Autenticazione a due fattori

Noto anche come: 2FA, verifica in due passaggi, TOTP

Da cosa protegge l'autenticazione a due fattori?

Protegge da chi possiede già il tuo primo fattore. Una password si può indovinare, riusare o ritrovare nella violazione dei dati di un'altra azienda; una casella di posta può restare aperta su un computer condiviso. Con un secondo fattore attivo nulla di tutto questo basta da solo, perché serve anche il telefono che hai in tasca o i codici che hai messo da parte.

Non protegge invece dal consegnare il codice a chi te lo chiede. Fincanva non chiede mai il tuo codice a 6 cifre né un codice di backup fuori dalla schermata di accesso: né per email, né in chat.

Come si attiva l'autenticazione a due fattori?

Fincanva ti guida con una procedura in tre passaggi intitolata "Configura l'autenticazione a due fattori". Prima mostra un QR: "Scansiona il QR con la tua app di autenticazione (Google Authenticator, Authy, 1Password…)." — e se la fotocamera non collabora, "Non puoi scansionare? Inserisci questo codice manualmente" rivela lo stesso segreto in forma di testo. Poi verifica che l'abbinamento abbia funzionato: "Inserisci il codice a 6 cifre" e premi Verifica. Infine mostra i codici di backup e ti obbliga a spuntare "Ho salvato i miei codici di backup" prima di sbloccare Fatto.

Prima che la procedura parta, Fincanva conferma che sei davvero tu. Se il tuo account ha una password, la chiede ("Ti chiediamo la password per confermare che sei tu."). Se non ce l'ha — un account solo Google o solo email — invia invece un link di conferma via email. Disattivare la 2FA e rigenerare i codici passano dalla stessa conferma.

Cosa sono i codici di backup e quando si usano?

I codici di backup sono dieci codici di recupero monouso, mostrati una sola volta durante la configurazione, che sostituiscono l'app di autenticazione quando non riesci a raggiungerla. La schermata enuncia la regola: "Conserva questi codici di recupero monouso in un luogo sicuro. Ognuno funziona una sola volta se perdi l'app di autenticazione." Sul momento puoi usare Copia tutti oppure Scarica .txt.

Nella schermata di accesso, Usa invece un codice di backup sostituisce il campo a 6 cifre con quello per il codice di backup, che si inserisce nei due gruppi di cinque caratteri in cui è stato emesso. Un codice sbagliato o già consumato restituisce "Codice di backup non valido. Provane un altro." Puoi emettere un set nuovo quando vuoi con Genera nuovi codici di backup: farlo annulla il set precedente — "I vecchi codici smetteranno di funzionare. Conserva il nuovo set in un luogo sicuro."

Cosa fa "Considera attendibile questo browser per 30 giorni"?

Spuntare Considera attendibile questo browser per 30 giorni nella schermata del codice dice a Fincanva di non chiedere il secondo fattore per i 30 giorni successivi su quel browser, ma solo per gli accessi con email + password.

L'ambito è più ristretto di quanto l'etichetta suggerisca, e la differenza conta: un link via email, un codice via email o Continua con Google richiedono il secondo fattore ogni volta, anche su un browser dichiarato attendibile. L'attendibilità è registrata per browser, quindi un browser diverso, un altro dispositivo o una finestra anonima ripartono da zero.

E se perdo il telefono?

Usa un codice di backup. Nella schermata del codice, Usa invece un codice di backup accetta uno dei dieci codici salvati durante la configurazione, e un solo codice basta per entrare: da lì puoi abbinare una nuova app di autenticazione e generare un set nuovo dalle impostazioni dell'account.

Se il primo passaggio era Continua con Google, si apre una porta in più: "Non riesci ad accedere alla tua app di autenticazione?" propone Inviami un codice via email, che manda un codice a 6 cifre valido 5 minuti. Quell'offerta è volutamente assente quando hai fatto accesso con link o codice via email, perché un codice inviato alla stessa casella di posta non sarebbe affatto un secondo fattore.

Come funziona in Fincanva

• L'autenticazione a due fattori è disattivata finché non la attivi. Non dipende dal piano e non è mai imposta.
• Una volta attiva vale per ogni strada di accesso: password, link via email, codice via email e Continua con Google.
• Il codice dell'app di autenticazione è di 6 cifre e ruota sull'orologio del tuo dispositivo; un codice di secondo fattore inviato via email vale 5 minuti.
• La configurazione emette dieci codici di backup monouso. Generarne un set nuovo annulla il precedente.
• Considera attendibile questo browser per 30 giorni salta la richiesta solo per gli accessi con email + password da quel browser.
• Attivare o disattivare la 2FA, e rigenerare i codici, richiede sempre una conferma: la password, oppure un link via email se l'account non ne ha una.
• Disattivarla è reversibile: "Il tuo account richiederà solo la password per accedere. Puoi riattivare 2FA in qualsiasi momento."

Esempio pratico

Martedì il telefono finisce in un fiume. Con lui se ne va l'app di autenticazione, e i suoi codici non si recuperano riscaricando l'app: vivevano su quel dispositivo.

Accedi dal portatile con email e password, arrivi a "Verifica in due fattori" e invece di digitare un codice premi Usa invece un codice di backup. Incolli il primo codice non usato fra i dieci archiviati in fase di configurazione. Entri, e quel codice è ora consumato: ne restano nove.

Restando dentro, apri le impostazioni di sicurezza, disattivi la 2FA con la password e la riattivi subito per abbinare l'app di autenticazione del telefono nuovo. Il terzo passaggio della procedura ti consegna un set nuovo di dieci codici, e i nove avanzati dal set vecchio smettono di funzionare nel momento in cui il nuovo viene emesso.

Se non avessi avuto né codici di backup né password — un account solo Google — la via di recupero sarebbe stata Inviami un codice via email nella schermata di verifica, proposta proprio su quella strada perché la casella di posta non era il tuo primo fattore.