Computer

Come attivare l'autenticazione a due fattori

Si attiva dentro le impostazioni di sicurezza dell'account — Google, Microsoft o Apple ID — e da quel momento, oltre alla password, serve anche il telefono o un codice per entrare. Appena la attivi, genera e salva subito i codici o la chiave di backup: senza, se perdi il telefono rischi di restare fuori dal tuo account per giorni (Apple) o fino a 30 giorni (Microsoft).

Fabrizio Picco
scritta il 28 settembre 2026 · si legge in 10 minuti

Una password, da sola, oggi non basta più a tenerti al sicuro: finisce nelle fughe di dati di siti che non c'entrano niente con te, e chi la trova la prova ovunque. La verifica in due passaggi — anche chiamata autenticazione a due fattori, o «2FA» — aggiunge una seconda prova che sei davvero tu: chi scopre la password, senza quella seconda prova, non entra lo stesso. Ecco come si attiva sui tre account più importanti (Google, Microsoft, Apple ID) e, soprattutto, cosa preparare prima di farlo per non restare bloccato fuori.

Cos'è, e perché ti conviene attivarla

La verifica in due passaggi chiede due prove di essere davvero tu: una cosa che sai (la password) e una cosa che hai (il telefono, un'app di autenticazione o una chiavetta fisica). Anche chi scopre la password — da una fuga di dati, da un sito-truffa, da un messaggio di phishing — non riesce comunque a entrare senza il secondo elemento.

Il principio è lo stesso su Google, Microsoft e Apple, ma il nome che usano e il modo in cui lo mettono in pratica cambiano: qui trovi i tre percorsi, uno per uno.

Vale anche per Facebook, Instagram e gli altri social: la trovi nelle impostazioni di sicurezza dell'account, con lo stesso principio spiegato qui. Non riportiamo il percorso esatto dei loro menu perché, al momento di scrivere questa guida, le pagine ufficiali di assistenza non erano leggibili con gli strumenti a disposizione: meglio dirlo che inventare un percorso.

Attivarla sull'Account Google

Vale per Gmail e per tutti i servizi collegati (YouTube, Drive, Foto…): è un'unica impostazione sull'Account Google.

Google stessa avvisa che i codici via SMS o chiamata «possono essere vulnerabili agli attacchi basati sui numeri di telefono»: se puoi, scegli passkey, app di autenticazione o richieste invece dello SMS. Anche Microsoft sta eliminando gli SMS per lo stesso motivo sugli account personali (vedi sezione Microsoft); per Apple una dichiarazione ufficiale equivalente non è stata trovata.
  1. Vai su myaccount.google.com, accedi, poi apri Sicurezza e accesso.
  2. Nella sezione «Come accedi a Google», seleziona Attiva la verifica in due passaggi e segui le istruzioni a schermo.
  3. Scegli il metodo: Google consiglia le passkey (impronta, volto o blocco schermo del telefono); ci sono anche l'app Google Authenticator, le richieste da Google (una notifica da confermare sul telefono), SMS o chiamata vocale, un token di sicurezza fisico e il codice QR (usato in alcuni casi al posto dello SMS, meno vulnerabile secondo Google).
  4. Prima di uscire dalla pagina, genera anche i codici di backup: ne parliamo nella sezione dedicata più sotto, ma è il passaggio da non saltare.
La pagina Sicurezza e accesso dell'Account Google, con la voce Verifica in due passaggi (illustrazione ricostruita)
La pagina Sicurezza e accesso dell'Account Google, con la voce Verifica in due passaggi (illustrazione ricostruita)

Attivarla sull'Account Microsoft

Vale per Outlook, Hotmail e Xbox: un'unica impostazione sull'Account Microsoft.

Microsoft sta eliminando gradualmente gli SMS come metodo di verifica e recupero per gli account personali: una pagina ufficiale dedicata li definisce «una delle principali fonti di frode» (anche per lo scambio di SIM) e consiglia passkey, email verificata o l'accesso con un account Apple o Google al loro posto — nessuna data precisa indicata. Oltre ai metodi, Microsoft genera anche un codice di ripristino da stampare: se ne parla nella sezione più sotto, ed è il piano B da preparare prima di attivare.
  1. Vai su account.microsoft.com/security, accedi, poi apri Gestisci la modalità di accesso.
  2. In Sicurezza aggiuntiva e verifica in due passaggi, scegli Attiva e segui le istruzioni: può comparire un codice QR da inquadrare col telefono per confermare che è tuo.
  3. Scegli il metodo: email, SMS o chiamata, oppure una qualsiasi app di autenticazione (ad esempio Microsoft Authenticator).
  4. Aggiungi tre metodi di verifica diversi: è il consiglio esplicito di Microsoft, così se ne perdi uno hai ancora gli altri due per entrare. Evita di contare sullo SMS come uno dei tre: vedi l'avviso qui sotto.
La pagina Modalità di accesso dell'Account Microsoft, con la sezione Sicurezza aggiuntiva e verifica in due passaggi (illustrazione ricostruita)
La pagina Modalità di accesso dell'Account Microsoft, con la sezione Sicurezza aggiuntiva e verifica in due passaggi (illustrazione ricostruita)

Attivarla sull'Apple ID

Apple la chiama autenticazione a due fattori (nelle pagine di supporto oggi chiama l'account «Apple Account», ma il nome che continua a usare quasi tutti è «Apple ID»): su molti account creati di recente è già attiva, perché — dice Apple — «è il metodo di sicurezza predefinito per la maggior parte degli account». Se manca, si attiva così.

È obbligatoria per usare Apple Pay e Accedi con Apple. Se il tuo Apple ID l'aveva già attiva dalla creazione, non si può più disattivare: «questa protezione aggiuntiva non può essere rimossa», dice Apple stessa.
  1. Su iPhone o iPad: Impostazioni → [il tuo nome] → Accesso e sicurezza, poi attiva l'autenticazione a due fattori.
  2. Su Mac: stesso percorso, dentro Impostazioni di Sistema.
  3. Da un browser: vai su account.apple.com e tocca l'opzione per aggiornare la sicurezza dell'account.
  4. Aggiungi almeno un numero di telefono fidato; se ne hai più di uno, valuta di usarne uno non legato all'iPhone che porti sempre con te (nostro consiglio pratico, non una regola scritta da Apple), così non resti bloccato se perdi quello principale.
La schermata Accesso e sicurezza nelle Impostazioni dell'iPhone, con la voce Autenticazione a due fattori (illustrazione ricostruita)
La schermata Accesso e sicurezza nelle Impostazioni dell'iPhone, con la voce Autenticazione a due fattori (illustrazione ricostruita)

Il passaggio che quasi nessuno fa: salva subito i codici

È la parte che le altre guide scrivono poco, ed è quella che conta davvero: se perdi il telefono, lo cambi o si rompe senza aver preparato un piano B, il rischio non è una scocciatura di dieci minuti. È restare fuori dal tuo stesso account per giorni o settimane — nel caso peggiore, per sempre.

Attenzione a non confondere i sistemi: i codici di Google e il codice di ripristino di Microsoft restano validi accanto alla verifica normale; la chiave di recupero di Apple, se attivata, sostituisce la procedura standard invece di aggiungersi ad essa. Trattarle come la stessa cosa è l'errore più costoso che si possa fare leggendo questa guida di fretta.
AccountIl tuo piano BSe lo perdi (o non l'hai preparato)
Google10 codici di backup da 8 cifre, generati su myaccount.google.com → Sicurezza e accesso → Verifica in due passaggi → Codici di backupDevi passare da altri metodi di recupero dell'account
MicrosoftUn codice di ripristino di 25 cifre da stampare, più tre metodi di verifica diversi collegati all'accountIl recupero può richiedere fino a 30 giorni — e in alcuni casi Microsoft dichiara che si può perdere l'accesso definitivamente
AppleUna chiave di recupero di 28 caratteri, opzionale, da attivare a parteSenza chiave attivata: il recupero standard potrebbe richiedere «alcuni giorni o anche di più». Con la chiave attivata, se poi la perdi insieme all'accesso ai tuoi dispositivi: blocco permanente — «se la smarrisci, Apple non potrà fornirtela»
  1. Genera i codici di backup di Google ora, anche se non hai ancora perso niente: myaccount.google.com → Sicurezza e accesso → Verifica in due passaggi → nella sezione Codici di backup fai clic su Continua → Ricevi codici di backup. Sono 10 codici da 8 cifre: ognuno si usa una volta sola, e quando finiscono se ne può generare un'altra serie in qualsiasi momento.
  2. Su Microsoft, genera anche il codice di ripristino da «Gestisci la modalità di accesso» → sezione «Codice di ripristino»: è un unico codice di 25 cifre, va stampato (non tenuto sui dispositivi con cui accedi) e un nuovo codice rende inattivo il precedente. Aggiungi comunque tre metodi di verifica — non fermarti al primo — evitando di contare sullo SMS, che Microsoft sta eliminando.
  3. Su Apple, valuta la chiave di recupero solo se capisci la conseguenza: attivarla disattiva la procedura di recupero standard di Apple. Da quel momento, per recuperare l'account ti servono sia un dispositivo fidato (o il numero di telefono fidato) sia quella chiave — non bastano altre vie. Se decidi di attivarla, stampala o scrivila a mano e conservala in più di un posto sicuro fisico; non salvarla nell'app Password di Apple, in iCloud Foto, Note o iCloud Drive — se resti bloccato fuori dall'account, non potresti comunque aprire quelle app per recuperarla.
  4. Dove conservare tutto questo: non in una nota del telefono che sblocchi con lo stesso account, non in una mail che usa la stessa password. Un foglio stampato in un cassetto, o affidato a una persona di fiducia, funziona meglio di qualunque posto digitale collegato all'account che stai proteggendo.

Domande frequenti

Cos'è la verifica in due passaggi?

È un secondo controllo che si aggiunge alla password quando accedi a un account: oltre a quello che sai (la password), serve anche qualcosa che hai, come il telefono o un'app di autenticazione. Anche chi scopre la password non riesce a entrare senza quel secondo elemento.

Gli SMS per la verifica in due passaggi sono sicuri?

No, secondo Google e Microsoft: Google avvisa esplicitamente che i codici via SMS o chiamata «possono essere vulnerabili agli attacchi basati sui numeri di telefono», e Microsoft sta eliminando gradualmente gli SMS per gli account personali definendoli «una delle principali fonti di frode». Dove puoi, preferisci passkey, app di autenticazione o le richieste push. Per Apple non è stata trovata una dichiarazione ufficiale equivalente: non significa che l'SMS sia sicuro anche lì, solo che non c'è una fonte che lo dica in modo altrettanto esplicito.

Cosa succede se perdo il telefono dopo aver attivato la verifica in due passaggi?

Dipende dal piano B che avevi preparato prima. Su Google, usi i codici di backup salvati in precedenza. Su Microsoft, usi il codice di ripristino stampato o un altro dei metodi collegati all'account — se non ne avevi nessuno, il recupero può richiedere fino a 30 giorni, e Microsoft dichiara che in alcuni casi si perde l'accesso in modo definitivo. Su Apple, se avevi un dispositivo fidato puoi rientrare; se avevi anche attivato la chiave di recupero, ti servono sia il dispositivo (o il numero di telefono fidato) sia la chiave insieme — se non avevi attivato nessuna chiave, il recupero standard potrebbe richiedere «alcuni giorni o anche di più».

I codici di backup e la chiave di recupero di Apple sono la stessa cosa?

No, ed è la differenza più importante di questa guida. I codici di backup di Google e il codice di ripristino di Microsoft restano validi accanto alla verifica normale. La chiave di recupero di Apple invece, una volta attivata, sostituisce la procedura di recupero standard: se la smarrisci, Apple stessa dichiara di non poterla fornire di nuovo.

La verifica in due passaggi è obbligatoria?

Su Apple ID è il metodo predefinito per la maggior parte degli account, ed è obbligatoria per usare Apple Pay e Accedi con Apple; se il tuo Apple ID l'aveva già attiva dalla creazione, non si può più disattivare. Su Google e Microsoft, dalle pagine ufficiali lette per questa guida risulta un'impostazione che si attiva volontariamente, non un obbligo.

Funziona anche su Facebook e Instagram?

Sì, il principio è lo stesso: la trovi nelle impostazioni di sicurezza dell'account. Le pagine ufficiali di assistenza di Meta non erano leggibili al momento di scrivere questa guida, quindi qui non descriviamo il percorso esatto dei loro menu: meglio dirlo che inventarlo.

Da dove vengono questi dati

Dati controllati il 28 settembre 2026.

Questa guida l’ho scritta con l’aiuto dell’intelligenza artificiale e l’ho verificata sulle fonti qui sopra prima di pubblicarla. Come lavoro

Continua da qui