Codici di recupero spiegati: come conservarli in sicurezza

Cosa sono i codici di recupero e perché esistono

L'autenticazione a due fattori (2FA) rende i tuoi account molto più difficili da violare — ma crea un nuovo problema: cosa succede quando il secondo fattore non è disponibile? I codici di recupero sono la risposta.

I codici di recupero sono un insieme di codici monouso emessi quando configuri la 2FA su un account. Ogni codice funziona una sola volta, permettendoti di accedere senza il tuo solito secondo fattore — nessuna notifica dall'app, nessun SMS. Una volta usato, quel codice è speso.

Esistono perché i secondi fattori si guastano nella vita di tutti i giorni:

• I telefoni si perdono, vengono rubati o si rompono
• Le app di autenticazione vengono cancellate quando passi a un nuovo dispositivo
• I numeri di telefono cambiano, interrompendo i codici SMS

Senza codici di recupero, perdere il secondo fattore può bloccarti fuori dal tuo stesso account — a volte per sempre. Il recupero tramite assistenza clienti, quando esiste, può richiedere giorni e la verifica della tua identità, e non è garantito per tutti i servizi.

Pensa al secondo fattore come a una serratura: i codici di recupero sono la chiave di riserva conservata in un posto diverso. Funzionano anche offline, quindi sono l'unica via d'ingresso se sei senza rete o senza batteria.

Una nota sulla nomenclatura: alcuni servizi li chiamano backup codes, altri dicono codici di recupero, e alcuni usano termini come recovery keys. La formulazione cambia; l'idea è identica — un set di riserva di codici di accesso monouso da conservare al sicuro. Di norma sono da otto a dieci, generati in un'unica sessione: se ne hai solo uno o due, probabilmente hai già consumato gli altri senza accorgertene.

Cosa Succede Se Non Li Salvi

Perdi il telefono, lo lasci cadere in un lago o configuri un nuovo dispositivo prima di trasferire la tua app di autenticazione, e i tuoi codici TOTP svaniscono con essa. Ripristinare un telefono da un backup che escludeva l'app, o semplicemente reinstallarla, può cancellare i tuoi codici altrettanto completamente. Molti gestori di autenticazione trattano i semi TOTP come dati sensibili e li escludono dai backup del cloud per motivi di sicurezza: il ripristino "automatico" su cui contavi semplicemente non avviene. Senza codici di recupero, il secondo fattore è semplicemente perduto.

Ciò che segue è raramente piacevole:

• Recupero tramite assistenza: Invii una prova d'identità — una scansione del documento, a volte un selfie — aspetti giorni o settimane, e potresti comunque essere rifiutato se le prove non soddisfano i loro criteri. Alcune persone non recuperano mai l'accesso.
• Blocco permanente: Alcuni servizi non offrono alcun percorso di recupero umano. Se i codici sono l'unica via di fallback e hai saltato il salvataggio, l'account è irraggiungibile — email, file, abbonamenti, qualsiasi cosa viva dietro di esso. E se l'account bloccato è la tua email primaria, il problema si moltiplica: ogni altro servizio che usa quell'indirizzo per il recupero diventa anch'esso inaccessibile.

I blocchi raramente avvengono in un momento comodo. Di solito è il momento in cui hai urgente bisogno dell'account: una scadenza fiscale, una candidatura di lavoro, le foto di famiglia. E il telefono rotto arriva spesso insieme — caduta, furto, aggiornamento fallito.

I codici di recupero esistono proprio per questo scenario. Sono il backup del tuo backup. Salvarli richiede due minuti; saltarlo può costare un account in modo permanente.

Conservare i codici di recupero in un gestore di password

La maggior parte dei gestori di password — Bitwarden, 1Password, KeePass e strumenti simili — include una funzione di note sicure o consente di allegare file. Entrambe le opzioni funzionano bene per i codici di recupero. Create una nota, incollate i codici e assegnatele un nome chiaro, ad esempio "Codici di recupero Google". Se il servizio usa un formato particolare (elenco di dieci o sedici codici, a volte con etichette), incollatelo così com'è: non tagliare, non riassumere. Un codice mancante è un codice inutile nel momento del bisogno.

Perché questo metodo funziona bene

• Archiviazione crittografata. I vostri codici sono protetti dalla stessa crittografia delle vostre password.
• Ricercabile. Digitate il nome del servizio e i codici compaiono all'istante — senza frugare nei cassetti. Usate sempre lo stesso schema di nomi ("Codici di recupero + nome del servizio") per ritrovarli anche dopo anni.
• Sincronizzato su più dispositivi. I codici sono disponibili su telefono, laptop o tablet.
• Pronto per i nuovi dispositivi. Quando accedete a un account da un dispositivo sconosciuto, potrebbe esservi chiesto un codice 2FA che non potete ancora generare. I codici di recupero conservati nel vostro gestore sono lì quando vi servono.

Errore comune: salvare i codici solo su un dispositivo locale, ad esempio in un file di testo sul laptop. Se il laptop si rompe o viene rubato, i codici spariscono con esso. La sincronizzazione del gestore è ciò che rende il metodo affidabile.

Un'avvertenza importante

Se dimenticate la password principale, perdete tutto ciò che contiene: le password e i codici di recupero insieme. Per questo molte persone conservano una copia cartacea come ultima risorsa, come illustrato nella sezione successiva.

Archiviazione offline: carta e copie fisiche

Il metodo offline più semplice è anche il più antico: scrivete i vostri codici o stampateli, poi mettete il foglio dove un ladro non ci sbatterebbe la testa per caso — una cassaforte domestica, un cassetto chiuso a chiave o una scatola portadocumenti a prova di fuoco.

Se stampate, usate una stampante personale, non quella dell'ufficio: molte stampanti aziendali conservano una copia dei documenti stampati nella memoria interna o nella coda di stampa, e non avete controllo su chi le accede o su cosa ne succede quando la stampante viene smaltita. Se scrivete a mano, usate una penna e non una matita: la grafite sbiadisce e si cancella con il tempo, l'inchiostro no. Scrivete in caratteri chiari e distinguete con attenzione 0 da O e 1 da l — un codice letto male al momento del bisogno vale come un codice perso.

Perché l'offline vince in termini di sicurezza

La carta ha un grande vantaggio rispetto a ogni opzione digitale: non c'è nulla da bucare. Un foglio stampato non può finire in una violazione di dati, non può esservi estorto con il phishing e continua a funzionare quando il telefono si scarica o il disco del portatile si guasta. Se domani la vostra intera vita digitale fosse compromessa, i codici su carta sarebbero comunque al sicuro.

I compromessi

I punti deboli della carta sono fisici:

• Perdita o danneggiamento — fuoco, acqua e distrattezza distruggono la carta. Tenetela all'asciutto, lontano dal calore, e valutate una seconda copia in un luogo diverso. Se la seconda copia è in casa di una persona fidata, chiedetevela solo quando serve: chi la conserva non deve conoscerne il contenuto.
• Scoperta da parte di altri — chiunque trovi un foglio senza etichetta pieno di codici casuali potrebbe capire di cosa si tratta. Conservatelo con discrezione, idealmente senza il nome del sito in lettere grandi.

Attenzione a un errore comune: buttate subito il foglio vecchio quando rigenerate i codici. Un foglio dimenticato con codici non più validi non è pericoloso di per sé, ma crea confusione nel momento critico, quando restano pochi minuti per rientrare nell'account.

Trattate il foglio come una chiave di casa di scorta: nascosto, protetto e mai lasciato in bella vista.

Cosa evitare

I codici di recupero sono sicuri quanto il luogo in cui li conservi. Pochi errori comuni annullano tutto il lavoro fatto dall'2FA.

Testo in chiaro e luoghi "comodi"

Non conservare mai i codici di recupero in:

• File di testo semplice sul desktop
• Bozze di email o email inviate a te stesso
• App di note senza crittografia
• Drive cloud non protetti da autenticazione forte

Chiunque ottenga accesso alla tua casella di posta, al computer o all'account cloud ha una scorciatoia per bypassare il tuo 2FA — esattamente ciò che i codici dovrebbero prevenire. Il problema di fondo è la logica: se proteggi un account con 2FA e poi salvi la chiave di soccorso nello stesso account (o in uno protetto dallo stesso sistema), un singolo compromesso abbatte entrambi gli strati. La comodità è il nemico: i luoghi "facili" sono facili anche per un attaccante.

Screenshot

Non acquisire i codici in uno screenshot nel rullino fotografico. Le foto del telefono vengono spesso sincronizzate automaticamente con l'archiviazione cloud, raramente sono crittografate e sono facili da esporre — tramite un album condiviso, un tecnico di riparazione o un telefono smarrito. Uno screenshot sembra salvare una copia; in realtà la pubblica. Errore frequente associato: ritagliare l'immagine o cancellarla dopo, dimenticando che il backup cloud conserva la versione originale e il cestino. Se hai già scattato uno screenshot, elimina la foto, svuota il cestino e verifica che la sincronizzazione non abbia già propagato la copia; in dubbio, rigenera i codici.

Condividere i codici quando chiedi aiuto

Non incollare mai i codici di recupero nei ticket di supporto, nei messaggi di chat o nei forum — nemmeno per provare chi sei. Il personale di supporto legittimo non li chiederà mai. Un codice condiviso in un messaggio può essere copiato, inoltrato o registrato, e funziona esattamente come una password. Se l'hai già fatto, usa subito il codice per rientrare e rigenera l'intero set: ogni codice esposto va considerato bruciato.

Uso e rigenerazione dei codici di ripristino

Ogni codice funziona una sola volta

I codici di ripristino sono monouso. Una volta effettuato l'accesso con uno, è esaurito. Tieni traccia: se i tuoi codici sono su carta, barrane uno ogni volta che lo usi. Se sono in un password manager, elimina la voce usata o contrassegnala chiaramente. Così eviti il momento frustrante di provare tre codici solo per scoprire che due erano già esauriti.

Alcune piattaforme mostrano accanto a ogni codice un indicatore di utilizzo o la data dell'ultimo impiego: controllala prima di barrare, perché se hai due set diversi (per esempio uno su carta e una vecchia copia), potresti barrare il codice sbagliato. Se non sei certo che un codice sia stato consumato, provalo per primo in un momento in cui hai ancora accesso all'account: se viene accettato, lo aggiorni; se viene rifiutato, sai che era esaurito e non hai perso nulla.

Quando rigenerare

Genera un nuovo set se sospetti un'esposizione — uno screenshot condiviso, una nota in una cartella sincronizzata di cui non ti fidi più, una borsa andata perduta. Valuta anche di rigenerare dopo averne usati diversi, così la tua riserva rimanente resta in buono stato.

Un dettaglio fondamentale: la rigenerazione di solito invalida immediatamente tutti i vecchi codici. Salva il nuovo set nella tua posizione di archiviazione prima di lasciare la pagina delle impostazioni, altrimenti potresti ritrovarti escluso dal tuo account. Attenzione anche al caso inverso: se rigeneri da un dispositivo che poi si spegne o perde la connessione prima che tu abbia salvato, i vecchi codici sono già morti e i nuovi non sono da nessuna parte.

Nuovi account, nuovi codici

Ogni volta che attivi il 2FA su un nuovo account, riceverai nuovi codici di ripristino. Inseriscili subito nel tuo sistema di archiviazione esistente — un'abitudine costante batte diverse improvvisate. Se salti questo passaggio "lo farò dopo", il "dopo" di solito arriva solo quando sei bloccato fuori.

Una semplice routine di archiviazione che funziona

Una configurazione funzionante richiede solo due copie:

• Primaria: i codici di recupero salvati nel tuo gestore di password come nota sicura, accanto alla voce di accesso dell'account.
• Backup: una copia cartacea conservata in un luogo sicuro a casa — un cassetto chiuso a chiave, una cassetta a prova di fuoco o una cassaforte domestica.

Due copie bastano perché coprono i due guasti più comuni: il gestore di password non accessibile (telefono smarrito, cassetta dimenticata) e la copia cartacea persa o distrutta. Se una copia manca, l'altra ti salva; se mancano entrambe, il recupero diventa una lunga trattativa con l'assistenza, senza garanzie.

Rendi ritrovabile la copia cartacea

Etichettala chiaramente con il nome dell'account e la data in cui l'hai salvata: "ExampleMail — codici di recupero — salvati giugno 2025." Sei mesi dopo, un pezzo di carta senza etichetta è inutile. La data ti dice anche se i codici sono ancora validi. Errore frequente: mescolare i fogli di più account in una stessa busta. Una busta per account, o un foglio con l'elenco dei servizi su un lato, evita di dover indovinare a quale account appartiene ogni codice.

Provala una volta

Un backup che non hai mai testato è un'ipotesi. Esci oppure usa un secondo dispositivo, accedi con un codice di recupero dalla tua copia cartacea, conferma che funzioni, poi rigenera i codici e aggiorna entrambe le copie. Un test, fatto. Attenzione a un dettaglio: alcuni servizi invalidano i codici rimanenti dopo un singolo uso riuscito. Se dopo il test la tua copia cartacea mostra codici già barrati o assenti, rigenera tutto e riscrivi il foglio prima di riporlo.

In sintesi

Salva i codici nel momento in cui attivi il 2FA, conserva due copie, etichetta e datane quella cartacea, testa il piano una volta. Aggiungi un promemoria annuale — alla stessa data del test, ad esempio — per controllare che entrambe le copie esistano ancora. Questa è l'intera routine — e trasforma un'emergenza di blocco dell'account in una soluzione di due minuti.