Metodi di verifica in due passaggi: SMS, app e passkey a confronto

La verifica in due passaggi significa che, per accedere, oltre alla password serve una seconda prova. Ma "verifica in due passaggi" non è un unico metodo: i codici SMS, le app di autenticazione e le chiavi di sicurezza o le passkey offrono livelli di sicurezza e comodità molto diversi. In questo articolo confrontiamo i metodi di verifica in due passaggi e spieghiamo quale ha senso per quale account.

Perché la verifica in due passaggi è importante?

Le password possono essere esposte da violazioni di dati, pagine di phishing o dal riutilizzo della stessa password su più siti. Un secondo passaggio rende più difficile aprire il tuo account con la sola password rubata. Quindi qualunque verifica in due passaggi è meglio di nessuna. La vera domanda non è "devo attivarla?", ma "quale metodo devo scegliere?".

Quando valuti un metodo, guarda tre cose: quanto resiste a furti d'identità e phishing, quanto è facile da usare ogni giorno e come puoi tornare nel tuo account se perdi il telefono.

Metodo 1: codici SMS

Un codice a sei cifre arriva sul tuo numero di telefono e tu lo digiti. È il metodo più semplice da configurare, non richiede app aggiuntive e tutti ne capiscono il funzionamento.

Pro: molto semplice da configurare, disponibile su quasi tutti i servizi, non richiede conoscenze tecniche.

Contro: la sicurezza dipende da chi controlla il tuo numero. I rischi principali sono il trasferimento del numero su un'altra SIM presso l'operatore (SIM swap), i messaggi che cercano di carpire i codici e il farsi convincere a leggere un codice a qualcun altro. All'estero o senza copertura potresti anche non ricevere i codici.

L'SMS è decisamente meglio di niente e a volte è l'unica opzione. Ma non dovrebbe essere la tua prima scelta per gli account di valore.

Metodo 2: app di autenticazione (TOTP)

Un'app sul telefono genera codici a validità breve che cambiano ogni 30 secondi. I codici vengono prodotti sul tuo dispositivo, quindi non servono SMS né connessione di rete.

Pro: anche se qualcuno si impossessa del tuo numero di telefono, i codici non arrivano all'aggressore. Funziona offline. Molti servizi la supportano.

Contro: se il telefono viene perso o ripristinato, l'accesso ai codici va perso con esso, quindi i codici di backup o la funzione di backup dell'app sono essenziali. Se digiti tu stesso un codice in una falsa pagina di accesso, il rischio resta, quindi non è del tutto immune al phishing.

Per la maggior parte delle persone è il miglior equilibrio tra sicurezza e comodità.

Metodo 3: chiavi di sicurezza e passkey

Una chiave di sicurezza (un dispositivo fisico che funziona tramite USB o NFC) e una passkey (una credenziale memorizzata sul telefono, sul computer o in un gestore di password e sbloccata con l'impronta o il volto) appartengono alla stessa famiglia. Non digiti nessun codice: il dispositivo dialoga con l'indirizzo reale a cui stai accedendo.

Pro: il metodo più resistente al phishing, perché non funziona su un sito falso. Non avendo codici da digitare è rapido e comodo.

Contro: non tutti i servizi lo supportano. Se perdi la chiave fisica o l'accesso all'account in cui è salvata la tua passkey, ti serve un piano di recupero. Una chiave fisica costa, ed è consigliabile acquistarne una di riserva.

Tabella di confronto

| Metodo | Resistenza al phishing | Rischio SIM swap | Comodità | Se perdi il dispositivo |
|---|---|---|---|---|
| Codice SMS | Bassa | Sì | Molto alta | Recuperabile riottenendo il numero |
| App di autenticazione | Media | No | Alta | Servono codici di backup o un backup dell'app |
| Chiave di sicurezza | Molto alta | No | Medio-alta | Una chiave di riserva è indispensabile |
| Passkey | Molto alta | No | Molto alta | Dipende dall'account con cui si sincronizza |

Le valutazioni indicano tendenze generali; i dettagli di implementazione possono variare da un servizio all'altro.

Quale metodo per quale account?

• Email, banca, cripto, gestore di password: una passkey o una chiave di sicurezza, se possibile; altrimenti un'app di autenticazione. La tua email è la chiave di recupero di tutto il resto, quindi dovrebbe essere l'account più protetto.
• Social media e messaggistica: un'app di autenticazione o una passkey. Usa l'SMS solo quando non c'è altra scelta.
• Acquisti, abbonamenti, gaming: un'app di autenticazione è sufficiente; usa una passkey se disponibile.
• Account usa e getta, una tantum: l'SMS è accettabile, purché non riutilizzi la stessa password altrove.

Se un account ti permette di registrare più di un metodo, impostane uno come principale e un altro come backup.

Numeri virtuali e verifica in due passaggi

I numeri virtuali monouso usati per ricevere i codici di verifica non ti danno una proprietà permanente. Questo rende il numero inadatto come base della verifica in due passaggi via SMS per il tuo account, perché non potrai riutilizzarlo in seguito. Se hai aperto un account con un numero virtuale, aggiungi subito un'app di autenticazione o una passkey dopo la configurazione e definisci un'email di recupero.

Alcune piattaforme potrebbero non accettare i numeri virtuali; in quel caso devi rispettare i termini del servizio. Se un codice non arriva, leggi perché il tuo codice SMS non arriva. Per i servizi e i paesi attuali, consulta la pagina dei prezzi.

Una breve checklist di configurazione

1. Attiva per primo il metodo più forte sul tuo account email.
2. Poi attivalo su banca, social media e gestore di password.
3. Registra almeno un metodo di backup per ogni account.
4. Conserva i codici di backup offline, in un luogo sicuro; non lasciare uno screenshot nel cloud.
5. Quando cambi telefono, non cancellare il vecchio finché non sei sicuro che l'app di autenticazione sia stata trasferita sul nuovo dispositivo.
6. Controlla ogni tanto gli elenchi "dispositivi attendibili" e "sessioni attive" nelle impostazioni del tuo account.

Errori comuni

Anche un buon metodo può essere indebolito da alcune abitudini:

• Non avere un piano di backup: restare bloccati per sempre fuori dall'account dopo aver perso il telefono è il problema più comune.
• Lasciare i codici di backup come screenshot nel cloud: se l'account viene violato, i codici finiscono nelle mani dell'aggressore.
• Dire un codice a qualcun altro: qualunque sia il metodo, condividere un codice annulla la protezione.
• Usare la stessa password ovunque: il secondo passaggio aiuta, ma non sostituisce delle buone abitudini con le password.
• Dire "sì" alle richieste di approvazione per abitudine: non accettare mai una notifica di approvazione che arriva quando non hai effettuato l'accesso.

Domande frequenti

La verifica in due passaggi via SMS non andrebbe mai usata?

No. L'SMS è molto più sicuro che non avere alcun secondo passaggio. Attivala quando è l'unica opzione disponibile e passa a un metodo più forte non appena diventa disponibile.

Una passkey sostituisce la password?

Su molti servizi una passkey ti permette di accedere al posto della password e funziona anche come secondo passaggio. A seconda del servizio, la password potrebbe restare accanto ad essa, quindi controlla le impostazioni.

Come rientro nel mio account se perdo il telefono?

Con i codici di backup salvati in precedenza, un secondo dispositivo registrato o una chiave di sicurezza di riserva. Preparare questi elementi durante la configurazione è il passaggio più importante.

Un'app di autenticazione e l'SMS possono restare attivi insieme?

Sulla maggior parte dei servizi, sì. Ma finché l'opzione SMS resta attiva, gli aggressori potrebbero provare quella strada, quindi, se puoi, lascia l'SMS solo come ultima risorsa.