Una password, anche lunga e complessa, non è sempre sufficiente a proteggere un account. Può essere riutilizzata, sottratta attraverso un attacco di phishing o esposta in una violazione. L’autenticazione a due fattori, indicata anche come 2FA o autenticazione a due elementi, aggiunge un controllo ulteriore: oltre alla password serve una seconda prova della propria identità.

Questa prova può essere un codice generato da un’app, un messaggio SMS, una notifica sullo smartphone, una chiave di sicurezza fisica o, in alcuni casi, una passkey. Attivare la 2FA sui servizi che contengono dati personali, comunicazioni, documenti o informazioni di pagamento riduce in modo significativo il rischio di accessi non autorizzati. Di seguito sono riportati i passaggi generali per i principali servizi online e le precauzioni da adottare per non perdere l’accesso.

Quale metodo scegliere per il secondo fattore

Il metodo più semplice da usare è spesso la notifica sullo smartphone: dopo l’inserimento della password, il servizio invia una richiesta a un dispositivo già associato all’account. È comoda, ma richiede che il telefono sia disponibile e adeguatamente protetto.

Le app di autenticazione generano codici temporanei, normalmente validi per un breve periodo e utilizzabili anche senza connessione dati. Sono una scelta equilibrata per la maggior parte degli utenti. Prima di cambiare telefono, però, è importante verificare come trasferire gli account nell’app oppure conservare i codici di recupero.

L’SMS è generalmente più facile da configurare, ma offre una protezione inferiore rispetto a un’app o a una chiave fisica: il numero può essere oggetto di tecniche di sostituzione della SIM o di intercettazione. È comunque preferibile alla sola password e può essere utile come metodo di emergenza.

Le chiavi di sicurezza hardware offrono un livello elevato di protezione contro il phishing, perché devono essere inserite o avvicinate al dispositivo durante l’accesso. Le passkey, invece, utilizzano le credenziali sicure del dispositivo, come il riconoscimento biometrico o il PIN, e possono sostituire la password oppure affiancarla, a seconda del servizio. Quando disponibili, sono una soluzione molto pratica e resistente ai siti contraffatti.

Account Google

Per proteggere un account Google, accedi alla pagina del tuo account e apri la sezione relativa alla sicurezza. Cerca l’area dedicata alla verifica in due passaggi e avvia la configurazione. Il servizio chiede di confermare la password e propone i metodi disponibili, che possono includere notifiche sul telefono, app di autenticazione, SMS, passkey o chiavi di sicurezza.

Scegli il metodo principale, completa la verifica richiesta e conferma l’attivazione. Al termine controlla la sezione dei metodi alternativi: qui puoi aggiungere un secondo dispositivo affidabile, configurare un’app di autenticazione e generare i codici di backup. Questi codici monouso devono essere conservati fuori dalla casella email, ad esempio in un gestore di password o in un luogo sicuro offline.

È utile esaminare anche l’elenco dei dispositivi con accesso all’account e rimuovere quelli che non riconosci più. La protezione dell’account Google è particolarmente importante perché può essere collegato a posta elettronica, archiviazione cloud, fotografie, contatti e accessi ad altri servizi.

Account Microsoft

Per un account Microsoft, personale o utilizzato per servizi come Outlook, OneDrive e altri prodotti collegati, entra nelle impostazioni dell’account e apri la sezione Sicurezza. Cerca la pagina dedicata alle opzioni di sicurezza avanzate o alla verifica in due passaggi. Dopo aver confermato l’identità, puoi scegliere tra app Microsoft Authenticator, app compatibili, SMS, email alternativa, passkey o chiave di sicurezza, in base alle opzioni disponibili per il profilo.

L’app Authenticator consente di approvare una notifica oppure di utilizzare codici temporanei. Durante la configurazione, segui la procedura mostrata sullo schermo e completa la scansione del codice QR quando richiesta. Dopo l’attivazione, aggiungi almeno un metodo di riserva e scarica o annota i codici di recupero. Un indirizzo email alternativo non dovrebbe essere l’unico metodo di emergenza se dipende dallo stesso account o dalla stessa password.

Controlla periodicamente gli accessi recenti e revoca quelli associati a dispositivi non più utilizzati. Se l’account è gestito da un’organizzazione, alcune impostazioni possono dipendere dall’amministratore e non essere modificabili autonomamente.

Apple Account

La verifica a due fattori dell’Apple Account si gestisce dalle impostazioni dell’iPhone, dell’iPad o del Mac, oppure dalla pagina web dell’account. Su iPhone e iPad, apri le impostazioni del tuo account Apple e individua la sezione dedicata ad accesso e sicurezza; su Mac il percorso è analogo nelle impostazioni del sistema. Da qui puoi attivare l’autenticazione a due fattori e verificare i numeri di telefono attendibili.

Durante l’accesso da un nuovo dispositivo Apple o da un browser, il sistema può mostrare una notifica su un dispositivo già autorizzato e richiedere un codice. Assicurati che il numero di telefono associato sia ancora attivo e che almeno un dispositivo attendibile sia disponibile. Apple prevede anche procedure di recupero dell’account: configurarle in anticipo è preferibile a doverle avviare dopo aver perso il telefono o il numero.

Proteggi con un codice robusto ogni dispositivo attendibile, perché chi riesce a sbloccarlo potrebbe avere accesso ai metodi di verifica dell’account. Evita inoltre di comunicare a terzi i codici ricevuti: il supporto legittimo non dovrebbe chiederti di rivelare un codice di accesso.

Facebook, Instagram e altri servizi Meta

Su Facebook e Instagram l’impostazione si trova normalmente nelle sezioni relative a Centro gestione account, password e sicurezza oppure autenticazione a due fattori. Il nome preciso dei menu può cambiare tra app e versione web, ma il percorso parte dalle impostazioni del profilo e dalla voce dedicata alla sicurezza.

Seleziona l’account da proteggere e scegli il metodo preferito: app di autenticazione, SMS o, quando disponibile, chiave di sicurezza. Dopo la verifica iniziale, salva i codici di recupero e aggiungi un metodo alternativo. Attiva la protezione separatamente per ogni profilo importante, verificando che l’impostazione sia effettivamente associata all’account corretto.

La sezione degli accessi recenti permette di individuare sessioni sospette, dispositivi dimenticati o località insolite. In presenza di un accesso non riconosciuto, cambia subito la password, disconnetti le sessioni aperte e controlla che email e numero di telefono di recupero non siano stati modificati.

Amazon e altri servizi con pagamenti o dati sensibili

Per Amazon, apri il menu dell’account, entra nelle impostazioni di accesso e sicurezza e cerca l’opzione relativa alla verifica in due passaggi. Dopo aver confermato la password, scegli un numero di telefono oppure, se previsto, un’app di autenticazione. Completa il codice di verifica e controlla le opzioni per riconoscere i dispositivi utilizzati più spesso.

La stessa logica vale per banche online, piattaforme di pagamento, servizi cloud, social network e negozi digitali: cerca nelle impostazioni le voci sicurezza, accesso, privacy o autenticazione a due fattori. Se il servizio offre un’app di autenticazione o una passkey, valuta queste opzioni prima dell’SMS. Per gli account finanziari, segui anche le istruzioni specifiche dell’istituto, perché il secondo fattore può essere integrato nell’app bancaria o in un dispositivo autorizzato.

Codici di recupero, cambio telefono ed errori da evitare

Il momento più delicato arriva dopo l’attivazione. I codici di recupero consentono di entrare nell’account quando lo smartphone è smarrito, scarico o inutilizzabile. Salvali in un luogo protetto e non conservarli come unica copia nella stessa casella email che stai proteggendo. Non fotografarli e non inviarli in chat non sicure.

Prima di sostituire il telefono, trasferisci gli account dell’app di autenticazione, aggiungi il nuovo dispositivo e prova ad accedere. Verifica anche i numeri di recupero, le email alternative e le chiavi di sicurezza. Se usi un gestore di password, proteggilo con una password principale lunga e con un secondo fattore affidabile.

Non approvare notifiche di accesso che non hai richiesto e non inserire codici su pagine raggiunte da link sospetti. Gli aggressori possono tentare di convincerti a comunicare il codice in tempo reale: la 2FA protegge solo se il secondo fattore resta riservato. Infine, attiva gli avvisi per i nuovi accessi e controlla periodicamente i dispositivi autorizzati. Una configurazione corretta, accompagnata da password uniche e aggiornamenti regolari, rende molto più difficile compromettere gli account principali.