L'autenticazione a due fattori (2FA), detta anche verifica in due passaggi, chiede una seconda prova oltre alla password, quindi una password rubata da sola non apre l'account. La passkey (chiave di accesso) fa un passo in più: sostituisce la password con una chiave salvata sul tuo dispositivo e sbloccata con impronta, volto o blocco schermo. Se puoi scegliere, usa prima passkey o chiave di sicurezza, poi un'app di autenticazione o una notifica nell'app, e lascia l'SMS come ultima scelta.
Due passaggi e passkey: cosa cambia in pratica
Con la verifica in due passaggi digiti la password e poi dimostri di essere tu con qualcosa che solo tu hai (un codice, una notifica sul telefono, una chiave fisica) o qualcosa che sei (impronta, volto). Il punto debole dei codici è che li digiti tu: su una pagina falsa che imita il login, il truffatore riceve il codice e lo usa subito. Il NIST, ente statunitense di standard, afferma nel documento SP 800-63B-4 che i codici digitati a mano, da app o da SMS, non resistono al phishing, e cita WebAuthn, alla base delle passkey, come standard che invece resiste. CISA e NIST sono enti statunitensi: non sono norme italiane, ma servono da riferimento tecnico. In una passkey la chiave privata non lascia il dispositivo e vale solo per il sito vero, quindi non c'è nulla da consegnare.
I cinque metodi a confronto
| Metodo | Punto di forza | Punto debole | Quando usarlo |
|---|---|---|---|
| Codice via SMS | Funziona su qualsiasi telefono, senza installare nulla | Google avverte che i codici inviati con SMS o chiamata possono essere vulnerabili ad attacchi legati al numero di telefono. Il NIST lo tratta come canale ristretto | Solo se non c'è altro. Resta meglio della sola password |
| App di autenticazione | Genera il codice senza internet né campo | Il codice si digita comunque, quindi un sito falso può ingannarti. Trasferisci i codici prima di cambiare telefono | La scelta di base se non hai ancora una passkey |
| Notifica nell'app (push) | Un tocco, senza digitare. Google consiglia le sue notifiche a chi non usa una passkey | La CISA segnala il bombardamento di notifiche, in cui il truffatore manda richieste finché qualcuno ne approva una, e indica la conferma con numero | Quando il servizio mostra un numero da confermare. Rifiuta ogni notifica che non hai avviato |
| Chiave di sicurezza | Dispositivo fisico che, secondo Google, protegge dal phishing | Costa. Se la perdi serve un'altra via: una seconda chiave o i codici di backup | Titolari, amministratori e account che muovono denaro |
| Passkey | Nessuna password da rubare o digitare. Resiste al phishing. Può stare su telefono, computer, gestore di password o chiave fisica | Dipende da dove la salvi e da chi sblocca quel dispositivo. Creala solo su uno tuo | Sempre, quando il servizio la offre |
Fonti: Google, CISA e NIST SP 800-63B-4.
Come attivarla, servizio per servizio
I menu cambiano per versione e lingua. I percorsi qui sotto sono ripresi dalle pagine ufficiali, consultate in inglese; sul tuo telefono i nomi possono essere diversi.
Google (Gmail, Drive, Profilo dell'attività)
Apri il tuo Account Google, vai su Security & sign-in e, sotto How you sign in to Google, scegli Turn on 2-Step Verification. Per la passkey usa myaccount.google.com/signinoptions/passkeys e scegli Create a passkey, solo su un dispositivo tuo. Se non usi una passkey, la pagina di aiuto consiglia le notifiche di Google al posto dell'SMS.
Apple (account Apple)
Su iPhone o iPad vai su Settings, tocca il tuo nome, poi Sign-In & Security, e attiva l'autenticazione a due fattori (su Mac, System Settings). Dal web entra su account.apple.com e scegli Upgrade Account Security. Secondo la pagina di Apple, se l'account è nato con i due fattori non si possono rimuovere, e se li hai attivati da poco hai due settimane per tornare indietro. Apple suggerisce anche un numero fidato diverso da quello dell'iPhone.
Microsoft (Outlook, Microsoft 365)
Vai su account.microsoft.com/security, scegli Manage how I sign in e, in Additional security, Two-step verification e Turn on. Per la passkey, su account.live.com/proofs/manage scegli Add a new way to sign in or verify e poi Face, Fingerprint, PIN, or Security Key. Microsoft consiglia di tenere tre informazioni di sicurezza sull'account.
WhatsApp e WhatsApp Business
Nelle impostazioni di WhatsApp apri Account e poi Two-Step Verification. Crea un PIN di sei cifre e aggiungi un'email per reimpostarlo se lo dimentichi. Quel PIN non è il codice a 6 cifre che arriva via SMS, e il centro assistenza di WhatsApp dice di non condividere nessuno dei due (vedi la truffa del codice a 6 cifre). WhatsApp Business segue lo stesso percorso, e la sua pagina per le aziende dice di cambiare il PIN quando qualcuno del team se ne va e di usare Meta Business Suite per condividere la casella senza condividere login e numero. Account già violato? Leggi WhatsApp Business hackerato. La passkey annunciata da WhatsApp a ottobre 2025 protegge i backup delle chat, non l'accesso.
Instagram e Facebook
Il centro assistenza di Meta blocca la lettura automatica, quindi questa guida non riporta menu che non è stato possibile verificare. La pagina ufficiale, Securing Your Meta Account With Two-Factor Authentication, è nelle fonti. Segui ciò che mostra e, se offre un'app di autenticazione, sceglila al posto dell'SMS.
L'app della banca
Per i pagamenti online con carta la normativa europea prevede già l'autenticazione forte del cliente (SCA): come spiega la Banca d'Italia, servono due o più elementi indipendenti tra loro, di categorie diverse: conoscenza (password o PIN), possesso (token o smartphone) e inerenza (impronta o volto). Per l'accesso all'app ogni banca ha le sue opzioni: usa solo l'app ufficiale e attiva ciò che offre. Non dettare mai un codice monouso o del token a chi ti chiama, ti scrive o ti manda un'email.
Codici di backup e cosa fare se perdi il telefono
I codici di backup sono la porta di riserva. Su Google ogni serie ha 10 codici monouso, e crearne una nuova disattiva la precedente. Conservali in un posto sicuro, insieme a documenti importanti, e non condividerli. In un'attività, usa un armadio chiuso a chiave e annota chi sa dov'è.
Se hai perso il telefono, procedi così:
- Cambia la password ed esci dall'account sul telefono perso, come indica Google.
- Entra da un'altra via già configurata: un secondo telefono con l'accesso attivo, un codice di backup, una chiave di sicurezza o la passkey di un altro dispositivo.
- Recupera il numero. Chiedi all'operatore di trasferire la linea su una nuova SIM, come suggerisce Google.
- WhatsApp: installalo sul telefono nuovo e verifica il numero. L'app chiede il PIN e, se l'hai dimenticato, c'è l'opzione PIN dimenticato. Se chiede un PIN che non hai mai creato, la pagina ufficiale dice di aspettare 7 giorni prima di reimpostarlo.
- Apple e Microsoft: senza dispositivo o numero fidato, Apple parla di alcuni giorni o più (contattarla non lo accelera) e Microsoft parla di 30 giorni.
Senza più alcun secondo passaggio, il recupero dell'account Google può richiedere da 3 a 5 giorni lavorativi. Se qualcuno è già entrato, segui la guida cosa fare se ti hackerano l'email. Gli strumenti di IA collegati a email o Drive sono un accesso in più da rivedere, come spiega la guida ai rischi di sicurezza dell'IA nelle piccole imprese.
Checklist di 15 minuti per un piccolo team
La CISA, agenzia statunitense per la cybersicurezza, indica come priorità email, servizi finanziari, social e negozi online. Qualsiasi autenticazione a più fattori è meglio di nessuna.
- 2 min: elenca gli account che muovono denaro o clienti. Email, banca, WhatsApp Business, Instagram, Facebook, negozio online e dominio del sito.
- 4 min: prima l'email, di ogni persona. In Google Workspace un amministratore può imporla dalla console (Menu, Security, Authentication, 2-step verification), con un periodo di iscrizione e un report di chi si è già iscritto; bloccare i codici via SMS lascia fuori chi usa solo l'SMS. In Microsoft 365 attiva i security defaults nel Microsoft Entra admin center (Identity, Overview, Properties); i tenant creati dopo ottobre 2019 li hanno già attivi.
- 2 min: WhatsApp Business. PIN di sei cifre, email di recupero e controllo dei dispositivi collegati.
- 2 min: Instagram e Facebook. Attivala dalla pagina ufficiale di Meta e preferisci un'app di autenticazione all'SMS.
- 2 min: banca. Solo l'app ufficiale, con le conferme che la banca offre. Concordate che nessuno condivide un codice o un token.
- 2 min: codici di backup. Stampa quelli dell'email principale e chiudili a chiave.
- 1 min: prova. Esci da un account e rientra. Controlla che email e telefono di recupero siano dell'attività, non del telefono personale di un dipendente.
I passaggi per amministratori seguono le pagine di Google Workspace e Microsoft nelle fonti. I menu cambiano: verifica prima di applicarli.
Domande frequenti
Il codice via SMS vale ancora come secondo passaggio?
È meglio di niente: la CISA dice che qualsiasi autenticazione a più fattori è meglio di nessuna. Ma Google avverte che i codici inviati con SMS o chiamata possono essere vulnerabili ad attacchi legati al numero di telefono, quindi passa a una passkey, a una notifica nell'app o a un'app di autenticazione appena il servizio lo consente.
La passkey sostituisce la verifica in due passaggi?
Su Google, accedere con una passkey salta il secondo passaggio, perché conferma già che il dispositivo è tuo. Ogni servizio ha le sue regole e, sugli account di lavoro, l'amministratore può limitarne l'uso. Controlla la pagina ufficiale di ciascuno.
Devo comprare una chiave di sicurezza fisica?
No. Una passkey sul telefono o sul computer resiste già al phishing. La chiave fisica è facoltativa e ha più senso per titolari, amministratori e account che muovono denaro.
Ho perso il telefono e non ho i codici di backup. Che faccio?
Prova con un altro dispositivo con l'accesso attivo, una chiave di sicurezza o la passkey di un altro dispositivo. Se non hai nulla, usa il recupero account del servizio: Google parla di 3-5 giorni lavorativi, Apple di alcuni giorni o più e Microsoft di 30 giorni.
Fonti: CISA: Multifactor Authentication (More than a password) · NIST SP 800-63B-4: Digital Identity Guidelines, Authentication and Authenticator Management (luglio 2025) · Banca d'Italia: Come funziona l'autenticazione forte del cliente (SCA) · Banca d'Italia: Carte di pagamento online e sicurezza · Google: Attivare la verifica in due passaggi (2-Step Verification) · Google: Accedere con una passkey invece della password · Google: Codici di backup · Google: Risolvere i problemi comuni della verifica in due passaggi e telefono perso · Google Workspace: Deploy 2-Step Verification (amministratori) · Apple: Autenticazione a due fattori per l'account Apple · Apple: Numeri di telefono e dispositivi fidati · Apple: Sicurezza delle passkey · Microsoft: Verifica in due passaggi con l'account Microsoft · Microsoft: Accedere con una passkey · Microsoft: Configurare l'autenticazione a più fattori in Microsoft 365 (amministratori) · WhatsApp: Centro assistenza, codice di verifica e verifica in due passaggi · WhatsApp Business: Protecting your business on WhatsApp, security best practices · Meta (WhatsApp): Making it easier to encrypt your WhatsApp chat backups (ottobre 2025) · Instagram (Meta): Securing Your Meta Account With Two-Factor Authentication · FIDO Alliance: Passkeys
