Domande Frequenti

Puoi aggiungere un account in quattro modi:

• Inserimento manuale: clicca «Aggiungi account» e digita il nome dell'account e la chiave segreta dalla pagina di configurazione 2FA del servizio.

• Codice QR: clicca «Aggiungi account», passa alla scheda «Codice QR» e carica uno screenshot o una foto del codice — oppure scansionalo con la fotocamera, o direttamente dallo schermo.

• Incolla un link: Impostazioni → «Incolla link». Un singolo link otpauth://, o un intero elenco, uno per riga. È così che si spostano cento account da un'altra app in una sola azione.

• Un file: importa un .txt di link otpauth://, un backup di questa estensione, o un file CXF di un altro autenticatore.

Nel servizio che stai proteggendo — Gmail, GitHub, la tua banca —, non in questa estensione. L'estensione non invia mai un codice QR o una chiave via email o SMS: legge quello che ti mostra il servizio e lo trasforma in codici.

• Accedi al servizio e apri le sue impostazioni di sicurezza
• Attiva l'autenticazione a due fattori (a volte chiamata verifica in due passaggi). Se prima ti propone SMS o email, scegli l'opzione app di autenticazione: è quella che mostra un codice QR
• Il codice QR compare sullo schermo. Nell'estensione: Aggiungi Account → Codice QR → «Scansiona QR dallo schermo»
• Non riesci a scansionarlo? Cerca accanto un link come «Non riesci a scansionare il codice QR?» o «Inserisci manualmente». Mostra la chiave segreta: di solito 16-32 caratteri, lettere A–Z e cifre 2–7, per esempio JBSWY3DPEHPK3PXP. Aggiungila con Aggiungi Account → Manuale → «Chiave Segreta»
• Inserisci nel servizio il codice a sei cifre dell'estensione. Finché non lo fai, l'autenticazione a due fattori non è attiva

No, non c'è niente da consentire. L'estensione non chiede in anticipo l'accesso a nessun sito. Chrome le permette di vedere una pagina solo nel momento in cui la usi lì:

• «Scansiona QR dallo schermo» cattura la pagina che hai davanti quando fai clic. L'accesso viene dall'aprire l'estensione con la sua icona nella barra degli strumenti su quella pagina
• «Inserisci codice 2FA», nel menu del tasto destro, compila il campo su cui hai fatto clic con il tasto destro: il clic stesso è il permesso. È attivo per impostazione predefinita; Impostazioni → «Inserire il codice con il tasto destro» lo disattiva e lo riattiva

Quindi nel menu «Accesso ai siti» di Chrome per questa estensione non c'è niente da attivare, e «Su tutti i siti» non serve.

Se «Scansiona QR dallo schermo» dice che non è riuscito a catturare la pagina:

• Chrome protegge alcune pagine da tutte le estensioni: le sue pagine delle impostazioni, il Chrome Web Store, i PDF. Il codice QR deve trovarsi in una normale pagina web
• Se hai aperto l'estensione prima di andare sulla pagina con il codice QR, chiudila e riaprila dall'icona nella barra degli strumenti su quella pagina
• Oppure salva uno screenshot del codice QR e usa Aggiungi Account → Codice QR → «Scegli immagine»

«Scansiona QR con la fotocamera» è diverso: apre una pagina che chiede di usare la fotocamera. Se hai fatto clic su Blocca, consenti la fotocamera per quella pagina nelle impostazioni del sito di Chrome (l'icona a sinistra della barra degli indirizzi) e riprova.

Quando apri l'estensione su un sito web, mette in evidenza l'account che corrisponde a quel sito e lo contrassegna come «Suggerito», così non devi cercarlo. Ricorda anche quale account hai usato su ciascun sito.

Per disattivarlo: Impostazioni → «Browser» → «Suggerisci l'account per questo sito». Disattivandolo si cancella anche ciò che aveva memorizzato.

Legge solo l'indirizzo della scheda in cui ti trovi, e solo mentre l'estensione è aperta. Niente di tutto questo viene inviato al nostro server.

Sì. Collega un account al suo sito e lì verrà proposto sempre quello:

• Apri il sito, fai clic destro sull'account e scegli «Usa su …»
• Oppure apri «Modifica account» e scrivi l'indirizzo in «Siti web»: va bene anche incollare il link intero

Su quel sito l'account è in cima all'elenco sotto «Per questo sito», e clic destro nel campo del codice → «Inserisci codice 2FA» lo inserisce senza chiedere.

Un sito copre anche i suoi sottodomini, e vince il più specifico. Collega un account a example.com e un altro ad admin.example.com: admin.example.com mostra solo il secondo, example.com e gli altri sottodomini solo il primo. Un account collegato a dei siti non viene mai suggerito altrove.

Per copiare il codice invece di inserirlo, fai clic destro in un altro punto della pagina → «Copia il codice 2FA per questo sito».

I siti sono salvati dentro l'account sul tuo computer, cifrati insieme a esso se la protezione con password è attiva, e non vengono mai inviati al nostro server.

Di solito il codice in sé è giusto: appartiene a un codice QR diverso da quello che il sito si aspetta. L'estensione controlla l'ora da sola, quindi sul computer non c'è nulla da cambiare.

Cosa succede di solito, e cosa fare:

• Il sito ha creato un nuovo codice QR. Lo fa ogni volta che la sua pagina di configurazione viene ricaricata o riaperta, e l'account che hai aggiunto prima smette di corrispondere. Ricomincia la configurazione sul sito, aggiungi il codice QR che vedi ora sullo schermo e digita subito il suo codice
• Il codice veniva da un'altra voce. Se lo stesso sito compare due volte nell'elenco, quella che funziona è la voce più recente, e durante la configurazione il sito vuole il codice dell'account che hai appena aggiunto
• L'autenticazione a due fattori era già configurata altrove, per esempio in un'app sul telefono. L'estensione mostra i codici solo degli account aggiunti all'estensione stessa. Per spostare qui quell'account, configura di nuovo l'autenticatore sul sito, questa volta con l'estensione
• Il sito vuole un altro codice: quello che ti ha mandato via SMS o email, non uno di un'app di autenticazione

Se il codice sta per cambiare, aspetta il successivo. Prima di eliminare una vecchia voce, esporta un backup (Impostazioni → «Esporta»). E se l'estensione stessa mostra un avviso sull'ora, fai quello che dice.

Per fare il backup dei tuoi account:

• Clicca l'icona Impostazioni (ingranaggio)
• Clicca «Esporta»
• Scegli come salvare il file:

• Protetto da password (consigliato) — il file è inutile per chi non conosce la password. Ricordala: senza, il file non si apre.
• File semplice — l'intero backup come JSON leggibile. Solo per un posto che controlli completamente.
• Link otpauth:// — un link per riga in un file .txt. Quasi ogni altro autenticatore sa leggerlo, ed è quindi il formato da usare per trasferirsi altrove.
• Formato standard (CXF) — il formato di interscambio FIDO accettato da altri gestori di password e autenticatori.

Solo il primo è cifrato. Gli altri tre contengono le tue chiavi segrete in chiaro, e chiunque abbia quel file può generare i tuoi codici 2FA.

Per ripristinare gli account da un backup:

• Clicca «importa da backup» nella schermata principale
• Scegli il file — un backup di questa estensione (JSON), un .txt di link otpauth://, o un file CXF di un altro autenticatore
• Se il file è protetto da password, inseriscila quando richiesto
• Gli account vengono importati: su una nuova installazione, tanti quanti ne consente il piano gratuito, oppure tutti con Pro. Niente viene importato a metà senza chiedertelo prima.

Se hai i link come testo anziché come file, Impostazioni → «Incolla link» li prende direttamente.

Nota: questo si aggiunge agli account esistenti, non li sostituisce.

Sì, su ogni computer in cui Chrome ha effettuato l'accesso con lo stesso account Google:

• Installa l'estensione sull'altro computer
• Accedi a Chrome su quel computer con lo stesso account Google e attiva la sincronizzazione, includendo le estensioni tra i dati che Chrome sincronizza
• Nell'estensione, controlla che Impostazioni → «Sincronizza tra dispositivi» sia attivo. Lo è già di default
• I tuoi account compaiono sull'altro computer, di solito in pochi minuti

Se nelle Impostazioni compare «Troppi account da sincronizzare: restano su questo computer», la sincronizzazione di Chrome non riesce a portarne così tanti. Spostali a mano: Impostazioni → «Esporta» su un computer, «Importa» sull'altro. Un file protetto da password è la scelta più sicura.

Non esiste una versione per telefono: Chrome sul telefono non esegue estensioni. Se vuoi i codici anche sul telefono, quando attivi l'autenticazione a due fattori su un servizio scansiona il suo codice QR anche con un'app di autenticazione sul telefono: entrambe mostreranno gli stessi codici.

Su un Mac puoi usare anche l'app per Mac (authenticator.sh/mac). Non si sincronizza con l'estensione: sposta gli account una volta, oppure esporta e importa un file, e da lì in poi ognuna tiene la propria lista.

Sì. Authenticator per Mac è un'app gratuita per la barra dei menu, con la stessa interfaccia, lingue, gruppi, importazione ed esportazione dell'estensione. In più:

• Premi ⌘⇧2 in qualsiasi app: si apre una palette con per primo l'account di quell'app o sito, e Invio digita il codice nel campo in cui eri
• Touch ID sblocca i tuoi codici quando la protezione con password è attiva
• Scansiona un codice QR sullo schermo o con la fotocamera

Richiede macOS 13 Ventura o successivo e funziona sui Mac con Apple silicon e Intel. Scaricala da authenticator.sh/mac. Non esiste un'app per Windows né per il telefono.

Sì. È un'unica app universale che funziona in modo nativo su Apple silicon (M1 e successivi) e sui Mac con Intel. Richiede macOS 13 Ventura o successivo; con un macOS più vecchio usa invece l'estensione per Chrome.

In un solo passaggio, sullo stesso Mac:

• Installa l'app per Mac e aprila
• Al primo avvio trova l'estensione e ti propone di spostare gli account. In seguito: fai clic sull'icona dell'app nella barra dei menu → «Move from the Chrome Extension…»
• Scegli il profilo del browser e spostalo. Se l'estensione è protetta da password, inseriscila prima

L'app legge gli account dai dati dell'estensione nel tuo profilo del browser su questo Mac; nulla passa dal nostro server. Funziona con l'estensione in Chrome, Brave, Edge, Arc e Vivaldi. L'estensione conserva i suoi account e da lì in poi ognuna tiene la propria lista.

Da un altro computer: esporta un file nell'estensione (Impostazioni → «Esporta») e importalo nell'app per Mac (Impostazioni → «Importa»).

Ogni permesso serve a una funzione, e sono tutti facoltativi:

• Accessibilità: per digitare il codice nel campo in cui eri quando premi Invio nella palette di ⌘⇧2. Senza, il codice viene copiato e gli appunti si svuotano dopo 45 secondi
• Registrazione schermo: per leggere un codice QR sullo schermo. L'immagine viene elaborata sul tuo Mac e cancellata subito. Senza, usa la fotocamera o scegli un'immagine
• Automazione: per chiedere al browser l'indirizzo della scheda attuale, così l'account corrispondente compare per primo. macOS lo chiede una volta per ogni browser
• Fotocamera: per scansionare un codice QR che avvicini alla fotocamera

macOS chiede ciascuno la prima volta che usi quella funzione. Puoi disattivarne uno qualsiasi in Impostazioni di Sistema → Privacy e sicurezza.

Se hai eliminato un account per errore:

• Clicca l'icona Impostazioni (ingranaggio) e apri «Copie automatiche» in «Backup e Ripristino». L'estensione salva una copia dei tuoi account una volta al giorno e tiene le ultime 7.
• Clicca «Ripristina» accanto a una copia precedente all'eliminazione. Il ripristino aggiunge solo gli account mancanti: quelli che hai ora restano invariati.
• Non è in nessuna copia? Ripristinalo da un file di backup che hai esportato: «Importa», nella stessa sezione.
• Neanche lì? Allora resta solo il servizio stesso: finché hai ancora l'accesso, disattiva e riattiva la 2FA e aggiungi il nuovo codice QR.

Le copie automatiche sono salvate dentro l'estensione. Rimuovere l'estensione o cancellare i dati del browser elimina anche loro: quindi non reinstallare l'estensione per recuperare un account.

I codici TOTP sono generati dall'orologio del dispositivo: se si scosta di più di ~30 secondi dall'ora reale, i servizi rifiuteranno i tuoi codici.

Come risolvere:

• macOS: Impostazioni di Sistema → Generali → Data e ora → attiva "Imposta data e ora automaticamente"
• Windows: Impostazioni → Data/ora e lingua → Data e ora → attiva "Imposta ora automaticamente", poi fai clic su "Sincronizza ora"
• Linux: attiva NTP / data e ora automatiche nelle impostazioni

Dopo la sincronizzazione riapri l'estensione: l'avviso scompare e i codici tornano a essere accettati. Va corretto solo l'orologio del dispositivo; i codici continuano a essere generati offline.

Sono impostazioni avanzate (di norma i valori predefiniti vanno bene):

• Algoritmo: funzione di hash usata per derivare il codice (SHA1 è lo standard)
• Cifre: lunghezza del codice (6 è la più comune, alcuni usano 8)
• Periodo: per quanto tempo il codice è valido (30 secondi è lo standard)

La maggior parte dei servizi usa: SHA1, 6 cifre, 30 secondi.

I tuoi account sono salvati nel browser: sul tuo dispositivo e, se la sincronizzazione è attiva, in Chrome Sync con il tuo account Google. Le tue chiavi segrete, i nomi degli account e i codici non arrivano mai a noi.

• Le chiavi segrete non lasciano mai il dispositivo
• Backup locali automatici (gli ultimi 7) in caso di problemi
• Salvati nell'archiviazione di Chrome, con la sincronizzazione come seconda copia facoltativa

Per impostazione predefinita i codici sono salvati senza cifratura e protetti dall'accesso al computer e dal profilo Chrome, come nella maggior parte delle estensioni di autenticazione. Per una protezione più forte, attiva la protezione con password nelle Impostazioni: i codici, backup compresi, vengono cifrati sul dispositivo e non sono leggibili senza la tua password.

L'estensione però contatta il nostro server una volta al giorno, per il piano gratuito e per Pro: con un ID anonimo e qualche numero, mai i tuoi account. Più sotto, «Cosa invia l'estensione al vostro server?» elenca tutto ciò che viene inviato.

Una volta al giorno l'estensione contatta il nostro server, api.authenticator.sh, perché il piano gratuito e Pro possano funzionare. Invia:

• un ID casuale creato da questa installazione, non collegato al tuo account Google, alla tua email né al tuo browser, a meno che tu non acquisti Pro: in quel caso l'acquisto lo collega, insieme a ogni altra installazione in cui la tua chiave di licenza è attiva, all'indirizzo email con cui hai pagato
• la versione dell'estensione, la sua lingua e la lingua del tuo browser
• quando è stata installata, e se è successo prima della versione 1.14.0
• quanti account hai: un numero, mai quali
• se la protezione con password e la sincronizzazione sono attive, e se l'estensione si apre come popup, in una finestra o nel pannello laterale, e quale stile usa, chiaro o scuro
• quale policy del piano gratuito e quale licenza ha in quel momento, e se ha già la tua chiave di licenza
• un breve elenco di eventi di fatturazione: è stato raggiunto il limite, la schermata Pro è stata mostrata o chiusa, è stato scelto un piano, è stato avviato un pagamento o provata una chiave di licenza

Il nostro server ricava il tuo paese dalla richiesta; il tuo indirizzo IP non viene memorizzato.

Non invia mai le tue chiavi segrete, i nomi degli account, gli emittenti, i codici né i siti su cui li usi. Quando disinstalli, la pagina di feedback riceve lo stesso ID: appena si apre, segnala al nostro server che quell'installazione è stata rimossa, e una risposta, se decidi di darla, vi viene collegata. L'informativa sulla privacy riporta tutti i dettagli, e il codice che costruisce la richiesta è open source.

Apri le Impostazioni e attiva "Protezione con password". I codici vengono cifrati su questo dispositivo, quindi nessuno può leggerli senza la tua password: né chi usa il tuo computer, né un virus che ruba i dati del browser, né qualcuno tramite la sincronizzazione del tuo account Google.

Riceverai anche un codice di recupero. Conservalo fuori da questo browser: è l'unico modo per rientrare se dimentichi la password. Non possiamo reimpostarla per te.

Decidi tu ogni quanto viene chiesta la password: ogni volta, dopo qualche minuto di inattività, o una sola volta fino alla chiusura del browser. Puoi disattivare la protezione in qualsiasi momento con la tua password.

Sì. Google Authenticator esporta i tuoi account come codice QR sul telefono, e l'estensione lo legge con la fotocamera del computer:

• Apri Google Authenticator sul telefono
• Tocca il menu ⋮ (in alto a destra) → «Trasferisci account» → «Esporta account»
• Scegli gli account e tocca Avanti. Il telefono mostrerà un codice QR
• Nell'estensione: Aggiungi Account → Codice QR → «Scansiona QR con la fotocamera», e punta la fotocamera del computer verso lo schermo del telefono
• Tanti account? Google Authenticator li divide su più codici QR: tocca Avanti sul telefono e scansionali uno per uno

Il computer non ha una fotocamera? Fotografa il QR con un altro telefono o una macchina fotografica, manda l'immagine al computer e usa Aggiungi Account → Codice QR → «Scegli immagine». Uno screenshot non va bene: su Android Google impedisce gli screenshot di quella schermata di esportazione, quindi un secondo dispositivo è l'unico modo per catturarla. Non serve nemmeno «Scansiona QR dallo schermo»: legge i codici mostrati sullo schermo di questo computer, non sul telefono.

Nemmeno un secondo dispositivo? Allora reimposta gli account un servizio alla volta: sul sito disattiva l'autenticazione a due fattori e riattivala subito, poi Aggiungi Account → Codice QR → «Scansiona QR dallo schermo».

Se hai già il link di trasferimento come testo — inizia con otpauth-migration:// — incollalo in Impostazioni → «Incolla link».

Tieni Google Authenticator sul telefono finché un codice dell'estensione non è stato accettato.

Sì — dal file che la maggior parte delle app di autenticazione sa esportare. Nell'estensione apri Impostazioni → «Importa» e scegli quel file:

• Proton Authenticator: nell'app apri Impostazioni → Esporta e scegli di esportare senza password. Otterrai un file .json.
• Aegis e 2FAS: la loro esportazione, con o senza password (2FAS la salva come file .2fas, Aegis come .json). Se il file ha una password, l'estensione te la chiede: serve solo ad aprire il file sul tuo computer e non viene salvata.
• Bitwarden, FreeOTP+ e andOTP: la loro esportazione fatta senza password (un file .json).
• FreeOTP: il backup che fai nell'app ha sempre una password. Scegli quel file e inserisci la stessa password: serve solo ad aprire il file sul tuo computer e non viene salvata.
• Ente Auth o qualsiasi altra app che esporta link otpauth://: il file .txt con un link per riga — oppure copia i link e incollali in Impostazioni → «Incolla link».
• Un'app che esporta nel formato standard CXF: quel file.

I backup protetti da password di altre app — Proton Authenticator, Bitwarden, andOTP — non si possono aprire qui: esportali di nuovo senza password. Quel file contiene le tue chiavi segrete non cifrate, quindi eliminalo appena gli account sono nell'estensione, e tieni la vecchia app finché un codice dell'estensione non è stato accettato.

Google Authenticator non esporta un file: vedi «Posso importare da Google Authenticator?».

Se perdi l'accesso a questa estensione e non hai un backup:

• Dovrai disattivare la 2FA su ogni servizio interessato
• Poi riattivare la 2FA e aggiungere di nuovo gli account
• Conserva i codici di recupero dei servizi in un luogo sicuro

Prevenzione: esporta backup con regolarità e conservali in modo sicuro!

Sì, l'uso è gratuito. Installare l'estensione non costa nulla, e il piano gratuito include tutte le funzioni tranne il backup nel cloud:

• Le installazioni precedenti alla versione 1.14.0 mantengono account illimitati, gratis. Per loro non cambia nulla.
• Le nuove installazioni possono avere un limite al numero di account gratuiti. Pro rimuove il limite e aggiunge un backup cifrato nel cloud.
• Il limite impedisce soltanto di aggiungere un account. Ogni account che hai già continua a mostrare il suo codice, ed esportazione, backup, ripristino e sincronizzazione continuano a funzionare: con o senza Pro, e anche dopo la fine di un abbonamento.

Il limite viene controllato sul tuo computer, in base all'ultima policy firmata dal nostro server: un limite che l'estensione ha già ricevuto vale quindi anche offline. Finché l'estensione non ha raggiunto il nostro server almeno una volta, non c'è alcun limite.

Account illimitati e backup nel cloud. Tutto il resto funziona allo stesso modo con Pro e senza.

• Account illimitati: aggiungine quanti ti servono.
• Backup nel cloud: una copia cifrata dei tuoi account sul nostro server, così perdere questo computer non vuol dire perdere i tuoi codici. Si attiva da Impostazioni → «Backup e Ripristino» → «Backup nel cloud» → «Attiva». È protetto da un codice di recupero del backup che non lascia mai il tuo browser, quindi non possiamo aprirlo. Su un nuovo computer inserisci la tua chiave di licenza e poi quel codice. Se Pro termina, le tue copie si possono ancora ripristinare per 90 giorni.
• Piani: un abbonamento mensile o annuale, oppure un acquisto a vita una tantum. I piani che vedi possono variare mentre cerchiamo i prezzi giusti.
• Il pagamento avviene su Stripe Checkout, in una nuova scheda. Link, il servizio di pagamento di Stripe, è il venditore ufficiale: si occupa di ricevute, imposte e domande su un ordine.
• Pro si attiva da solo nel browser da cui hai pagato. Su un altro computer apri Impostazioni → Pro → «Ho una chiave di licenza» e inserisci la tua chiave (2FA-XXXXX-XXXXX-XXXXX-XXXXX). Una licenza vale su un massimo di 5 dispositivi; un dispositivo che non contatta il server da 60 giorni libera il suo posto da solo. Ti servono più dispositivi? Scrivi a support@authenticator.sh dall'indirizzo con cui hai pagato e aumenteremo il limite della tua licenza.
• Per gestire o disdire un abbonamento: Impostazioni → Pro → «Gestisci abbonamento». Se disdici, Pro resta attivo fino alla fine del periodo già pagato.

La chiave è nell'email che hai ricevuto dopo il pagamento, ed era mostrata nella pagina che si è aperta a pagamento completato.

Se non la trovi, apri l'estensione sul computer in cui ti serve e vai su Impostazioni → Pro → «Passa a Pro» → «Ripristina un acquisto». Inserisci l'indirizzo email con cui hai pagato e la chiave ti verrà inviata di nuovo lì. Lo stesso pulsante si trova nella schermata che compare quando raggiungi il limite gratuito.

Se non arriva nessuna email, scrivi a support@authenticator.sh dall'indirizzo con cui hai pagato e ti invieremo la chiave. Non mandarci mai una chiave segreta o un file di backup: per questo non ci servono.