Come ottenere il tuo codice 2FA

Ciò che ti serve prima di iniziare

Accesso all’account, ovviamente: devi già essere dentro al servizio che vuoi proteggere. Oltre a questo contano due cose. Primo: il servizio deve offrire l’opzione app di autenticazione come secondo fattore; ciò riguarda Google, Microsoft, GitHub, Discord, Steam, AWS, Coinbase, Kraken, Binance, X e la maggior parte di banche ed exchange. Secondo: ti serve un posto dove far girare l’autenticatore: un’app per il telefono, oppure — la ragione per cui esiste questo sito — questo strumento nel browser, che calcola i medesimi codici senza installare nulla.

Una nota sulla nomenclatura: i servizi chiamano questo secondo fattore “autenticazione a due fattori”, “2FA”, “verifica in due passaggi”, “TOTP” o “app di autenticazione”. Dietro le etichette è sempre la stessa cosa: un codice monouso basato sul tempo e derivato da un segreto condiviso. Se invece di usarlo vuoi capirne il meccanismo, leggi Che cos’è la 2FA? Come funziona il TOTP.

Passaggio 1: attiva la 2FA e fai comparire la chiave di configurazione

Apri le impostazioni di sicurezza del tuo account e individua la sezione dell’autenticazione a due fattori. Scegli l’opzione app di autenticazione. Il servizio mostra un codice QR da scansionare con il telefono — e quella schermata quasi sempre propone anche un’alternativa: un link con la dicitura “non riesci a scansionare?”, “inserisci il codice manualmente” o “chiave di configurazione”. Seguendo quel link compare il segreto vero e proprio: una stringa Base32 come JBSWY3DPEHPK3PXP, a volte racchiusa in un intero URI otpauth:// che contiene anche l’etichetta dell’account, il numero di cifre, il periodo di rinnovo e l’algoritmo di hash.

Questa chiave è la credenziale stessa: è l’equivalente portatile della tua password per il secondo fattore. Tratta la schermata come un riquadro di recupero: nessuna persona legittima ti chiederà mai di incollare una chiave di configurazione in una email o in una chat. Copiala, completa l’attivazione della 2FA (la maggior parte dei servizi chiede un codice funzionante per confermare) e conserva l’originale in un posto cifrato, come un password manager.

Passaggio 2: incolla la chiave nel generatore

Nel generatore in cima alla nostra home page, incolla ciò che hai copiato: la stringa Base32 nuda o il link otpauth:// completo, entrambi vanno bene. Un codice a 6 cifre live compare nel giro di pochi secondi e si rinnova ogni 30 secondi. Puoi anche importare la chiave da un’immagine: incolla uno screenshot del codice QR direttamente sulla pagina con Ctrl+V, trascina un file immagine su di essa oppure scansiona il QR con la fotocamera — la decodifica avviene in locale, e niente viene caricato. Se il servizio usa una configurazione non standard (codici a 8 cifre, periodi di 15/30/60 secondi, SHA-256 o HOTP a contatore), un URI otpauth:// completo contiene tutti quei parametri e il generatore li rispetta automaticamente.

Passaggio 3: copia il codice live e completa l’accesso

Digita il codice corrente nella richiesta di verifica prima che ruoti. Ogni codice è valido per una finestra di 30 secondi (più corta o più lunga per i servizi con periodi personalizzati), quindi se il badge arriva agli ultimi secondi, attendi il codice successivo invece di correre con uno scaduto. Da questo momento, ogni accesso a questo servizio ripete lo stesso ciclo: apri il generatore → copia il codice → incollalo. La tua ultima chiave viene ricordata solo nella memoria locale del tuo stesso browser, così la visita successiva è a un clic di distanza.

Dove trovare la chiave di configurazione sui servizi più diffusi

Ogni servizio nasconde l’opzione dell’autenticatore in un punto leggermente diverso, così pubblichiamo guide di configurazione passo passo che accompagnano questo generatore — e che si concludono con te che incolli qui la chiave e completi la configurazione. Le più richieste: Google, Microsoft, Discord, GitHub, Steam, AWS, Coinbase, Kraken e Binance.

Risoluzione dei problemi: cosa fare quando non funziona

Il codice viene rifiutato. Nella pratica, quasi sempre è una deriva dell’orologio del dispositivo su cui gira il generatore. Il TOTP confronta il tuo codice con uno derivato dall’orologio del servizio; se l’ora del tuo sistema è sbagliata anche di mezzo minuto, i due divergono. Imposta il sistema operativo sulla sincronizzazione automatica (Windows: “Sincronizza ora” nelle impostazioni di data e ora; macOS: “Imposta data e ora automaticamente”), poi riprova con il codice successivo.

Il codice QR non si scansiona. Usa il link “non riesci a scansionare?” per far comparire la chiave di configurazione: la chiave testuale è sempre più affidabile della fotografia di uno schermo. Se hai solo uno screenshot, ritaglialo proprio sul codice QR; le immagini molto compresse o prese di angolo spesso non riescono a essere decodificate.

Hai perso il telefono che conteneva la chiave. È l’esatta situazione per la quale questo strumento è stato costruito: se hai conservato il segreto originale nel password manager — o se l’hai incollato qui mentre il telefono funzionava ancora — puoi rigenerare i codici su qualunque computer. Niente telefono, niente ripristino, niente ticket di assistenza.

Due abitudini che fanno la differenza

Salva offline i codici di recupero del servizio quando attivi la 2FA: sono la via d’uscita se un giorno perdi il dispositivo che contiene il segreto. E non trattare mai un codice 2FA live come qualcosa da condividere: nessun agente dell’assistenza, nessuna banca, nessun exchange ha mai bisogno del tuo codice corrente senza che sia stato richiesto da te. Un codice è utile solo entro la sua finestra di 30 secondi, nella schermata di accesso che hai scelto tu.