App di autenticazione senza telefono: come avere i codici 2FA sul computer

Accedi alla maggior parte dei servizi da Chrome. Un’estensione per browser tiene i codici dove li digiti. 2FA Authenticator – Autenticatore inserisce il codice nel campo con un clic destro o Ctrl+Shift+Y e scansiona il codice QR di configurazione direttamente dalla pagina; una nuova installazione può avere un limite di account gratuiti, e Pro lo rimuove. Authenticator (authenticator.cc) è gratuito, ha molti più utenti e supporta più tipi di codice, anche se la sua versione sul Chrome Web Store è stata aggiornata l’ultima volta a agosto 2024.

Vuoi un’app fuori dal browser. Proton Authenticator ed Ente Auth sono gratuite e open source, funzionano su Windows, macOS e Linux oltre che sui telefoni, e non richiedono un account a meno che tu non voglia la sincronizzazione: un telefono può diventare una seconda copia più avanti, oppure mai. KeePassXC tiene i codici nel suo file di database cifrato sul computer e può inserirli nel browser tramite la sua estensione.

Paghi già un password manager. Bitwarden (Premium, $19.80/anno) e 1Password generano i codici e li inseriscono subito dopo la password, ed entrambi documentano la lettura del codice QR di configurazione dallo schermo. Il rovescio della medaglia è spiegato più sotto, nella sezione su codici e password tenuti insieme.

Vuoi i segreti del tutto fuori dal computer. Una YubiKey con l’app Yubico Authenticator conserva il segreto di ogni account nel secure element della chiave, da cui, secondo Yubico, non può essere estratto. L’app funziona su Windows, macOS e Linux, scansiona il codice QR di configurazione dallo schermo e mostra i codici mentre la chiave è collegata. Una YubiKey 5 contiene fino a 64 account con il firmware 5.7 e successivi, 32 con firmware precedenti. La chiave va acquistata, e poiché i segreti non si possono copiare altrove, Yubico consiglia di registrare una seconda chiave come backup.

Un computer può sostituire un’app di autenticazione. Non può sostituire un telefono quando è il servizio stesso ad aver fatto del telefono il secondo fattore:

Codici solo via SMS o email. Alcuni servizi non offrono affatto l’opzione dell’app di autenticazione: il codice arriva via SMS o email, e non c’è nulla che un autenticatore possa generare. L’Account Apple è un caso noto: l’assistenza Apple dice che il codice viene mostrato sui tuoi dispositivi Apple attendibili o inviato al tuo numero di telefono attendibile, e non descrive alcuna app di autenticazione di terze parti.

L’app del servizio. Alcune banche confermano gli accessi nella propria app invece che con codici standard; Truist, per esempio, usa la sua app mobile Truist Authenticator. Se il tuo datore di lavoro richiede l’approvazione in una certa app, anche questa è una sua scelta, e i codici di un’altra app non verranno accettati.

Configurazione solo nell’app per telefono. L’assistenza di TikTok descrive l’attivazione della verifica in due passaggi con app di autenticazione solo nell’app mobile di TikTok, e chiede un secondo metodo come un numero di telefono o un’email. Una volta configurata, i codici possono stare ovunque: la nostra guida a TikTok mostra come portare il codice QR dal telefono all’estensione.

Codici che sono già su un telefono. Se oggi i tuoi account sono in Google Authenticator, ti serve il telefono una volta per esportarli (vedi importare da Google Authenticator), oppure configuri di nuovo ogni account dal computer.

L’autenticazione a due fattori dovrebbe richiedere due cose diverse. Se il computer che ricorda le tue password genera anche i tuoi codici, chi prende il controllo di quel computer (un malware che copia i dati del browser, o una persona davanti alla tua scrivania con il computer sbloccato) potrebbe ottenere entrambi. La guida di KeePassXC lo dice senza giri di parole: tenere i codici TOTP nello stesso database della password elimina i vantaggi dell’autenticazione a due fattori, e suggerisce un database separato da sbloccare solo quando serve.

Quello che i codici sul computer bloccano comunque è la causa della maggior parte dei furti di account: una password trapelata da un altro sito, indovinata o digitata in una pagina di phishing. L’attaccante ha la password ma non il tuo computer, quindi niente codice. Un telefono aggiunge protezione soprattutto contro chi controlla già il tuo computer.

1. Blocca i codici. Attiva la protezione con password in 2FA Authenticator – Autenticatore: i codici vengono cifrati sul tuo dispositivo, backup compresi, e non si possono leggere senza la tua password. App desktop e password manager hanno i loro blocchi: usali.

2. Tieni i codici separati dalle password. Codici in un’app o estensione a parte, invece che nella cassaforte delle password, significano che una password principale rubata non basta.

3. Tieni un backup fuori dal computer. 2FA Authenticator – Autenticatore fa una copia automatica una volta al giorno e conserva le ultime sette, ma quelle copie vivono dentro l’estensione e spariscono con lei se la rimuovi. Esporta un file protetto da password su una chiavetta USB o in un altro posto che controlli: come fare il backup.

4. Salva i codici di recupero di ogni sito. Ti fanno rientrare se il computer si perde o si guasta, senza alcun autenticatore. Stampali o conservali lontano da questo computer.

5. Aggiungi un telefono più avanti, se ne hai uno. Scansionare lo stesso codice QR con un’app per telefono durante la configurazione ti dà un secondo dispositivo che mostra gli stessi codici: un backup, non un obbligo.

1. Installa un autenticatore sul computer: il nostro è 2FA Authenticator – Autenticatore.

2. Accedi al sito e apri le impostazioni di sicurezza. Attiva l’autenticazione a due fattori (a volte chiamata verifica in due passaggi) e, se ti propone prima gli SMS, scegli app di autenticazione. Le nostre guide mostrano dove si trova per 108 servizi.

3. Il sito mostra un codice QR. In 2FA Authenticator – Autenticatore: Aggiungi Account → Codice QR → «Scansiona QR dallo schermo». Se non viene letto, usa il link del sito «Non riesci a scansionare il codice QR?» o «Inserisci manualmente» e incolla la chiave di testo: dove trovare la chiave segreta.

4. Digita sul sito il codice a sei cifre dell’estensione. Finché non lo fai, la 2FA non è attiva.

5. Salva i codici di recupero che il sito ti mostra subito dopo, poi fai il backup dell’autenticatore stesso.

Se il sito rifiuta il codice, di solito è perché ha creato un nuovo codice QR dopo che hai scansionato il primo: ricomincia la configurazione e scansiona il codice che vedi ora sullo schermo. Altre cause in perché i codici non funzionano.