Per attivare la verifica in due passaggi sull’email aprite la sezione di sicurezza dell’account e collegate un secondo fattore alla password. Il percorso è Come accedi a Google su Gmail, Gestisci la modalità di accesso su Outlook e Password Sicura su Libero Mail. Come secondo fattore conviene un’app di autenticazione o una chiave fisica, mentre l’SMS è solo un ripiego. L’autenticazione a due fattori si configura in pochi minuti. Il lavoro vero viene dopo: salvare i codici di backup e un metodo di riserva, per non restare chiusi fuori se perdete il telefono.
In breve
- Le app generano un codice a 6 cifre valido circa 30 secondi.
- Microsoft consiglia tre informazioni di sicurezza. Senza un metodo di riserva il recupero può richiedere 30 giorni.
- Microsoft sta abbandonando gli SMS sugli account personali.
- Thunderbird e Mail richiedono una password per le app.
Nella stessa guida: Sicurezza della casella di posta
Sommario
Perché la casella email va protetta prima di ogni altro account
L’email è la chiave di riserva di tutti gli altri account: banca, social ed e-commerce inviano lì il link per reimpostare la password. Chi controlla la vostra casella può chiedere un reset ovunque e cancellare le notifiche prima che le vediate.
Il furto di credenziali raramente nasce da una password indovinata. Più spesso parte da un sito secondario violato, dove avevate riusato la stessa combinazione. Un rapporto di SANS definisce l’accesso con la sola password una vulnerabilità enorme. Nelle aziende lo stesso meccanismo alimenta le truffe di Business Email Compromise.
Il punto debole nascosto è l’email di recupero. Se la casella principale rimanda a un indirizzo secondario dimenticato, magari protetto dalla stessa password, l’attaccante passerà da lì e riceverà i link di reset. Proteggete entrambe le caselle, oppure sostituite quel recapito con uno che usate davvero. Le altre impostazioni da rivedere sono raccolte nella guida sulla sicurezza della casella di posta.
Come attivare la verifica in due passaggi su Gmail
- Aprite myaccount.google.com e scegliete Sicurezza. Su alcuni account Google Workspace la voce si chiama Sicurezza e accesso.
- In Come accedi a Google selezionate Verifica in due passaggi, poi Inizia.
- Google propone per prime le notifiche sul telefono. Da Mostra altre opzioni potete aggiungere un’app di autenticazione inquadrando il codice QR, oppure una chiave fisica.
- Indicate un numero di riserva e confermate con Attiva.
Potete farlo anche da smartphone. Su Android il percorso è Impostazioni > Google > Gestisci il tuo account Google. Su iPhone aprite l’app Gmail, toccate la foto del profilo e poi Gestisci il tuo account Google. L’Università di Siena, che richiede la verifica sugli account d’Ateneo, chiede a chi aveva scelto l’SMS di passare all’app. È un criterio valido anche per un account personale.
Come attivarla su Outlook e sull’account Microsoft
- Andate su account.microsoft.com/security e accedete.
- Selezionate Gestisci la modalità di accesso.
- In Sicurezza aggiuntiva, alla voce Verifica in due passaggi, scegliete Attiva.
- Seguite le istruzioni. Con Microsoft Authenticator dovrete inquadrare un codice a matrice, che dimostra di avere il telefono in mano.
Microsoft chiama questa funzione anche autenticazione a più fattori. Da quel momento ogni accesso da un nuovo dispositivo o da una posizione insolita richiederà un codice di sicurezza. Prima di chiudere, controllate le informazioni di sicurezza registrate. Microsoft ne consiglia tre, per esempio l’app e due indirizzi email alternativi. Se perdete l’unico metodo, il ripristino può richiedere 30 giorni, e l’assistenza non è autorizzata a inviare link di reimpostazione. Non puntate sugli SMS: Microsoft ha avviato la loro eliminazione graduale come metodo di accesso e recupero per gli account personali.
Come attivarla su Libero Mail con Password Sicura
- Entrate nel vostro profilo e cliccate sul lucchetto blu in alto a destra.
- Scegliete Password Sicura e seguite la procedura guidata.
- Decidete se ricevere il codice via SMS o generarlo con Google Authenticator, che non dipende dalla rete telefonica.
- Generate subito i codici di backup monouso.
Sui computer e telefoni che usate di solito potete impostare il dispositivo come “Riconosciuto”: dopo il primo accesso basteranno email e password. Se cancellate cookie e cronologia del browser, il codice verrà richiesto di nuovo, ed è normale. I codici di backup servono quando il cellulare non è con voi, per esempio all’estero. Numero di telefono e attivazione si modificano in qualsiasi momento dalla stessa pagina.
SMS, app, notifica o chiave fisica: quale secondo fattore scegliere
L’SMS è meglio di niente, ma un’app di autenticazione o una chiave fisica sono nettamente preferibili.
| Metodo | Come funziona | Punto debole | Giudizio |
|---|---|---|---|
| SMS | Codice al numero | SIM swap, phishing | Ripiego |
| App (TOTP) | 6 cifre ogni 30 s | Phishing in tempo reale | Consigliata |
| Notifica push | Conferma con un tocco | Approvazioni distratte | Comoda |
| Chiave fisica | USB, NFC, Bluetooth (U2F) | Smarrimento | La più robusta |
Il codice inviato tramite SMS protegge il numero, non il telefono. Con il SIM swap un truffatore fa trasferire la vostra linea su una SIM in suo possesso, spesso partendo da dati trapelati come nel caso Ho Mobile. AGCOM ha reso più severe le regole per la sostituzione della SIM. Il segnale d’allarme resta il telefono che perde campo all’improvviso.
Anche le app hanno un limite: il phishing in tempo reale. Una pagina falsa raccoglie password e codice e li usa subito sul sito vero, e questo vale sia per gli SMS sia per i codici TOTP. Le chiavi basate sugli standard del consorzio FIDO, di cui fanno parte Google e Microsoft, controllano il sito prima di rispondere. Costano da qualche decina di euro, e conviene registrarne due.
L’evoluzione sono le passkey. Funzionano come le chiavi U2F, ma sono custodite nel telefono o nel computer e si sbloccano con impronta o PIN. Prendono il posto della password, invece di aggiungersi a essa. Microsoft permette già di rimuovere la password dall’account e accedere senza.
Codici di backup e cambio telefono: come non restare chiusi fuori
Stampate o scrivete a mano i codici di backup e teneteli in un cassetto, non in un file sul desktop. Poi aggiungete un secondo metodo, come un’altra app o un indirizzo di recupero protetto. Se perdete il telefono con l’app di autenticazione:
- non uscite dagli altri dispositivi ancora collegati: una sessione attiva permette di aggiornare i metodi;
- avviate il recupero da un dispositivo attendibile da cui accedete spesso;
- non ripristinate vecchi telefoni e non cancellate il profilo del browser;
- se un intruso ha cambiato i dati di recupero, Google può inviare codici a quelli precedenti per sette giorni: agite subito.
Quando cambiate smartphone, configurate l’app sul nuovo prima di azzerare il vecchio. Per altri blocchi trovate la guida per risolvere i problemi della posta elettronica.
Password per le app nei client di posta come Thunderbird e Mail
Dopo l’attivazione, Thunderbird, Mail di Apple o Outlook desktop possono segnalare “password errata” anche se la password è giusta. In quel caso serve una password per le app. Google la genera da Sicurezza: è un codice di 16 caratteri da incollare nel client al posto della password abituale. Microsoft la mette in Altre opzioni di sicurezza, mentre Libero la chiama Password Specifica per applicazioni. Createne una per ogni programma.
FAQ
Cosa succede se disattivo la verifica in due passaggi?
La casella torna a dipendere dalla sola password, quindi basta una credenziale rubata per entrare. Su Microsoft i codici verranno chiesti solo se il sistema rileva un rischio, e la sezione delle password per le app scompare. Su Google, dopo la disattivazione, distruggete i codici di backup che avevate salvato. Potete riattivarla quando volete.
Come saltare la verifica in due passaggi?
Sul vostro account potete evitare il codice a ogni accesso in due modi. Il primo è segnare come attendibile il computer di casa (“Riconosciuto” su Libero). Il secondo è usare un codice di backup quando il telefono non è con voi. Su account altrui non esistono scorciatoie, ed è proprio questo il suo scopo. Come prossimo passo, aprite ora le impostazioni di sicurezza e controllate quali metodi di riserva risultano registrati.
