Verifica in due passaggi su Google: guida passo passo (con passkey)
La verifica in due passaggi è una di quelle impostazioni che tutti hanno sentito nominare e che pochi hanno configurato con un minimo di testa. Chi la attiva lo fa di fretta, sceglie il primo metodo che compare e tira avanti. Poi cambia telefono o perde la SIM e scopre che il secondo passaggio era anche l’unica porta d’ingresso all’account.
Su Google la faccenda è cambiata parecchio negli ultimi anni. Le passkey hanno spostato l’attenzione dalla password al dispositivo e Google le spinge come metodo principale. La verifica in due passaggi resta comunque il telaio su cui si appoggia tutto il resto.
Qui sotto il percorso completo: come si attiva, quale metodo scegliere e in che ordine, come gestire i dispositivi attendibili e cosa fare quando il telefono sparisce.
Cosa fa la verifica in due passaggi e cosa non fa
Il principio è semplice. Alla password si aggiunge un elemento che solo tu puoi fornire, di solito qualcosa che possiedi fisicamente. Se qualcuno ti ruba la password, senza quel secondo pezzo non entra. Le frodi più comuni, dai messaggi ingannevoli ai siti contraffatti, servono esattamente a fregare la password: intercettato quel dato, l’account resta chiuso.
Vale la pena essere precisi su un punto. Con una passkey il secondo passaggio non viene chiesto, perché la passkey verifica già il possesso del dispositivo. Non è una scorciatoia, è un modello diverso, in cui la password non esiste proprio. Se invece accedi con password, il secondo passaggio te lo trovi davanti ogni volta che Google ritiene di doverti controllare.
Il limite da mettere in conto è un altro: la verifica in due passaggi protegge l’accesso, non il contenuto. Se un’app di terze parti ha già ricevuto i permessi, o se qualcuno ha in mano il telefono sbloccato, il secondo passaggio non c’entra niente.
TIP: la verifica in due passaggi è ciò che separa una password finita in un archivio di credenziali rubate da un account realmente compromesso. Attivala prima di cambiare la password, non dopo aver letto la notizia di un data breach.
Attivarla, passo passo
Da desktop il percorso è questo: apri il tuo Account Google, entra in Sicurezza e accesso, poi nella banda “Come accedi a Google” scegli Attiva la verifica in due passaggi e segui quello che compare a schermo. Da app Android la strada è la stessa, con le voci tradotte allo stesso modo.
Se l’account è di lavoro o di scuola l’interruttore potrebbe non esserci. In quel caso la verifica la impone l’amministratore e i metodi disponibili li decide lui: non è un bug, è una restrizione di dominio.
Un dettaglio che frega un sacco di gente: un numero di telefono appena aggiunto può richiedere fino a 7 giorni prima di essere accettato come attendibile. Nella stessa logica, se Google rileva qualcosa di sospetto su un numero nuovo lo disabilita e manda una notifica, lasciando 30 giorni per confermarlo.
Appena attivi la verifica, Google ti mostra i codici di backup. Non chiudere quella schermata senza averli salvati, perché è il momento giusto per farlo e tornarci dopo è più scomodo.
Quale metodo scegliere, in ordine di preferenza
Il metodo predefinito che Google ti propone è quello che ritiene migliore per il tuo caso, ma la scelta si può cambiare. Questa è la scala che userei, tenendo presente che le passkey non bastano da sole a fermare tutto.
Passkey. È il metodo che Google raccomanda e quello che consiglierei a chiunque abbia un telefono con impronta digitale o riconoscimento del volto. Si crea dalle impostazioni di sicurezza e vive sul dispositivo. Il trasferimento su un telefono nuovo è il punto delicato e ne abbiamo parlato in dettaglio in questo articolo sul trasferimento delle passkey.
Richiesta da Google. Una notifica push sullo smartphone dove l’account è già collegato. Tocchi Sì e sei dentro. La notifica mostra dispositivo, posizione e ora del tentativo, quindi se qualcosa non torna tocchi No. Google la considera più sicura degli SMS perché non passa dalla rete telefonica.
Google Authenticator. Genera codici a sei cifre senza connessione, quindi funziona anche in aereo o in un seminterrato. L’app sincronizza i codici sull’account Google, con le versioni 6.0 o successive su Android e 4.0 su iOS, così cambiando telefono non perdi tutto. Anche in questo caso possono volerci fino a 7 giorni prima che il metodo compaia tra le opzioni di accesso.
C’è una nota stonata che riguarda Android: le passkey sul sistema di Google hanno ancora qualche limite nel modo in cui vengono gestite e sincronizzate.
Token di sicurezza fisico. Una chiavetta. È il metodo più resistente al phishing che esista, perché verifica il dominio reale prima di rispondere. Serve se vuoi il massimo, o se gestisci un account che vale davvero tanto.
SMS. Funziona, ma è l’ultima scelta. Il codice viaggia su una rete che non controlli, l’operatore può addebitarti un costo e il SIM swap è una tecnica collaudata. Va tenuto come riserva, non come metodo principale.
La combinazione ragionevole è due metodi solidi più i codici di backup: passkey sul telefono, richiesta da Google su un secondo dispositivo o Authenticator e i codici stampati da qualche parte.
TIP: due metodi, non uno. Se il secondo passaggio esiste solo sul telefono che hai perso, non hai un secondo passaggio: hai un lucchetto di cui non hai la chiave.
Codici di backup, l’ultima rete di sicurezza
Sono dieci codici monouso. Ogni codice funziona una volta sola e poi diventa inattivo. Si trovano in Sicurezza e accesso, dentro la sezione Verifica in due passaggi e da lì puoi scaricarli, stamparli o generarne una serie nuova. Attenzione: creare una serie nuova disattiva automaticamente quella precedente, compresi i codici che avevi già stampato mesi fa.
Dove metterli? Fuori dal telefono e fuori dall’account stesso. Un foglio nel portafoglio o nel raccoglitore dei documenti va benissimo. Un file su Drive dell’account che stai proteggendo è abbastanza inutile, visto che chi entra nell’account entra anche in quel file.
C’è un caso in cui i codici non si possono scaricare: se l’account aderisce al Programma di protezione avanzata servono due token fisici e uno di riserva: i codici di backup non sono previsti.
Dispositivi attendibili e revoca degli accessi
Quando accedi da un computer e inserisci il codice, Google ti propone la casella Non chiedere più su questo computer. Spuntandola il dispositivo entra nell’elenco di quelli attendibili e non ti chiede più il secondo passaggio. Se te lo chiede comunque, il colpevole è quasi sempre il browser: cookie disattivati o cancellati a ogni chiusura fanno saltare il riconoscimento.
Per rivedere la lista e chiudere le sessioni vecchie il percorso è Account Google, poi I tuoi dispositivi, poi Gestisci tutti i dispositivi. Da lì scegli il dispositivo e premi Esci. Un telefono venduto, un portatile prestato, un browser usato in albergo: via tutti.
Il cambio password da solo non è una garanzia sufficiente. La revoca manuale è l’unico modo per essere certi di aver chiuso una sessione: dopo averla fatta vale la pena ricontrollare l’elenco il giorno dopo.
Se perdi il telefono
Prima cosa, esci dall’account sul dispositivo smarrito, dal percorso appena visto. Poi cambia la password. Il telefono perso non deve restare una sessione aperta mentre decidi cosa fare.
Con la verifica attiva hai diverse porte di riserva: un altro smartphone dove l’account è già collegato, un secondo numero aggiunto tra i metodi, un codice di backup salvato tempo prima, un token fisico, una passkey creata su un altro dispositivo. Se non hai nessuna di queste, resta la procedura di recupero dell’account, che è lunga e non garantisce il risultato.
Se il problema è la SIM persa o rubata serve l’operatore, perché il numero va trasferito su una scheda nuova. Con l’eSIM la procedura si fa spesso dall’app dell’operatore o dal sito, senza passare dal negozio.
Le truffe che passano dal secondo passaggio
Il secondo passaggio si può attaccare anche senza rompere niente, semplicemente convincendo la persona giusta. Tre schemi ricorrenti.
Prompt bombing. Arrivano decine di richieste di accesso di fila, nella speranza che tu tocchi Sì per farle smettere. Se succede, la password è già compromessa: nega tutto, cambia password e controlla i dispositivi collegati.
Finto supporto. Qualcuno si presenta come assistenza Google e chiede il codice che hai appena ricevuto. Google non chiama e non chiede codici, mai. Lo stesso vale per i messaggi che annunciano un accesso sospetto con un link da cliccare.
SIM swap. Il truffatore convince l’operatore a spostare il tuo numero su una SIM sua e riceve gli SMS al posto tuo. È il motivo per cui l’SMS va tenuto come ultima risorsa e non come unico metodo.
TIP: una richiesta di accesso che non hai chiesto non si nega e basta. Si nega, poi si cambia la password e si guarda l’elenco dei dispositivi. Il tentativo fallito è il segnale, non il problema.
Domande frequenti
La verifica in due passaggi è obbligatoria su Google?
No, sulla maggior parte degli account personali resta facoltativa, anche se Google la propone con insistenza e in alcuni casi la impone dopo attività sospette. Sugli account di lavoro e di scuola è spesso l’amministratore a renderla obbligatoria.
Posso disattivarla in un secondo momento?
Sì, dallo stesso percorso usato per attivarla. Conviene pensarci due volte: disattivandola i codici di backup e i metodi aggiunti diventano inutili e per riattivarla bisogna rifare tutto da capo.
Cosa succede se cambio telefono?
Se usi la richiesta da Google basta installare l’account sul nuovo dispositivo e diventa il primo a ricevere le notifiche. Con Authenticator i codici si sincronizzano sull’account, quindi si ritrovano da soli. Con la passkey serve un trasferimento esplicito, ed è la parte in cui si fanno più pasticci.
Devo pagare gli SMS di verifica?
Google non li fa pagare, ma l’operatore può applicare un costo per il messaggio ricevuto o per quello inviato. È uno dei motivi per cui la richiesta da Google è preferibile: non passa dalla rete mobile.
Posso usarla senza smartphone?
Sì. Un token di sicurezza fisico, i codici di backup e un’app di autenticazione su un tablet o su un computer coprono tutti i casi. Lo smartphone è la comodità, non il requisito.
Cosa faccio se non ricevo la richiesta?
Sulla schermata di accesso c’è la voce per provare un altro modo. Se nessun metodo risponde, si passa ai codici di backup e, in ultima istanza, alla procedura di recupero dell’account.
Il minimo sindacale, in quattro passi
Se di tutto questo vuoi tenere solo l’essenziale: attiva la verifica in due passaggi, crea una passkey sul telefono, aggiungi un secondo metodo su un altro dispositivo e stampa i codici di backup. Sono cinque minuti adesso contro un pomeriggio di telefonate nel caso peggiore.
L’importante è non arrivare alla perdita del telefono con un solo metodo configurato e nessun codice salvato.