Ho aggiornato il contenuto della pagina il 7 Settembre 2026
Le password, da sole, non sono più sufficienti per proteggere gli account più importanti.
Possiamo creare una password lunga e complessa, ma può comunque essere sottratta attraverso phishing, malware, violazioni di servizi online o semplicemente perché è stata riutilizzata su più siti.
Per questo uno degli strumenti che consiglio di attivare sugli account importanti è la verifica in due passaggi, conosciuta anche come autenticazione a due fattori o 2FA.
Tra le applicazioni più conosciute per gestire il secondo fattore troviamo Google Authenticator, un’app capace di generare sullo smartphone codici temporanei utilizzabili durante l’accesso a Google e a molti altri servizi online.
Il vantaggio è importante: anche conoscendo la nostra password, un’altra persona potrebbe non riuscire ad accedere senza avere anche il secondo fattore di autenticazione.
Cos’è Google Authenticator
Google Authenticator è un’applicazione che genera codici di verifica temporanei utilizzati dai servizi che supportano questo tipo di autenticazione.
Quando attiviamo la verifica in due passaggi su un sito compatibile, normalmente viene mostrato un codice QR.
Lo scansioniamo attraverso Google Authenticator e nell’app compare una nuova voce associata all’account.
Da quel momento Authenticator genera periodicamente un nuovo codice.
Durante il login il sistema può quindi richiedere:
password + codice generato da Google Authenticator.
Google conferma che Authenticator può generare codici di verifica anche senza connessione Internet e senza servizio telefonico mobile.
È uno dei motivi per cui preferisco generalmente un’app di autenticazione ai codici ricevuti esclusivamente attraverso SMS.
A cosa serve Google Authenticator
Nonostante il nome, Google Authenticator non serve soltanto per proteggere Gmail o l’Account Google.
Può essere utilizzato con molti servizi che supportano l’autenticazione attraverso codici temporanei.
Per esempio può essere impiegato, quando supportato, per account relativi a siti web, hosting, pannelli amministrativi, WordPress, servizi cloud, social network e applicazioni aziendali.
Il funzionamento è generalmente lo stesso.
Il servizio genera un segreto condiviso, normalmente presentato sotto forma di QR Code, che viene registrato nell’app.
Da quel momento il servizio e Authenticator possono generare codici coerenti tra loro senza che lo smartphone debba continuamente interrogare il server.
Perché l’autenticazione a due fattori è così importante
Immaginiamo che la password della nostra email venga scoperta.
Con un sistema tradizionale:
conosco la password → posso entrare.
Con la verifica in due passaggi:
conosco la password → mi serve ancora un secondo elemento.
Google definisce la verifica in due passaggi come un ulteriore livello di sicurezza proprio nel caso in cui la password venga sottratta.
Non significa che un account diventi inviolabile.
Significa però che la compromissione della sola password può non essere più sufficiente.
Per account come email, hosting, amministrazione WordPress e servizi cloud considero questa differenza particolarmente importante.
Come funziona un codice di Google Authenticator
I codici mostrati da Authenticator sono temporanei.
Vedremo quindi qualcosa del genere:
184 629e dopo poco tempo il codice verrà sostituito.
Non dobbiamo quindi aspettare un SMS e, normalmente, non è necessario essere collegati a Internet.
Questo rende Authenticator particolarmente utile anche quando:
non c’è campo telefonico, siamo all’estero, la SIM non funziona oppure il dispositivo non può ricevere SMS.
L’orario dello smartphone deve però essere corretto perché la generazione temporale dei codici deve rimanere sincronizzata. Nelle versioni attuali Google Authenticator utilizza direttamente l’impostazione dell’ora del sistema operativo.
Come configurare Google Authenticator
La configurazione cambia leggermente da servizio a servizio, ma il procedimento generale è molto simile.
Supponiamo di voler proteggere un account.
Entriamo nelle impostazioni di sicurezza del servizio e cerchiamo una voce come:
Autenticazione a due fattori
oppure:
2FA
oppure:
App di autenticazione
oppure:
Authenticator App.
Il servizio mostrerà generalmente un codice QR.
Apriamo Google Authenticator e scegliamo l’opzione per aggiungere un nuovo account, quindi scansiamo il QR Code.
A quel punto nell’app comparirà il codice temporaneo.
Il sito potrebbe chiedere di inserirlo una prima volta per verificare che la configurazione sia stata completata correttamente.
Per l’Account Google, ad esempio, Google indica di entrare nelle impostazioni della verifica in due passaggi e scegliere la configurazione dell’app di autenticazione.
Non fotografare e non condividere il QR Code
Questo è un punto molto importante.
Il QR Code utilizzato durante la configurazione non è semplicemente un’immagine decorativa.
Contiene le informazioni necessarie affinché l’app possa generare i codici dell’account.
Per questo eviterei di:
fare screenshot inutili, inviarlo tramite WhatsApp, conservarlo nella galleria fotografica o pubblicarlo accidentalmente.
Chi acquisisse le informazioni necessarie alla generazione dei codici potrebbe essere in grado di riprodurre il secondo fattore.
Il QR Code va quindi trattato come una credenziale sensibile.
Google Authenticator funziona senza Internet
Sì.
Una delle caratteristiche più utili è proprio questa.
I codici possono essere generati anche quando lo smartphone non ha collegamento Internet o rete mobile.
Quindi:
Nessun Wi-Fi
Nessun 4G/5G
Nessun SMSnon significa necessariamente essere impossibilitati a utilizzare Authenticator.
È una differenza importante rispetto alla verifica tramite SMS.
Google Authenticator o SMS?
Entrambi aggiungono un secondo livello rispetto alla sola password.
Ma non sono equivalenti.
Google stessa segnala che i codici ricevuti tramite SMS o chiamata possono essere vulnerabili ad attacchi legati al numero telefonico e indica passkey e token di sicurezza fisici come metodi con maggiore protezione contro il phishing.
Google Authenticator ha invece il vantaggio di non dipendere dalla ricezione di un SMS.
Se possibile, quindi, preferirei generalmente un’app di autenticazione rispetto all’SMS come unico secondo fattore.
Per account particolarmente importanti valuterei ancora più in alto passkey o token di sicurezza, soprattutto quando è importante la resistenza al phishing.
Google Authenticator e phishing
Bisogna però evitare un equivoco.
Google Authenticator migliora enormemente la situazione rispetto alla sola password, ma un codice temporaneo può comunque essere sottratto attraverso un attacco di phishing sofisticato.
Immaginiamo un sito falso perfettamente simile al vero.
Inseriamo:
Username
Password
Codice AuthenticatorL’attaccante potrebbe provare a utilizzare immediatamente quelle informazioni sul vero sito prima che il codice scada.
Per questo Google indica passkey e token di sicurezza fisici come soluzioni particolarmente efficaci contro il phishing.
Quindi Authenticator è un’ottima protezione.
Non deve però diventare un motivo per smettere di controllare il dominio sul quale stiamo inserendo le credenziali.
Google Authenticator può sincronizzare gli account
Questa è una delle differenze più importanti rispetto alle vecchie versioni dell’app.
Oggi possiamo accedere a Google Authenticator con il nostro Account Google e sincronizzare i codici tra i dispositivi.
Google dichiara che i codici sincronizzati vengono cifrati sia durante il trasferimento sia quando sono conservati nei propri sistemi.
Il vantaggio pratico è evidente.
In passato perdere il telefono sul quale avevamo configurato Authenticator poteva diventare un problema molto serio se non avevamo predisposto altri sistemi di recupero.
Con la sincronizzazione, installando Authenticator su un nuovo dispositivo e accedendo all’Account Google, i codici sincronizzati possono essere nuovamente disponibili.
Posso usare Google Authenticator senza un Account Google?
Sì.
Google permette ancora di utilizzare Authenticator senza effettuare l’accesso a un Account Google.
In questo caso i codici rimangono sul dispositivo invece di essere sincronizzati attraverso l’account.
Google indica esplicitamente l’opzione “Utilizza senza un account” durante la configurazione.
È una scelta che può avere senso per chi preferisce mantenere completamente locale il proprio archivio Authenticator.
Bisogna però essere ancora più attenti ai trasferimenti e ai sistemi di recupero.
Come trasferire Google Authenticator su un nuovo telefono
Se utilizziamo la sincronizzazione con l’Account Google, il procedimento è diventato molto più semplice.
Installiamo Authenticator sul nuovo dispositivo e accediamo allo stesso Account Google.
I codici sincronizzati vengono resi disponibili sul nuovo dispositivo.
Se invece utilizziamo Authenticator senza Account Google, possiamo effettuare un trasferimento manuale.
Sul vecchio smartphone è disponibile:
Menu → Trasferisci account → Esporta account
e sul nuovo:
Trasferisci account → Importa account.
Il vecchio dispositivo genera uno o più QR Code che vengono scansionati dal nuovo telefono. Google precisa che per questa procedura bisogna avere ancora accesso al vecchio dispositivo.
Prima di cambiare telefono controlla Authenticator
Io inserirei quindi Authenticator nella checklist di qualsiasi cambio smartphone.
Prima di cancellare o vendere il vecchio telefono controllerei sempre:
Authenticator, password manager, passkey, app bancarie e sistemi di autenticazione.
Fare il reset del vecchio smartphone e scoprire cinque minuti dopo che conteneva l’unico sistema attraverso cui potevamo entrare in un account amministrativo è un’esperienza che possiamo tranquillamente evitare.
Cosa succede se perdo il telefono?
Dipende da come abbiamo configurato i nostri account.
Se i codici sono sincronizzati con l’Account Google, possiamo recuperarli su un altro dispositivo accedendo allo stesso account.
Ma non farei affidamento su un solo sistema.
Per gli account importanti conviene configurare anche metodi alternativi di recupero.
Google, per esempio, permette di generare codici di backup utilizzabili quando non possiamo accedere al normale secondo fattore. I codici sono monouso e, generandone una nuova serie, quella precedente viene invalidata.
È una precauzione molto semplice che può evitare parecchi problemi.
Dove conservare i codici di backup
I codici di backup non devono essere conservati insieme al telefono che stiamo cercando di proteggere.
Altrimenti, se perdiamo il dispositivo, perdiamo contemporaneamente:
Authenticator e codici di emergenza.
Google suggerisce di conservare i codici di backup in un luogo sicuro e permette anche di stamparli.
Personalmente li tratterei esattamente come password.
Possono quindi essere conservati, per esempio, in un password manager adeguatamente protetto oppure attraverso una procedura di backup sicura.
Non condividere mai un codice Authenticator
Se qualcuno ci telefona dicendo:
“Sono dell’assistenza, mi legga il codice che vede su Google Authenticator”
la risposta dovrebbe essere molto semplice:
no.
Un codice temporaneo è una credenziale.
Google avverte espressamente di non comunicare i codici di verifica ad altre persone e precisa che non chiamerà un utente per chiedergli un codice.
Lo stesso vale per:
SMS, codici di backup, PIN e password.
L’urgenza è una delle tecniche più utilizzate nelle truffe:
“Mi dia subito il codice perché altrimenti blocchiamo l’account.”
Se un servizio ci chiede realmente una verifica, effettuiamola entrando direttamente nel servizio attraverso il suo sito o la sua applicazione.
Proteggere anche l’accesso a Google Authenticator
Il fatto che Authenticator contenga i nostri secondi fattori significa che anche lo smartphone deve essere adeguatamente protetto.
Google Authenticator dispone oggi della funzione Schermata privata, che richiede una verifica del dispositivo, come PIN, sequenza o biometria, prima di consentire l’utilizzo dell’app.
La attiverei.
Il percorso indicato da Google è:
Google Authenticator
→ Menu
→ Impostazioni
→ Schermata privataIn questo modo sbloccare fisicamente il telefono non significa necessariamente avere automaticamente accesso anche ai codici.
Meglio password + Authenticator oppure una passkey?
Non esiste una risposta identica per ogni servizio.
Google sta spingendo molto sulle passkey, che permettono di autenticarsi utilizzando il dispositivo e il relativo sistema di sblocco.
Per l’Account Google, quando viene utilizzata una passkey non è necessario un secondo passaggio separato perché il possesso del dispositivo viene già verificato durante l’autenticazione.
Le passkey hanno inoltre una maggiore resistenza al phishing rispetto alla combinazione tradizionale password + codice digitato manualmente.
Questo non rende improvvisamente inutile Google Authenticator.
Esistono ancora moltissimi servizi nei quali le app TOTP rappresentano un’ottima soluzione 2FA e non tutti supportano ancora le passkey.
Google Authenticator e password manager fanno due lavori diversi
Nel precedente articolo ho parlato di KeePass per conservare password e PIN.
KeePass e Google Authenticator non fanno esattamente la stessa cosa.
Possiamo semplificare così:
KeePass
↓
conserva la password
Google Authenticator
↓
genera il secondo codice di autenticazionePer esempio:
WordPress
Username:
mario
Password:
memorizzata nel password manager
Secondo fattore:
Google AuthenticatorQuesta è una configurazione decisamente più robusta rispetto a:
Username + password123utilizzata magari anche su altri dieci siti.
Quali account proteggerei per primi
Se non abbiamo mai utilizzato la verifica in due passaggi, partirei dagli account che possono diventare la porta di accesso a tutti gli altri.
La priorità dovrebbe riguardare soprattutto email principale, password manager, servizi cloud, hosting, domini, amministrazioni dei siti web, social utilizzati professionalmente e account aziendali.
La posta elettronica merita particolare attenzione.
Se qualcuno controlla la nostra email può spesso utilizzare le procedure “Password dimenticata” di moltissimi altri servizi.
Proteggere l’email significa quindi proteggere indirettamente una parte significativa della nostra identità digitale.
Gli errori da evitare con Google Authenticator
L’errore più grave è attivare la 2FA senza pensare a cosa succederebbe se perdessimo il telefono.
Prima di considerare conclusa la configurazione verifico quindi sempre che esista almeno un metodo di recupero affidabile.
Bisogna inoltre evitare di condividere codici, conservare incautamente QR Code di configurazione, disabilitare il blocco dello smartphone o considerare Authenticator una protezione assoluta dal phishing.
La sicurezza funziona bene quando ci sono più livelli, non quando affidiamo tutto a una singola applicazione.
Google Authenticator: vale la pena usarlo?
Sì.
Per molti account rappresenta un modo semplice e gratuito per aggiungere una protezione significativa rispetto alla sola password.
La configurazione richiede generalmente pochi minuti.
Una volta abituati, inserire un codice di sei cifre durante gli accessi importanti diventa un’operazione quasi automatica.
Il beneficio è però molto maggiore del piccolo fastidio iniziale.
Con una buona configurazione possiamo avere:
password unica e robusta + secondo fattore + codici di recupero + dispositivo protetto.
E dove possibile possiamo valutare anche passkey e token di sicurezza per aumentare ulteriormente la resistenza agli attacchi di phishing.
Conclusioni
Google Authenticator risolve un problema molto concreto:
una password può essere rubata.
Aggiungendo un secondo fattore, la password non rappresenta più necessariamente l’unico elemento necessario per accedere all’account.
L’app funziona anche offline, può gestire account di servizi differenti e nelle versioni attuali permette anche di sincronizzare i codici attraverso l’Account Google oppure di continuare a utilizzarli esclusivamente sul dispositivo.
Il consiglio più importante, però, non riguarda il pulsante da premere nell’app.
Riguarda il metodo.
Prima di attivare qualsiasi sistema di autenticazione chiediamoci sempre:
“Se domani perdo questo telefono, come rientro nei miei account?”
Se abbiamo già una risposta sicura a questa domanda, abbiamo configurato correttamente non soltanto Google Authenticator.
Abbiamo iniziato a gestire seriamente la sicurezza dei nostri account.
Note sulla modalità di scrittura del post
Questo articolo è stato scritto senza alcun aiuto dai sistemi di intelligenza artificiale, quali OpenAI, ChatGPT e simili.