I codici di riserva: dieci chiavi che si usano una volta sola
Dieci numeri di otto cifre, ognuno buono per un solo accesso. I codici di riserva della 2FA come chiave di scorta da custodire prima dell'emergenza.
Quando si attiva la verifica in due passaggi su un account Google, il sistema offre una cosa che quasi nessuno guarda con attenzione: una serie di dieci codici di riserva, di otto cifre ciascuno. GitHub, nello stesso momento, propone di scaricare un file con sedici codici di recupero. Sono numeri senza volto, stampati su una pagina che finisce in un cassetto o in una cartella dei download. Eppure, il giorno in cui il telefono si rompe o sparisce, sono l'unica porta rimasta.
La loro regola è semplice e quasi antica. Ogni codice si usa una volta sola. Dopo l'accesso diventa inattivo, e Google suggerisce di segnarlo come usato. Quando se ne genera una serie nuova, la vecchia smette di valere tutta insieme. Non sono una password da ricordare: sono chiavi monouso, contate, che si consumano.
La chiave sotto il vaso, fatta bene
Ogni casa ha una chiave di scorta. Il problema non è averla, è dove si tiene. Sotto lo zerbino la trova chiunque; chiusa dentro la casa stessa non serve a nulla. I codici di riserva pongono la stessa domanda. Se vivono solo nel telefono che dovrebbero sostituire, si perdono insieme a lui. Se stanno in una cartella condivisa o in una foto sincronizzata, diventano una porta lasciata socchiusa.
Le indicazioni ufficiali sono sobrie. Google propone di stamparli e di conservarli dove si tengono il passaporto o gli altri documenti importanti. GitHub raccomanda di salvarli in un gestore di password sicuro, oppure di stamparli, e di non condividerli con nessuno. Google aggiunge una frase che vale da sola un corso di sicurezza: non chiede mai un codice di riserva se non al momento dell'accesso. Chiunque lo domandi altrove, per email, al telefono, in un messaggio urgente, non è Google.
Custodire prima dell'emergenza
Mi interessa questo piccolo foglio perché rovescia il modo in cui di solito pensiamo alla protezione. La seconda verifica chiude la porta agli estranei; i codici di riserva impediscono che la stessa porta si chiuda anche su di noi. È la parte meno spettacolare della sicurezza, e per questo la più trascurata: non si vede finché non manca.
Un gesto di custodia, qui, ha tre momenti. Generare i codici quando tutto funziona, non quando è già tardi. Metterli in un luogo separato dal dispositivo che usiamo ogni giorno. Rigenerarli quando se ne è usato qualcuno o quando si teme che siano stati visti, sapendo che la serie precedente si spegne. Sono abitudini più che strumenti, come quelle descritte nel saggio La sicurezza come abitudine operativa.
Per metterle in ordine senza dimenticare nulla, sul sito c'è la Checklist Recupero 2FA: resta nel browser e aiuta a preparare codici, app di autenticazione, email di recupero e chiavi fisiche prima di restare chiusi fuori.
C'è qualcosa di quasi rituale in quella pagina di numeri. Dieci chiavi, ognuna buona per una sola apertura, consegnate nel momento in cui non servono a niente. Chi le custodisce bene non le userà forse mai. Ma il giorno in cui una macchina dimentica chi siamo, sarà un foglio di carta a ricordarglielo.
Fonti: Sign in with backup codes, Google Account Help; Configuring two-factor authentication recovery methods, GitHub Docs (consultate il 21 ottobre 2026).
> ln -s ./linked-nodes
- [PARTE DI] Cyberinfrastruttura Operativa
- [CORRELATO] Checklist Recupero 2FA
- [CORRELATO] La sicurezza come abitudine operativa