Come configurare la 2FA su account Google, Microsoft e Apple

Perché l'autenticazione a due fattori è importante

La tua password è la serratura della porta d'ingresso del tuo mondo digitale — e le serrature da sole falliscono più spesso di quanto siamo disposti ad ammettere.

Le password vengono riutilizzate su più siti, indovinate partendo da database trapelati, o semplicemente consegnate agli aggressori tramite email di phishing convincenti. Quando una password cade, cadono anche tutti gli account che la condividono. Se usi la stessa password per la posta e per un vecchio forum, basta che il forum venga violato anni dopo perché la tua casella di posta sia a rischio.

L'autenticazione a due fattori (2FA) risolve il problema richiedendo una seconda, separata prova di identità: un codice da un'app, una notifica su un dispositivo attendibile o una chiave di sicurezza fisica. Anche se qualcuno ruba la tua password, non può comunque entrare senza quel secondo fattore. Un aggressore che indovina la tua password a distanza non può nemmeno sapere quale codice a sei cifre la tua app genera ogni trenta secondi.

Gli account Google, Microsoft e Apple meritano un'attenzione speciale. Sono le chiavi principali di tutto il resto della tua vita:

• Google: email, foto, password salvate, documenti
• Microsoft: email, file di Office, OneDrive, accessi di lavoro
• Apple: foto iCloud, backup, dati di pagamento, sblocco dei dispositivi

Da questi account si ricevono infatti i codici di reimpostazione di quasi tutti gli altri servizi. Se ne perdi uno, un aggressore può reimpostare le password di quasi tutto il resto. Per gli account di lavoro, la 2FA è spesso già obbligatoria: meglio abituarsi ora.

Scegliere un metodo 2FA

Non tutti i secondi fattori proteggono allo stesso modo.

• Codici SMS — i più semplici da iniziare; niente da installare. Opzione più debole: i codici viaggiano sulla rete dell'operatore e possono essere intercettati o rubati tramite SIM swapping. Richiede segnale: in viaggio all'estero o in zona senza copertura resti senza accesso. Se proprio usi gli SMS, proteggi la SIM con un PIN e chiedi all'operatore una protezione anti-port-out.
• App di autenticazione (Google Authenticator, Microsoft Authenticator, Authy) — gratuite, generano codici offline sul tuo dispositivo. Molto più difficili da intercettare rispetto agli SMS. Piccolo fastidio: trasferire gli account a un nuovo telefono, quindi salva subito i codici di backup prima di disinstallare l'app o cambiare dispositivo.
• Notifiche push — tocca per approvare un accesso. Molto comode, ma approvazioni accidentali capitano; alcune app aggiungono il number matching per ridurre questo rischio. Regola pratica: mai approvare una notifica che non hai richiesta.
• Passkey — più recenti e resistenti al phishing per progetto, legate al tuo dispositivo e alle sue biometrie. Leggermente più impegno per la configurazione.
• Chiavi di sicurezza — piccole chiavi hardware che offrono la massima resistenza al phishing. Costano e possono perdersi, quindi comprane due: una da portare, una in riserva a casa.

A grandi linee: SMS < app < push < passkey ≈ chiave di sicurezza. Usa il metodo più forte supportato da ogni account e combina i metodi dove conta di più: per esempio passkey sulla posta principale, app di autenticazione sui servizi che non la supportano.

Come attivare la 2FA sul tuo account Google

Accedi a myaccount.google.com, apri Sicurezza e seleziona Verifica a due passaggi sotto "Come accedi a Google". Google ti chiederà prima di confermare la password.

Aggiungi un'app di autenticazione o una passkey

• App di autenticazione: Nelle impostazioni di Verifica a due passaggi, scegli "App di autenticazione", scansiona il codice QR con Google Authenticator o qualsiasi app TOTP compatibile, poi inserisci il codice a sei cifre mostrato per confermare. Fai questa operazione dal computer se possibile: scansionare il QR con la fotocamera del PC è più semplice che passare da telefono a telefono. Se il codice viene rifiutato, controlla che l'ora del telefono sia impostata su automatica: i codici TOTP dipendono dall'ora esatta.
• Passkey: Nella pagina Sicurezza, seleziona "Passkey" e segui le istruzioni per crearne una usando l'impronta digitale, il volto o il blocco schermo del dispositivo. Le passkey resistono al phishing e sono più veloci della digitazione dei codici. Creane una su ogni dispositivo che usi abitualmente, perché restano legate al singolo dispositivo.

Salva i codici di backup e aggiungi un fattore di backup

Prima di lasciare la pagina, scarica o stampa i tuoi codici di backup e conservali offline — in un cassetto, non come screenshot. Poi aggiungi un secondo metodo, come una chiave di sicurezza o l'app su un altro dispositivo, così un telefono smarrito non ti lascia fuori.

Come attivare la 2FA sul tuo account Microsoft

Accedi su account.microsoft.com, apri Sicurezza, quindi seleziona Opzioni di sicurezza avanzate.

Attiva la verifica in due passaggi:

1. In "Verifica in due passaggi", scegli Configura la verifica in due passaggi e segui le istruzioni.
2. Quando ti viene chiesto come vuoi verificare, scegli un'opzione come un'app, un numero di telefono o un indirizzo email alternativo.
3. Microsoft ti chiederà di confermare il metodo scelto con un codice di prova: completalo subito, prima di chiudere la pagina. Un metodo non verificato non ti proteggerà davvero.

Aggiungi l'app Microsoft Authenticator:

• Nello stesso menu, scegli Aggiungi un nuovo modo per accedere o verificare, quindi seleziona Usa un'app.
• Installa Microsoft Authenticator sul telefono, scansiona il codice QR mostrato sullo schermo e approva la notifica di prova.
• Se cambi telefono, non disinstallare l'app prima di aver rimosso e riaggiunto l'account dalla pagina di sicurezza: i codici TOTP non si trasferiscono da soli.

Configura il recupero prima di terminare:

• Aggiungi un indirizzo email di recupero in Informazioni di recupero per poter riaccedere se perdi il telefono. Usa un'email diversa da quella dell'account, non una casella collegata allo stesso indirizzo.
• Scarica o stampa il tuo codice di backup e conservalo in un posto sicuro, come un portafoglio o una cassaforte di casa.

Come attivare la 2FA sul tuo ID Apple

La versione di 2FA di Apple si chiama autenticazione a due fattori (Two-Factor Authentication), e sulla maggior parte degli account è già attivata. Per verificare, vai in Impostazioni (o Impostazioni di sistema su Mac), tocca il tuo nome in alto, quindi scegli Accesso e sicurezza (nelle versioni software precedenti, Password e sicurezza) e cerca Autenticazione a due fattori. Se è disattivata, tocca Attiva e segui le istruzioni: dovrai confermare la password del tuo ID Apple e rispondere a domande di sicurezza per verificare la tua identità.

La verifica si basa su due cose che controlli:

• Dispositivi trusted — un iPhone, iPad o Mac già connesso al tuo ID Apple, in grado di mostrare i codici di verifica
• Numeri di telefono trusted — numeri che possono ricevere un codice via SMS o tramite chiamata automatica

Quando accedi da un nuovo dispositivo o browser, inserisci la password, poi un codice a sei cifre appare su uno dei tuoi dispositivi trusted. Inserisci quel codice per completare l'accesso. Il codice può arrivare anche via SMS se nessun dispositivo trusted è raggiungibile, ad esempio quando vendi o ripristini il telefono.

Aggiungere un numero di telefono trusted a cui puoi accedere (va bene il numero di un partner o di un familiare) ti offre una soluzione di riserva se il tuo dispositivo abituale non è disponibile. Per farlo, torna in Accesso e sicurezza, tocca Numeri di telefono trusted e scegli Aggiungi. Controlla anche che i vecchi numeri, come uno associato a una SIM non più in uso, siano stati rimossi: un numero riciclato da un operatore finire nelle mani di un'altra persona è una vulnerabilità reale.

Nota che Apple non usa app autenticatore di terze parti per questa verifica: il codice viene generato sui dispositivi Apple stessi.

Codici di backup e pianificazione del ripristino

Quando attivi il 2FA, la maggior parte dei servizi offre codici di backup: codici monouso che ti consentono di accedere se il tuo metodo abituale non è disponibile. Generali, poi conservali offline—stampati su carta o in un documento sicuro su un'unità crittografata. Non lasciarli mai in un'app per note, in una bozza di email o in una cartella di screenshot: chi ottiene l'accesso al telefono o alla casella email trova lì la chiave che aggira il 2FA.

Se perdi il telefono o la chiave di sicurezza:

• Usa un codice di backup per accedere.
• Rimuovi il dispositivo smarrito dalle impostazioni 2FA del tuo account.
• Registra subito un sostituto.

Fallo appena rientri: un dispositivo smarrito ancora collegato resta un punto d'accesso valido finché non lo revori, e ogni giorno di ritardo è una finestra aperta.

Se non hai codici di backup, usa il recupero dell'account tramite il sito ufficiale del fornitore. Può richiedere giorni e il successo non è garantito—un altro motivo per generare i codici ora, non più tardi. Digita l'indirizzo a mano o usa un segnalibro: i link "recupero account" nelle email e nei messaggi sono un esca classica di phishing.

Tieni aggiornati i dati di ripristino. Verifica che l'email di ripristino e il numero di telefono siano ancora sotto il tuo controllo. Un vecchio numero riassegnato a qualcun altro è un modo per gli estranei di reimpostare la tua password. Controllali ogni sei mesi circa—per esempio quando cambi operatore, chiudi una vecchia email o passi a un nuovo telefono.

Errori comuni da evitare

Fare affidamento solo sugli SMS

I codici SMS sono meglio di niente, ma gli attacchi di SIM swap possono dirottare i tuoi messaggi sul telefono di un criminale. Basta che un truffatore convinca l'operatore telefonico a trasferire il tuo numero su una SIM nuova. Usa un'app di autenticazione o una passkey come secondo fattore principale, dove possibile. Se un servizio offre solo gli SMS, attivali comunque: una protezione parziale supera nessuna protezione.

Approvare notifiche push che non hai avviato

Se il telefono vibra con una richiesta di accesso che non hai avviato, qualcuno ha la tua password. Rifiuta la richiesta, cambia subito la password e controlla l'attività recente dell'account. Non toccare mai "Approva" solo per far smettere la notifica: gli aggressori hanno usato proprio questo comportamento per sfibrare le vittime, inviando richieste ripetute a notte fonda finché un tocco distratto non apriva la porta. Alcuni servizi ora limitano le approvazioni ripetute, ma non ci contare.

Dimenticare la 2FA quando si cambia telefono

Le app di autenticazione non si trasferiscono automaticamente con un normale backup. Prima di dismettere un telefono, sposta i tuoi account usando la funzione di esportazione o trasferimento dell'app, oppure registrali di nuovo manualmente sul nuovo dispositivo. Fallo mentre il vecchio telefono funziona ancora: dopo è spesso troppo tardi senza i codici di recupero.

Passo successivo: Passkey e chiavi di sicurezza

Le passkey sostituiscono i codici digitati con un accesso crittografico memorizzato sul tuo dispositivo. Sono più veloci da usare e resistenti al phishing: non c'è nessun codice da digitare che un sito falso possa rubare. Ogni piattaforma le supporta:

• Google: myaccount.google.com → Sicurezza → Passkey.
• Microsoft: account.microsoft.com → Sicurezza → Opzioni di sicurezza avanzate → aggiungi una passkey.
• Apple: Impostazioni → il tuo nome → Accesso e sicurezza → Passkey.

Prima di creare una passkey, verifica che il dispositivo offra il blocco dello schermo con PIN, impronta o volto: la passkey è protetta da quello. Se cambi telefono, usa lo strumento di migrazione della piattaforma per trasferirle; una passkey rimasta solo sul vecchio dispositivo perso è un problema in meno, ma anche un accesso in più da ricreare.

Una chiave di sicurezza hardware vale l'acquisto quando il tuo account è davvero di alto valore: è la tua email principale, oppure gestisci account amministrativi, finanziari o di lavoro sensibili. Le chiavi sono resistenti al phishing e funzionano anche se perdi il telefono. Apple richiede due chiavi registrate; il Advanced Protection Program di Google fa lo stesso. Conservane una come riserva in un posto sicuro: se l'unica chiave si rompe, resti fuori.

Ogni pochi mesi, controlla le tue impostazioni:

• Verifica che email e telefono di recupero siano aggiornati. Un numero disattivato blocca il recupero proprio quando serve.
• Rimuovi dispositivi e sessioni che non usi più.
• Ristampa i codici di backup se ne hai speso qualcuno.

Configura il 2FA oggi con un'app, aggiungi una passkey quando ti senti pronto e conserva i codici di recupero offline. Questo è fare sicurezza dell'account come si deve.