefono — senza bisogno di copiarli manualmente.

Prima di fidarti, verifica che la sincronizzazione sia crittografata end-to-end. Significa che le tue chiavi segrete vengono crittografate sul dispositivo prima di lasciarlo, e solo il tuo account può decifrarle. Consulta la documentazione dello sviluppatore dell'app per questo dettaglio; se non è chiaramente indicato, considera il backup come non attendibile.

Attenzione anche alla password dell'account di sincronizzazione: deve essere forte e protetta a sua volta con 2FA. Se qualcuno lo compromette, ottiene l'accesso a tutti i tuoi codici. Evita inoltre di sincronizzare i codici con lo stesso account che stai proteggendo — un errore comune che crea un cerchio chiuso inaccessibile in caso di perdita.

Dopo aver attivato la sincronizzazione, verifica che funzioni davvero:

• Installa l'app su un secondo dispositivo, oppure accedi su un tablet o un emulatore.
• Verifica che i codici compaiano e corrispondano a quelli sul telefono.
• Ripeti il test dopo ogni aggiornamento importante del sistema operativo.
• Solo allora affidarti al backup.

Una sincronizzazione mai testata non è un backup.

Opzione 2: Salva la Chiave Segreta Offline

Quando configuri il 2FA, alcuni servizi ti permettono di visualizzare la chiave segreta grezza — una stringa di lettere e cifre (a volte mostrata come codice QR) che la tua app di autenticazione usa per generare i codici. Salvala durante la configurazione, non dopo che il telefono è andato perso. La chiave è ciò che l'app memorizza: se la possiedi, puoi ricreare i tuoi codici su un nuovo dispositivo in pochi minuti, senza dipendere dal telefono originale.

Copiala in un gestore di password

La maggior parte dei gestori di password include una funzione di note sicure. Incolla lì la chiave segreta. Rimane cifrata, si sincronizza con i tuoi altri dispositivi ed è facile da trovare quando ti serve. Crea una nota separata per ogni servizio e usa un titolo chiaro, ad esempio "Chiave 2FA — email personale", così non devi aprirle tutte in emergenza.

Anche la carta funziona

Scrivi la chiave su un foglio o stampala, poi conservala in un luogo fisicamente sicuro: una cassaforte in casa, un cassetto chiuso a chiave o un caveau in banca. Evita portafogli, borse o qualsiasi posto da cui possa viaggiare e perdersi. Se preferisci, conserva la carta insieme ai codici di recupero: un solo posto da ricordare.

Trattala come una password

Chiunque possieda la chiave segreta può generare codici validi su qualsiasi dispositivo. Non inviarla mai via email, SMS, né salvarla in un file di testo semplice o in una nota non cifrata del telefono. Un errore comune: fare uno screenshot della chiave e lasciarlo nella galleria foto, spesso sincronizzata nel cloud con protezioni deboli. Se un giorno sospetti che la chiave sia compromessa, rigenerala disattivando e riattivando il 2FA sul servizio.

Opzione 3: Codici di recupero e metodi alternativi

La maggior parte dei servizi offre codici di recupero monouso quando attivi il 2FA. Si tratta di password a singolo utilizzo che aggirano completamente il tuo authenticator. Trovali nelle impostazioni di sicurezza o di autenticazione a due fattori dell'account e scaricali nel momento stesso in cui attivi il 2FA. Di solito sono da 8 a 10 codici: ognuno funziona una volta sola, poi si esaurisce. Se li hai già usati tutti, genera un nuovo set dalle impostazioni e cancella i vecchi.

Errore comune: salvarli nello stesso account che servono per accedere. Se non riesci ad autenticarti, non arrivi nemmeno ai codici. Meglio una copia stampata o un password manager diverso.

Aggiungi un secondo modo di accesso

I codici di recupero non sono la tua unica opzione. A seconda del servizio, potresti registrare:

• Una chiave di sicurezza hardware — un piccolo dispositivo USB o NFC, quasi impossibile da perdere nello stesso modo in cui si perde un telefono. Acquistane due se il servizio lo consente: una da portare, una di riserva
• Un dispositivo secondario — un vecchio telefono o tablet che resta a casa e usa lo stesso authenticator. Tienilo carico e con il Wi-Fi attivo, altrimenti i codici potrebbero non generarsi
• Un numero di telefono — meno sicuro degli altri, ma meglio che restare completamente esclusi. Attenzione: usa un numero che controlli davvero, non uno temporaneo che potresti perdere

Conserva i codici separatamente dalle chiavi

Tieni i codici di recupero in un posto diverso dai backup delle tue chiavi segrete — per esempio, un foglio stampato in un cassetto se le tue chiavi sono in un password manager. Se un backup va perso, danneggiato o compromesso, l'altro continua a funzionare. Una sola posizione di archiviazione non dovrebbe mai essere un singolo punto di guasto per entrambi.

Metti alla prova il tuo percorso di recupero

Un backup mai testato è solo un'ipotesi. Verifica che funzioni finché hai ancora il telefono.

Accedi da un secondo dispositivo o browser. Usa un laptop o un tablet per accedere a uno dei tuoi account e inserisci un codice dalla tua app di autenticazione. Questo conferma che i codici sono corretti e che il tuo metodo di backup ne produce davvero di funzionanti. Attenzione a un errore comune: se il codice viene rifiutato, controlla prima che l'orologio del dispositivo sia sincronizzato, perché i codici TOTP dipendono dall'ora esatta. Un secondo dispositivo con qualche minuto di ritardo genera codici validi ma non accettati.

Prova un codice di recupero. Usa una volta un codice di recupero monouso, poi verifica di riuscire ancora ad accedere. Questo dimostra che il codice è valido e conservato in un posto che riesci davvero a raggiungere. Marchialo come usato e controlla se il servizio emette un nuovo set o ti mostra i codici rimanenti. Edge case da non ignorare: alcuni servizi consentono un numero limitato di rigenerazioni o disattivano i codici vecchi quando ne emetti di nuovi, quindi aggiorna subito la tua copia cartacea dopo ogni rigenerazione.

Ripeti il test dopo qualsiasi modifica. Hai cambiato telefono, sei passato a una nuova app di autenticazione o hai reimpostato una password? Esegui di nuovo il test. Sono le modifiche a far guastare i backup in silenzio, e un controllo di cinque minuti ora vale più di un blocco dell'account più tardi.

Cosa fare se il telefono è già andato perduto

Se hai salvato i codici di recupero o configurato il 2FA su un secondo dispositivo, usali per accedere come al solito. È esattamente per questo che i backup contano. Tieni i codici di recupero a portata di mano: li userai più volte nei prossimi minuti.

Una volta entrato:

1. Revoca le vecchie sessioni. Disconnetti tutti i dispositivi nelle impostazioni di sicurezza dell'account, così gli accessi dal telefono perso smettono di funzionare. Fai prima per email e account bancari: sono i bersagli preferiti di chi trova un telefono.
2. Rimuovi la vecchia voce 2FA e registra nuovamente l'autenticatore sul tuo nuovo telefono. Non limitarti ad aggiungere una seconda voce: quella vecchia, rimasta attiva, genererebbe codici validi nelle mani di chi ha il dispositivo.
3. Rigenera i codici di recupero se quelli vecchi erano memorizzati sul dispositivo perduto. Annota subito i nuovi in un posto sicuro.

Se non hai alcun backup, contatta il team di supporto di ciascun servizio. La maggior parte verificherà la tua identità — tramite documenti d'identità, cronologia dell'account o domande di sicurezza — prima di disattivare il 2FA. Prepara in anticipo data di iscrizione, indirizzi usati di recente e fatture: velocizza la verifica. Il recupero può richiedere giorni, e alcuni servizi potrebbero non riuscire a ripristinare l'accesso affatto: un buon argomento per fare un backup prima che accada.

Checklist rapida di backup

Segui questa lista una volta, poi ripetila ogni sei mesi o dopo qualsiasi cambio importante di dispositivo.

• Chiavi segrete salvate in forma crittografata. Sincronizzazione cloud attivata nella tua app di autenticazione, con una copia opzionale offline del codice QR originale o della chiave segreta conservata in un luogo sicuro. Se conservi il QR su carta, non fotografarlo col telefono che contiene anche le app di autenticazione: servirebbe a poco come backup e amplierebbe la superficie d'attacco.
• Codici di recupero conservati. Salvati nel tuo gestore di password, oppure stampati e tenuti insieme ai documenti importanti. Attenzione: alcuni servizi invalidano i vecchi codici quando ne richiedi di nuovi, quindi sostituisci anche la copia salvata, non solo quella recente.
• Secondo fattore di backup registrato. Un'app di autenticazione di riserva, una chiave di sicurezza hardware o un metodo alternativo configurato su un secondo dispositivo. Verifica che il numero di telefono associato al servizio sia ancora attivo: un numero dismesso rende inutili gli SMS di recupero.
• Backup testato. Accedi da un dispositivo secondario o da un profilo browser diverso per confermare che il backup funzioni davvero — un backup non testato è solo una speranza. Prova almeno un account importante, come la posta elettronica principale.

Ripeti il controllo ogni sei mesi, quando cambi telefono, quando cambi app di autenticazione e ogni volta che attivi il 2FA su un nuovo account. Dopo il passaggio a un nuovo telefono, controlla che le chiavi appaiano effettivamente nella nuova app prima di cancellare quelle del vecchio: la sincronizzazione cloud a volte si completa solo al primo accesso dell'app.

Due minuti di preparazione oggi prevengono settimane di recupero dell'account — o un account bloccato per sempre. Esegui il backup ora, testalo, e il tuo 2FA ti proteggerà senza mai bloccarti fuori.