Il codice 2FA non funziona? Perché un codice di autenticazione viene rifiutato e come risolvere

È la causa in cui cade la maggior parte delle persone durante la configurazione. Un sito crea un nuovo segreto, e quindi un nuovo codice QR, ogni volta che la sua pagina di configurazione della 2FA viene ricaricata, riaperta o ricominciata. Il centro assistenza di Remote descrive proprio questo: qualsiasi codice QR scansionato prima smette di funzionare. Il tuo autenticatore mostra ancora i codici del primo codice QR, il sito ora si aspetta quelli del nuovo, e niente sullo schermo ti avverte che non corrispondono più.

Soluzione: ricomincia la configurazione della 2FA sul sito e resta su quella pagina. Aggiungi il codice QR che vedi ora sullo schermo (con la nostra estensione, Aggiungi Account → Codice QR → «Scansiona QR dallo schermo») e digita subito sul sito il codice che mostra, senza ricaricare né lasciare la pagina. Poi salva i codici di backup che il sito ti offre.

Lo stesso succede dopo aver disattivato e riattivato la 2FA, o dopo aver fatto clic su «cambia app di autenticazione»: la vecchia voce nella tua app smette di funzionare e conta solo il nuovo codice QR.

Dopo un secondo tentativo di configurazione, lo stesso sito compare spesso due volte nell’elenco, con lo stesso nome. Funziona solo la voce del codice QR che hai aggiunto per ultimo: quella più vecchia appartiene a un codice QR che il sito ha già scartato. Durante la configurazione, il sito vuole sempre il codice dell’account che hai appena aggiunto.

La stessa confusione capita con due account sullo stesso sito, per esempio un account Google personale e uno di lavoro. Per un codice errato, Google stesso consiglia di verificare che il codice sia del servizio giusto e dell’account giusto. Guarda il nome sotto il codice, non solo il logo.

Soluzione: usa la voce più recente. Quando un suo codice è stato accettato, puoi eliminare quella vecchia; prima esporta un backup (Impostazioni → «Esporta») nel caso sbagliassi voce.

Un autenticatore mostra i codici solo per gli account aggiunti a lui. Se mesi fa hai attivato la 2FA per un sito con Google Authenticator, Microsoft Authenticator o un vecchio telefono, i suoi codici sono lì: una voce che aggiungi altrove in seguito non corrisponderà, a meno che non sia stata creata dallo stesso identico codice QR.

Soluzione: prendi il codice dall’app che hai usato durante la configurazione. Per spostare l’account, esportalo da quell’app (il codice QR di esportazione di Google Authenticator si importa direttamente nella nostra estensione: vedi importare da Google Authenticator) oppure accedi, apri le impostazioni 2FA del sito e configura di nuovo l’autenticatore, questa volta con la nuova app. Tieni la vecchia app finché un codice della nuova non è stato accettato. Ne parliamo anche in trasferire la 2FA su un nuovo telefono.

Non tutte le caselle a sei cifre aspettano il tuo autenticatore. Molti siti inviano un codice via SMS o email (all’accesso, o per confermare il tuo indirizzo prima ancora che la 2FA sia attiva), e lì funziona solo quel codice. Il centro assistenza di Remote dice la stessa cosa: un codice inviato alla tua email non è un codice 2FA di un’app di autenticazione. Se la pagina dice «ti abbiamo inviato un codice…», guarda tra i messaggi o nella posta in arrivo, non nell’app.

Alcune pagine di accesso chiedono invece un codice di backup (chiamato anche codice di recupero): uno dei codici monouso che il sito ti ha dato in un elenco quando hai configurato la 2FA. Quelli stanno sul foglio o nel file in cui li hai salvati, non nell’autenticatore, e non sono chiavi segrete: aggiungerne uno a un autenticatore come account produce codici che nessun sito accetterà. Li hai persi? Google, per esempio, ti permette di ottenere nuovi codici di backup dalle impostazioni della verifica in due passaggi finché hai ancora accesso.

Soluzione: leggi il testo sopra la casella. «App di autenticazione», «app di verifica» o «codice dalla tua app» indicano l’autenticatore; qualsiasi altra cosa indica il messaggio, l’email o l’elenco dei codici di backup.

La maggior parte dei codici di autenticazione cambia ogni 30 secondi: lo dicono anche le FAQ di Microsoft sulla propria app. Un codice digitato negli ultimi secondi di validità può arrivare al sito quando è già cambiato.

Soluzione: se il timer è quasi esaurito, aspetta il codice successivo e inseriscilo subito. Nella nostra estensione, un clic sul codice lo copia, così puoi incollarlo invece di digitarlo.

Se hai aggiunto l’account digitando la chiave segreta invece di scansionare il codice QR, un solo carattere sbagliato dà una chiave diversa. I suoi codici sembrano perfettamente normali e vengono semplicemente rifiutati.

Soluzione: nella pagina di configurazione del sito (la stessa, non ricaricata) copia di nuovo la chiave e incollala nel nostro generatore di codici TOTP, che funziona nel tuo browser e non salva nulla. Confronta il suo codice con quello del tuo autenticatore. Se sono diversi, la chiave nell’autenticatore è sbagliata: elimina quella voce e aggiungila di nuovo incollando la chiave o scansionando il codice QR. Se coincidono e il sito continua a rifiutarli, torna alla prima causa.

Alcuni servizi usano otto cifre, SHA256 o un periodo di 60 secondi invece delle solite sei cifre, SHA1 e 30 secondi. Un codice QR contiene queste impostazioni, una chiave digitata a mano no: impostale come indica il sito. Vedi algoritmo, cifre e periodo.

Un codice si genera dalla chiave segreta e dall’ora attuale, quindi un’app su un dispositivo con l’orologio sbagliato genera codici che vengono rifiutati. Con un’app sul telefono, attiva data e ora automatiche nelle impostazioni del telefono. Google Authenticator si basa sull’orologio del telefono: Google ha rimosso la sua impostazione separata di correzione dell’ora nella versione 7.0.

Con 2FA Authenticator – Autenticatore non c’è nulla da cambiare: l’estensione controlla da sola l’ora su più fonti e corregge i codici se l’orologio del computer è sfasato. Solo se non ci riesce mostra un avviso sull’ora: in quel caso segui i passaggi nelle FAQ.

Accedi in un altro modo (un codice di backup, un SMS o un codice via email, quello che il sito offre), poi apri le sue impostazioni 2FA, disattiva e riattiva l’autenticatore e aggiungi il nuovo codice QR. Le nostre guide mostrano dove si trova questa impostazione per 108 servizi.

Non eliminare voci e non reinstallare l’autenticatore sperando di sistemare un codice: i codici non cambieranno, e potresti perdere l’unica voce che funziona. Disinstallare la nostra estensione elimina anche le sue copie automatiche; se hai già eliminato un account, ripristinalo da una copia automatica.