Come scegliere un’app di autenticazione: backup, sincronizzazione e recupero

Un’app di autenticazione può generare codici temporanei da inserire insieme alla password quando si accede. In molti servizi, l’utente registra l’app scansionando un codice QR durante la configurazione; in seguito, l’app genera codici che cambiano periodicamente. Il codice è un secondo fattore, ma non sostituisce la password né gli altri meccanismi di recupero dell’account. È quindi utile considerarlo una componente dell’accesso, non un metodo autonomo capace di risolvere ogni imprevisto.

È importante distinguere questo uso dalle notifiche di approvazione e dalle passkey. Anche se un’unica applicazione può riunire diverse funzioni, queste non vengono necessariamente copiate o ripristinate nello stesso modo. Per esempio, la documentazione di Google Authenticator descrive come ottenere codici di verifica; le istruzioni di Microsoft trattano separatamente i backup degli account e la procedura per ripristinare le credenziali. Il nome dell’app non basta a capire che tipo di credenziale si possiede o come recuperarla.

Quando si configura un account, l’app riceve o deriva il materiale necessario a generare i codici. Il QR di registrazione può contenere informazioni sensibili: non è un’immagine innocua e una copia accessibile ad altri potrebbe consentire di generare codici per quell’account. Non pubblicarlo, non inviarlo tramite messaggistica non protetta e non salvarlo come screenshot in una cartella condivisa. L’app protegge un segreto di autenticazione, ma non rende automaticamente sicuro ogni luogo in cui quel segreto viene copiato. Se il servizio offre una procedura ufficiale per configurare di nuovo il secondo fattore, consultala prima di fare affidamento su un’immagine salvata.

Prima di scegliere, scopri che cosa significa esattamente «backup» nell’app. Può trattarsi di un’esportazione manuale, di un backup in un account cloud o di un trasferimento diretto tra dispositivi. Sono meccanismi diversi, con requisiti e conseguenze differenti. Un’esportazione scaricabile può agevolare il passaggio a un’altra piattaforma, ma crea un file da proteggere; la sincronizzazione può ridurre il rischio di perdere i codici se il telefono si rompe, ma dipende da come viene autenticato e protetto l’account associato. L’etichetta comune «backup» non descrive da sola quali dati siano inclusi né come recuperarli.

Cerca risposte precise nella documentazione ufficiale, non soltanto in una descrizione dello store. Verifica se la funzione riguarda i codici di servizi di terze parti, se richiede l’accesso a un account, quale spazio di archiviazione utilizza, se funziona tra Android e iOS, se il backup è cifrato e quali passaggi servono per ripristinarlo. Se la documentazione non chiarisce un punto, annotalo come sconosciuto: non interpretare il silenzio come una garanzia implicita. È importante anche che le istruzioni riguardino la piattaforma e la versione che intendi usare, perché i passaggi disponibili possono variare.

Le differenze tra le app mostrano perché è necessario leggere le condizioni specifiche. Google documenta le opzioni per ottenere codici con Authenticator. Microsoft pubblica istruzioni separate per eseguire il backup e ripristinare le credenziali. WatchGuard, invece, indica che il backup su iCloud o Google Drive riguarda i token di terze parti e non i propri token WatchGuard. Questa distinzione non permette di generalizzare le regole di un prodotto ad altri. Una funzione descritta per una categoria di credenziali non va data per scontata per le altre.

La disponibilità di un backup non equivale necessariamente a un ripristino completo. Il backup potrebbe contenere solo determinati tipi di account, il ripristino potrebbe dipendere dallo stesso sistema operativo oppure potrebbe essere necessario accedere prima a un account cloud. Alcuni account possono anche richiedere di registrare di nuovo il secondo fattore tramite il sito del servizio. La domanda utile non è soltanto «esiste un backup?», ma «posso recuperare ogni account nello scenario che mi interessa?»

Controlla le istruzioni per tre situazioni: perdita del telefono, cambio programmato del dispositivo e passaggio a un’altra piattaforma. Verifica se l’app richiede il vecchio telefono, un PIN, un account del fornitore, l’accesso a iCloud o Google Drive oppure un ulteriore passaggio di verifica. La documentazione di Microsoft contempla procedure di backup e ripristino; ciò non significa che tutti i tipi di account in Microsoft Authenticator funzionino allo stesso modo. Consulta la guida specifica e le limitazioni vigenti per il tuo caso. Così puoi distinguere i requisiti di una migrazione preparata da quelli applicabili quando il dispositivo precedente non è più disponibile.

Un ripristino, inoltre, non recupera necessariamente l’accesso all’account protetto se i codici sono stati persi e non esiste un backup utilizzabile. Ogni servizio può offrire codici di recupero, una chiave di sicurezza, una verifica alternativa o assistenza. Conserva i codici di recupero in un luogo protetto e separato dalla password. Non confonderli con i codici temporanei generati dall’app: hanno una funzione di emergenza e possono essere monouso. Verifica anche le indicazioni del servizio su come conservarli, in modo che siano disponibili quando servono davvero.

Confronta i dati associati a un account e il luogo in cui vengono archiviati i backup. Se si utilizza un servizio cloud, la protezione dipende dalla sicurezza dell’account, dalle opzioni di recupero e dalla progettazione dell’app. La sola parola «cifrato» non chiarisce tutto: è utile sapere se il fornitore può accedere ai contenuti, se serve una chiave controllata soltanto dall’utente e che cosa accade se la chiave viene dimenticata. Il recupero del backup e la protezione dei suoi contenuti sono questioni collegate, ma non identiche.

Con un’esportazione locale, l’utente può evitare una parte della dipendenza da un account cloud, ma si assume la responsabilità di proteggere e conservare il file. Un file non protetto salvato sul computer, nell’e-mail o in una cartella sincronizzata può esporre i segreti. Con la sincronizzazione, invece, è necessario valutare l’accesso all’account, il recupero dello stesso account e i dispositivi già collegati. L’opzione più comoda non è automaticamente la più riservata né quella più facilmente recuperabile.

Considera le dichiarazioni di sicurezza come informazioni sulla progettazione annunciata, non come prova assoluta di sicurezza. Verifica chi pubblica la documentazione, quando è stata aggiornata e a quali funzioni si riferisce. Le recensioni di terze parti possono aiutare a individuare domande o alternative, ma per conoscere una procedura aggiornata è preferibile la documentazione dello sviluppatore. Se un’app consente l’esportazione, verifica anche se il formato esportato è leggibile da altre app e come viene protetto. In questo modo puoi valutare non solo dove si trova il backup, ma anche quanto margine hai per trasferirlo o riutilizzarlo.

Finché il telefono precedente funziona, usalo per preparare e verificare il trasferimento. Non ripristinare il dispositivo né eliminare la vecchia app prima di aver verificato che puoi accedere agli account importanti con il nuovo telefono. Se un account consente di registrare più di un metodo di secondo fattore, valuta di abilitarne uno alternativo prima della migrazione, seguendo le istruzioni del servizio. Tenere disponibile il vecchio telefono durante le prove permette di correggere un problema di trasferimento senza perdere subito il metodo che già funziona.

Una sequenza prudente è:

• Consulta la documentazione dell’app e di ciascun account importante; individua che cosa verrà trasferito e che cosa richiede una connessione a Internet o un account cloud.
• Prepara il nuovo telefono ed esegui l’importazione o il ripristino tramite la funzione documentata, invece di fotografare i codici QR esistenti.
• Prova ad accedere a ogni servizio mantenendo disponibile il vecchio dispositivo.
• Conserva i codici di recupero in un luogo protetto e verifica di sapere come usarli.
• Solo dopo aver verificato l’accesso dal nuovo telefono, rimuovi il vecchio dispositivo dalle impostazioni di sicurezza di ogni servizio e cancellalo in modo sicuro.

Non esiste una risposta universale: la scelta dipende dal fatto che si dia priorità al trasferimento locale, alla sincronizzazione tra dispositivi, all’integrazione con un account o all’indipendenza da un fornitore. La documentazione disponibile per Google Authenticator, Microsoft Authenticator e 2FAS Auth permette di consultare funzioni specifiche, ma le rispettive pagine non costituiscono da sole un confronto esaustivo della sicurezza e non garantiscono la compatibilità con tutti gli account. Il confronto dovrebbe quindi concentrarsi sulle esigenze personali e sulle informazioni pubblicate per ciascuna funzione, non su una classifica generale delle app.

Prima di installare o migrare, completa questa lista usando le informazioni relative alla versione e alla piattaforma che utilizzerai davvero:

• Trasferimento: è disponibile un’esportazione, un ripristino da backup o una migrazione diretta? Funziona tra sistemi operativi?
• Ambito: include tutti i codici o esclude determinati tipi di account?
• Dipendenze: richiede un account del fornitore, archiviazione cloud, il dispositivo precedente o una connessione?
• Protezione: che cosa dice la documentazione sulla cifratura, sul blocco dell’app e sulla protezione del file esportato?
• Recupero: che cosa succede se perdi il telefono, la password cloud o la chiave di cifratura?
• Uscita: puoi trasferire i codici a un’altra app o recuperare ogni account direttamente dal servizio?
• Aggiornamento: la guida riguarda la versione e la piattaforma attuali e contiene istruzioni ufficiali per il caso specifico?

Un’app può generare correttamente i codici e tuttavia non soddisfare le tue esigenze di migrazione o recupero. La decisione dovrebbe considerare insieme il metodo di autenticazione, il controllo dei backup, la facilità di passare a un altro dispositivo e le alternative offerte da ciascun servizio protetto. Non scegliere soltanto perché è disponibile la sincronizzazione: verifica che cosa viene sincronizzato, come si ripristina e chi può accedere all’account che lo conserva.

La documentazione cambia e le opzioni possono variare in base a piattaforma, versione e tipo di account. Prima di trasferire i codici, conferma la procedura nelle pagine ufficiali pertinenti e conserva il vecchio accesso fino al completamento delle prove. Se un’affermazione su cifratura, recupero o compatibilità non è documentata chiaramente, considerala un’incognita da chiarire, non una proprietà presunta. Questa verifica preliminare non elimina ogni rischio, ma aiuta a decidere comprendendo meglio i passaggi necessari e le dipendenze che si accettano.