Fondamenti dell'autenticazione a due fattori (2FA)
Come funziona il 2FA, perché le password da sole non bastano, e guida pratica per scegliere il metodo giusto: SMS, TOTP, FIDO2/WebAuthn e chiavi hardware.
Lettura fondamentale
Perché le password da sole non bastano
Anche una password perfetta può essere catturata dal phishing o da fughe server. Il 2FA aggiunge un livello che richiede possesso fisico.
Con il 2FA abilitato, un attaccante con la tua password ha ancora bisogno del secondo fattore.
I tre fattori: conoscenza (password), possesso (telefono, chiave), inerenza (biometria).
Approfondimenti correlati
SMS 2FA: meglio di niente, ma limitato
SMS invia un codice monouso via messaggio. È il più comune ma il meno sicuro (SIM swapping, intercettazione SS7).
NIST classifica SMS come autenticatore "limitato".
Se SMS è l'unica opzione, usalo. Ma migra a TOTP o chiavi hardware prima possibile.
TOTP: password monouso basate sul tempo
TOTP genera codici a 6 cifre che ruotano ogni 30 secondi. App: Google Authenticator, Authy, Microsoft Authenticator, 1Password.
Vantaggio: funziona offline, nessuna dipendenza dalla rete cellulare, non vulnerabile a SIM swapping.
Salva i codici di recupero in modo sicuro. Senza backup, perdere il dispositivo = perdere l'accesso.
FIDO2/WebAuthn: lo standard d'oro
FIDO2/WebAuthn usa crittografia a chiave pubblica. Il server conserva solo la chiave pubblica. Immune al phishing per design.
Chiavi hardware come YubiKey e Google Titan offrono la massima sicurezza.
FIDO2 fornisce resistenza al phishing, prova di presenza utente e verifica dell'origine crittografica.
Scegliere il metodo giusto
Alta sicurezza (email, banca, crypto): chiavi FIDO2 + TOTP come backup.
Aziendale: FIDO2 con politiche MDM.
Account personali: TOTP come minimo. Qualsiasi 2FA è meglio di nessuno.
Errori comuni del 2FA
Usare lo stesso telefono per SMS 2FA e recupero account.
Non generare codici di recupero.
Fare screenshot dei QR TOTP.
Approvare notifiche push inaspettate (MFA fatigue / push bombing).
- Non usare lo stesso telefono per SMS e recupero
- Sempre generare e salvare codici di recupero
- Mai fare screenshot dei QR TOTP
- Mai approvare push MFA inaspettati
- Registrare almeno due chiavi hardware
- Preferire TOTP o chiavi hardware a SMS
- Testare i metodi di recupero in anticipo
Prossimi passi
Ad · affiliate linkAbbina la tua password forte a una VPN affidabile
Una password sicura protegge i tuoi account, ma che dire della connessione stessa? Su reti Wi-Fi pubbliche o non protette, gli aggressori possono intercettare il traffico prima ancora che raggiunga la pagina di accesso.
Una VPN crittografa l'intera connessione internet, nascondendo il tuo vero indirizzo IP e proteggendo i tuoi dati da intercettatori, ISP e attacchi man-in-the-middle.
Abbiamo testato i principali provider VPN nel 2026 e NordVPN ha costantemente offerto il miglior mix di velocità, privacy e verifica della politica no-log.
| Funzionalità | NordVPN | ExpressVPN | Surfshark |
|---|---|---|---|
| Prezzo/mese | $3.39/mo | $6.67/mo | $2.49/mo |
| Server | 6,400+ | 3,000+ | 3,200+ |
| Protocollo | NordLynx | Lightway | WireGuard |
| No-log verificato | Sì | Sì | Sì |
| Kill switch | Sì | Sì | Sì |
| Dispositivi | 10 | 8 | в€ћ |
| Split tunneling | Sì | Sì | Sì |
Questo è un link di affiliazione. Se ti abboni tramite questo link, potremmo ricevere una commissione senza costi aggiuntivi per te — questo aiuta a mantenere il sito gratuito.