Generatore di codici 2FA in tempo reale

La 2FA si ottiene dall’account che vuoi proteggere: apri le impostazioni, cerca la voce «Sicurezza» o «Accesso e sicurezza» e trova «Autenticazione a due fattori» o «Verifica in due passaggi». Scegli l’opzione per l’app di autenticazione, scansiona il codice QR — oppure clicca «non riesci a scansionare?» per far comparire la chiave di configurazione (una stringa Base32 o un URI otpauth://) — e incollala nel generatore in cima a questa pagina. Inserisci il codice live per confermare la configurazione, poi salva i codici di recupero che il servizio ti mostra.

Quattro passaggi, circa due minuti: 1) Apri le impostazioni dell’account o di sicurezza e seleziona «Autenticazione a due fattori». 2) Scegli «Usa un’app di autenticazione» (evita gli SMS se esiste un’opzione migliore). 3) Scansiona il codice QR con l’autenticatore — oppure salva la chiave di configurazione. 4) Inserisci il codice live per completare la procedura, poi scarica o stampa i codici di backup. Pubblichiamo guide passo passo per Google, GitHub, Discord, Binance e altri servizi.

Dopo la password, il servizio chiede una seconda prova di identità. Con il metodo standard TOTP (RFC 6238), il tuo autenticatore calcola un codice a 6 cifre da un segreto condiviso più l’ora corrente, e il server esegue lo stesso identico calcolo e confronta i risultati. Il codice viene ricalcolato ogni 30 secondi e, una volta scaduto, non vale più nulla — così una password rubata, da sola, non apre più il tuo account.

Protegge qualsiasi accesso che qualcun altro desidera: email e suite cloud (Google, Microsoft, Apple), conti bancari e di trading, exchange di criptovalute (Binance, Coinbase, Kraken), piattaforme per sviluppatori (GitHub, AWS), gaming (Steam, Discord, Twitch) e social (X, Instagram). Le aziende la usano anche per VPN, posta elettronica e console di amministrazione. Ovunque un sito offra l’opzione «app di autenticazione», quella è la corsia della 2FA.

No — non lo è nessuna misura di sicurezza, e le guide oneste lo dicono. La 2FA neutralizza gli attacchi con password rubate, ma un codice appena digitato su un sito falso, nei suoi 30 secondi di vita, finisce comunque nelle mani di un truffatore; un malware già presente sul dispositivo può dirottare la sessione stessa, e i codici SMS possono cadere vittime degli attacchi SIM swap. Anche con queste avvertenze, un account con 2FA è molto più difficile da violare di uno senza.

Nessun governo la impone per legge, ma sempre più piattaforme sì: GitHub la richiede a chi contribuisce con codice dal 2023, banche ed exchange di criptovalute la rendono obbligatoria, e i datori di lavoro la prescrivono di routine per gli accessi di lavoro. Altrove è facoltativa ma fortemente consigliata. Considerala comunque obbligatoria per il tuo account più prezioso — la tua email — perché chi controlla la tua casella può reimpostare tutto il resto.

Perché le password continuano a fallire sempre allo stesso modo. Miliardi di password reali sono già pubbliche a causa dei data breach, e gli aggressori le ripropongono su tutti gli altri siti, giorno e notte (credential stuffing). Microsoft segnala che la 2FA blocca oltre il 99,9% degli attacchi automatizzati di takeover degli account: è l’aggiornamento più economico in assoluto per proteggere email, banca, gaming e criptovalute dalle minacce che succedono davvero.

Dipende interamente dal secondo fattore. I codici SMS sono i più deboli, perché con un SIM swap un aggressore ruba il tuo numero e riceve i messaggi al posto tuo. I codici degli autenticatori TOTP — quelli da 30 secondi — sono robusti a livello computazionale: nulla viene trasmesso, un attaccante offline non può ricavarli e ognuno scade in pochi secondi. Le chiavi di sicurezza hardware e le passkey sono i più forti di tutti: resistenti al phishing e vincolate crittograficamente al dominio reale.

Perché l’era della sola password è crollata. I breach industriali hanno esposto miliardi di credenziali, il credential stuffing automatizzato ha reso il dirottamento degli account quasi gratis, e le piattaforme si sono stancate di pagare le conseguenze. A ciò si sono aggiunti i regolatori: il NIST ha deprecato gli SMS negli standard statunitensi, e la PSD2 dell’Unione europea richiede l’autenticazione forte del cliente. Dopo che pochi giganti hanno normalizzato la 2FA, tutti gli altri servizi hanno seguito.

No. Questo è uno strumento 2FA nel browser: funziona su qualunque laptop, tablet o desktop con un browser moderno, online o completamente offline una volta installato come app. Sostituisce l’app del telefono quando questo è perduto, venduto, rotto, scarico — o semplicemente vietato dove lavori.

Sì. Ogni calcolo avviene in locale nel tuo browser con la Web Crypto API. Le tue chiavi segrete non vengono mai inviate a — né viste da — alcun server. Puoi caricare la pagina, disconnetterti da internet, e il generatore continua a funzionare.

Assolutamente sì. Installa 2FA COUNTER come app (Aggiungi alla schermata Home / Installa) e funziona completamente offline, come un autenticatore nativo. I codici derivano dal tuo segreto più l’orologio del dispositivo — nessuna rete necessaria.

Quasi sempre per uno sfasamento dell’orologio. I codici TOTP si basano sul tempo, quindi se l’orologio del dispositivo è in ritardo o in anticipo anche di mezzo minuto il codice non è valido. Assicurati che l’ora di sistema sia sincronizzata automaticamente (per esempio «Sincronizza ora» nelle impostazioni data e ora di Windows, «Imposta data e ora automaticamente» su macOS) e riprova. Il generatore calcola con l’ora riportata dal tuo dispositivo — non ha un orologio proprio da correggere.

Loro sono app per telefono; questo è un autenticatore nel browser. Usa lo stesso identico algoritmo TOTP di RFC 6238 e funziona con ogni servizio che accetta un’app di autenticazione standard — ma non perdi mai l’accesso solo perché il telefono si è rotto, venduto o scaricato. È una valida alternativa a Google Authenticator per chi lavora al computer.

Solo nel tuo browser. L’ultima chiave e una breve lista «Chiavi recenti» (fino a 8) restano nella memoria locale di questo dispositivo, così il generatore sopravvive a un aggiornamento della pagina e puoi cambiare chiave con un clic — mai sui nostri server, perché non esistono. Le chiavi sono salvate in testo semplice: chiunque possa aprire questo profilo del browser può leggerle — tratta il profilo come un caveau di un password manager. «Cancella tutto» sopra la lista — che chiede conferma — oppure svuotare il campo o azzerare i dati del browser le rimuove del tutto; conserva il segreto originale nel password manager come copia principale.

Sì. Incolla l’URI otpauth:// completo fornito dal tuo servizio e ogni parametro in esso contenuto viene rispettato automaticamente — 6, 7 o 8 cifre, periodi di 15/30/60 secondi, hashing SHA-1/SHA-256/SHA-512 e HOTP a contatore. Una chiave Base32 nuda usa le impostazioni predefinite standard (6 cifre, 30 secondi, SHA-1), che è ciò che usano quasi tutti i servizi.

Sì — niente account, niente tier premium, niente login. È uno strumento, non un servizio.