Autenticazione a due fattori: Google o Microsoft Authenticator?

Una password, anche robusta, può essere rubata o riutilizzata dopo una violazione. L’autenticazione a due fattori (2FA) aggiunge una verifica diversa dalla password, per esempio un codice generato sullo smartphone. È una protezione importante per il pannello di un sito, le aree riservate dei clienti e i gestionali che custodiscono documenti e dati aziendali.

Perché attivare la 2FA

Se un malintenzionato scopre la password, il secondo fattore rende più difficile completare l’accesso. La priorità va agli amministratori, agli account con privilegi elevati e alla posta elettronica, spesso usata per reimpostare le credenziali degli altri servizi.

La 2FA funziona quando combina fattori differenti: qualcosa che conosci, come la password, e qualcosa che possiedi, come il dispositivo registrato. Due password o due domande di sicurezza non offrono la stessa separazione. La protezione deve essere prevista dal sito o dal gestionale: installare un’app sul telefono, da solo, non la attiva.

Google Authenticator e Microsoft Authenticator: le differenze

Entrambe le app possono gestire i codici temporanei dei servizi compatibili con lo standard TOTP. Un sito che parla di “Google Authenticator” spesso supporta anche altre app TOTP: verifica comunque le istruzioni del servizio.

Attenzione: le notifiche push non diventano disponibili su qualsiasi sito semplicemente scegliendo Microsoft Authenticator. Dipendono dall’integrazione del servizio e dalle impostazioni dell’organizzazione.

Qual è la migliore?

Per un sito o un gestionale che richiede soltanto codici TOTP, entrambe sono scelte valide. Google Authenticator è una scelta pratica se cerchi un’app focalizzata sui codici e apprezzi la sincronizzazione facoltativa con Google. Microsoft Authenticator è spesso più adatta se lavori con Microsoft 365 o Microsoft Entra e l’azienda utilizza notifiche, accessi senza password o criteri di autenticazione dedicati.

Il vantaggio dipende quindi dal servizio e dalla gestione degli account, non da una superiorità assoluta dei codici generati. Per un’azienda, la scelta migliore è quella supportata dalla propria infrastruttura e accompagnata da procedure di recupero chiare.

Come applicarla a siti, aree riservate e gestionali

1. Inizia dagli accessi più delicati. Abilita la 2FA per amministratori e operatori, poi estendila agli utenti secondo i rischi e le funzioni disponibili.
2. Usa un’integrazione affidabile. Scegli funzioni native, un sistema di identità aziendale o un componente mantenuto e compatibile con la piattaforma. Prova accesso e recupero prima del rilascio.
3. Registra il dispositivo e conferma il primo codice. Durante la configurazione, tratta il QR code e la chiave segreta come credenziali: non condividerli.
4. Prepara il recupero. Conserva i codici di emergenza in un luogo protetto e separato dal telefono. Verifica il backup e la procedura di cambio dispositivo prima di dismettere quello vecchio.
5. Proteggi il telefono e gli account di sincronizzazione. Attiva il blocco del dispositivo e mantieni aggiornati sistema e app. Non approvare richieste di accesso che non hai avviato.
6. Gestisci gli utenti nel tempo. Usa account personali, revoca gli accessi non più necessari e prevedi una procedura verificata per lo smarrimento del secondo fattore.

La 2FA non elimina ogni rischio

I codici temporanei possono ancora essere sottratti con pagine di phishing che li chiedono in tempo reale. Dove disponibili, valuta passkey o chiavi di sicurezza FIDO2/WebAuthn, progettate per resistere meglio a questo tipo di attacco. La 2FA affianca password uniche, aggiornamenti, autorizzazioni corrette e controlli sugli accessi.

Fonti: Google Authenticator, Microsoft Authenticator ed Entra, ripristino degli account Microsoft Authenticator e guida CISA sull’autenticazione.