L'autenticazione a due fattori (2FA) richiede qualcosa oltre alla password quando accedi — un codice, un tocco o una chiave fisica — così che una password rubata da sola non basti a entrare nel tuo account. Ma non tutta la 2FA è ugualmente forte. Ecco come si confrontano davvero i tre metodi comuni.
Codici via SMS
Un codice inviato via SMS al tuo telefono. Meglio di nessuna 2FA, ma è l'opzione più debole: il SIM-swapping (un aggressore convince il tuo operatore a spostare il tuo numero sulla sua SIM) e l'intercettazione di rete SS7 possono entrambi aggirarlo senza toccare il tuo dispositivo. Usalo solo quando un servizio non offre nulla di meglio.
App di autenticazione (TOTP)
App come Google Authenticator, Authy o quelle integrate in Proton Pass, Bitwarden e 1Password generano un codice a 6 cifre che cambia ogni 30 secondi, calcolato localmente sul tuo dispositivo a partire da un segreto condiviso — non viene trasmesso nulla per riceverlo, il che elimina già il SIM-swapping. Il suo punto debole è il phishing: una pagina di accesso falsa può comunque indurti a digitare il codice sul sito dell'aggressore in tempo reale.
Chiavi di sicurezza fisiche (FIDO2 / WebAuthn)
Una chiave fisica (YubiKey, Google Titan e altre) che tocchi o inserisci per confermare l'accesso. A differenza di un codice, verifica crittograficamente che tu sia sul sito reale prima di rispondere — una pagina falsa semplicemente non ottiene una risposta valida, il che la rende l'unico metodo comune davvero resistente al phishing. Il costo è acquistare una chiave e portarla con sé.
Passkey — l'alternativa più recente
Le passkey usano la stessa tecnologia FIDO2 delle chiavi fisiche ma memorizzano la credenziale sul tuo telefono o computer invece che su un dispositivo separato, sbloccata con impronta, volto o PIN. Sono resistenti al phishing come le chiavi fisiche e non richiedono alcun acquisto, ma il supporto varia da sito a sito e in base a come le sincronizzi tra dispositivi — vedi la nostra voce del glossario per i dettagli.
Quale usare davvero?
In ordine di priorità: una chiave fisica o una passkey per i tuoi account più importanti (email principale, il tuo gestore di password, banca, lavoro); un'app di autenticazione per tutto il resto; SMS solo quando un servizio davvero non offre nulla di meglio. La maggior parte dei gestori di password — inclusi quelli del nostro confronto tra gestori — ormai può memorizzare e generare da sola i codici di autenticazione, quindi non serve un'app separata.
Termini correlati: Autenticazione a due fattori (2FA) · Passkey (FIDO2) · Password principale