Se fai una sola cosa su tutto questo sito, fai questa. Ogni altra misura qui riduce il rischio al margine; questa elimina un'intera categoria di attacco, ed è la categoria che colpisce davvero le persone che svolgono questo lavoro. Costa meno di un paio di scarpe e richiede un pomeriggio.
01Perché un codice può essere rubato e una chiave no
Hai visto l'attacco anche se non ha funzionato su di te. Un'email o un messaggio dice che c'è un problema con il tuo account. Il link porta a una pagina che è una copia identica al pixel del login reale. Inserisci la password. Ti viene chiesto il codice dell'autenticatore. Inserisci anche quello.
Dietro le quinte, il server dell'attaccante sta accedendo al sito reale nello stesso momento, inoltrando tutto ciò che digiti, in tempo reale. Il tuo codice era autentico. Era valido per trenta secondi. L'hai semplicemente digitato nella finestra sbagliata, e trenta secondi sono più che sufficienti.
Un'app genera un numero da un segreto condiviso e un orologio. Non ha idea di quale sito tu stia guardando, quindi non può distinguere una pagina di login reale da una copia. Il codice non è il punto debole, l'occhio umano lo è. Qualsiasi difesa che dipende dal fatto che tu individui un dominio falso alla fine fallirà, perché i falsi sono molto ben fatti e tu sarai stanco.
Una chiave di sicurezza funziona diversamente. Quando la registri su un sito, memorizza un segreto legato al dominio reale di quel sito. Al momento dell'accesso il sito invia una sfida; la chiave la firma, ma solo dopo aver verificato che il dominio richiedente corrisponda al dominio con cui è stata registrata. Un dominio simile per inganno richiede l'accesso, e la chiave semplicemente non risponde. Non c'è nulla da trasmettere, nulla da digitare e nulla che tu possa sbagliare.
Google ha spostato l'intera forza lavoro — decine di migliaia di persone, alle chiavi di sicurezza e ha riportato zero acquisizioni di account dipendenti tramite phishing riuscite in seguito. Questa è la prova più forte nella sicurezza dei consumatori per qualsiasi singola misura, ed è per questo che questa guida è la prima anziché la quinta.
02Cosa c'è sulla chiave
Una YubiKey 5 non è una sola cosa. È diversi dispositivi di sicurezza indipendenti nello stesso pezzo di plastica, e la maggior parte delle persone ne usa uno e non sa mai che gli altri sono lì. Ecco tutto, in termini semplici.
| Funzionalità | Usarla? | A cosa serve |
|---|---|---|
| FIDO2 / WebAuthn | Sì, questa è quella giusta | Lo standard moderno. Accesso a prova di phishing, e la base delle passkey. Questo è ciò che userai su Google, Microsoft, GitHub, Cloudflare, Proton e sulla maggior parte delle cose che contano. |
| Passkey (chiavi residenti) | Sì | La stessa cosa, ma la chiave memorizza anche l'identità dell'account, così puoi accedere senza digitare affatto nome utente o password. Lo spazio è limitato — vedi la nota qui sotto. |
| U2F | Automatico | La versione precedente della stessa idea. Ancora usata da alcuni siti; la chiave la gestisce senza che tu debba scegliere. |
| OATH-TOTP | Situazionale | Memorizza i tuoi normali codici a sei cifre sulla chiave invece che in un'app del telefono, letti tramite Yubico Authenticator. Utile per i siti che non supportano FIDO2. È comunque un codice ed è comunque vulnerabile al phishing, protegge il segreto, non l'accesso. |
| Challenge-response (HMAC-SHA1) | Sì, con KeePassXC | Fa sì che il tuo database di password richieda la chiave fisica per essere aperto. Trattato nella guida a KeePassXC, questo è l'abbinamento che rende entrambi gli strumenti sostanzialmente più forti. |
| PIV / smart card | Avanzato | Contiene certificati. Usato per chiavi SSH che non possono essere copiate dal dispositivo, e per alcuni sistemi aziendali e governativi. |
| OpenPGP | Avanzato | Conserva le chiavi GPG sull'hardware, così la firma e la decifratura avvengono sulla chiave e la chiave privata non tocca mai il tuo computer. |
| Yubico OTP | Raramente | Uno schema legacy di password monouso precedente a FIDO. Alcuni servizi più vecchi lo usano. Lascialo stare a meno che qualcosa non lo richieda. |
| Password statica | No | Digita una stringa fissa quando tocchi la chiave. Una funzione di comodità di un'altra epoca. Non usarla per nulla che conti. |
Le chiavi residenti, quelle che ti permettono di accedere senza nome utente, occupano slot permanenti sul dispositivo, e ce n'è un numero fisso. Il firmware più vecchio di YubiKey 5 ne contiene circa 25; il firmware recente ne contiene parecchi di più. Le normali registrazioni FIDO2 come secondo fattore non sono limitate in questo modo, quindi puoi aggiungere una chiave a centinaia di siti senza riempire nulla. Se esaurisci gli slot, sarà per le passkey, non per la 2FA.
03Quale acquistare
La decisione riguarda principalmente il connettore all'estremità e se vuoi le funzionalità extra. Abbina il connettore al tuo telefono e al tuo computer, e se sono diversi, comprane uno per ciascuno invece di portarti dietro un adattatore che perderai.
| Modello | Ideale per | Note |
|---|---|---|
| Serie Security Key (quelle blu) | La maggior parte delle persone | Solo FIDO2 e U2F, che è la parte che ti serve. Circa la metà del prezzo di una YubiKey 5. Se non hai intenzione di usare PGP, PIV o l'accoppiamento con KeePassXC, questa è la raccomandazione onesta. |
| YubiKey 5 NFC | Computer USB-A + qualsiasi telefono | La chiave completa. Avvicinala a un telefono per l'NFC, inseriscila in un laptop per l'USB. La scelta predefinita se vuoi tutto ciò che è nella tabella sopra. |
| YubiKey 5C NFC | Computer USB-C + qualsiasi telefono | Identica, con connettore USB-C. Molto probabilmente quella giusta se il tuo laptop è recente. |
| YubiKey 5Ci | iPhone con Lightning | Ha sia USB-C che Lightning. Rilevante solo per iPhone più vecchi; quelli più recenti sono USB-C e possono comunque usare l'NFC. |
| YubiKey 5 Nano | Lascia-nel-portatile | Minuscola, resta inserita nella porta in modo permanente. Comoda, ma elimina il vantaggio della separazione fisica: se il portatile viene preso, la chiave viene presa con esso. |
| Serie Bio | Spazi condivisi | Impronta digitale invece di un PIN. Davvero piacevole; più costoso; valuta attentamente se un dato biometrico sia il metodo di sblocco giusto dove vivi, poiché in molte giurisdizioni puoi essere obbligato a fornire un'impronta digitale più facilmente di un PIN. |
Una singola chiave è un singolo punto di guasto: se la perdi puoi restare bloccato fuori dai tuoi stessi account in modo permanente, il che è un disastro a sé stante. Registra entrambe le chiavi su ogni account, portane una con te e conserva la seconda in un luogo fisicamente separato, un cassetto a casa, una cassaforte, presso qualcuno di cui ti fidi. La seconda chiave è il piano di riserva, e costa meno di quanto costerebbe il recupero.
Non da un annuncio su un marketplace, non usata, non come regalo da qualcuno che non conosci bene. Una chiave di sicurezza è un dispositivo a cui affiderai tutto; la catena di fornitura fa parte del prodotto. Il firmware di Yubico è deliberatamente non aggiornabile, il che è positivo per la resistenza alle manomissioni e significa che una chiave compromessa non potrà mai essere riparata, solo sostituita.
04Configurarlo, nell'ordine giusto
L'ordine conta. Inizia dall'account che può reimpostare tutti gli altri, e assicurati di non poterti bloccare fuori lungo il percorso.
-
Inizia dalla tua email
Ogni altro account che possiedi si recupera tramite esso, il che lo rende il vero obiettivo. Vai nelle impostazioni di sicurezza del tuo provider di posta elettronica e aggiungi entrambe le chiavi prima di toccare qualsiasi altra cosa. Se il tuo provider di posta elettronica non supporta le chiavi di sicurezza, questa è una ragione per cambiare provider, non una ragione per saltare questo passaggio.
-
Registra entrambe le chiavi contemporaneamente
Fallo in una sola sessione, su ogni account. Il problema che le persone incontrano è registrare una chiave ora e "aggiungere quella di riserva dopo" — il dopo non arriva mai, e poi la prima chiave finisce in lavatrice.
-
Salva i codici di recupero correttamente
Ogni sito ti fornisce una serie di codici di recupero monouso. Questi bypassano completamente la tua chiave, quindi meritano la stessa cura della chiave stessa. Mettili nel tuo gestore di password, oppure stampali e conservali in un luogo fisicamente sicuro. Non fotografarli e non lasciarli in una cartella di download.
-
Ora esamina i metodi più deboli
Se i codici SMS rimangono come fallback, una SIM swap può bypassare la chiave. Una volta che entrambe le chiavi funzionano, disattiva gli SMS ovunque il servizio te lo permetta. Mantieni un codice di autenticazione solo dove ti serve come percorso di recupero, proteggi il suo seed e i codici di recupero nel tuo gestore di password, e non rimuovere mai un metodo finché non hai testato i modi rimanenti per rientrare.
-
Procedi lungo la lista
Dopo l'email: il tuo gestore di password se supporta le chiavi, poi l'archiviazione cloud, poi gli account social da cui pubblichi, poi qualsiasi cosa con un metodo di pagamento collegato, poi l'hosting di codice. Tutto il resto può aspettare una serata tranquilla.
-
Testa la chiave di riserva prima di riporla
Esci e rientra utilizzando specificamente la chiave di backup. Un backup non testato è solo un'ipotesi.
05Da cosa non ti protegge
Una chiave di sicurezza è il singolo controllo più forte disponibile per una persona comune, ed è comunque limitata. Sconfigge il phishing. Non sconfigge questi.
- Pagine di phishing, per quanto convincenti, inclusi gli attacchi relay in tempo reale.
- Credential stuffing, la tua password rubata da qualche altra violazione ora è inutile da sola.
- Indovinare e spruzzare password.
- La maggior parte degli attacchi SIM-swap, una volta che gli SMS vengono rimossi come fallback.
- Malware già presente sul tuo computer. Se qualcosa sta osservando la tua sessione dopo il login, la chiave ha già fatto il suo lavoro ed è stata aggirata.
- Furto dei cookie di sessione. Un attaccante che ruba un token di sessione attivo non ha bisogno di effettuare il login.
- La via del recupero. Se il personale di supporto può essere convinto a reimpostare il tuo account, la tua chiave è irrilevante. Questo è ormai il modo più comune in cui gli account protetti da chiave cadono.
- Sequestro fisico di te e della chiave insieme.
- Account che hai dimenticato di proteggere, ed è lì che andranno gli attaccanti.
Chiude completamente la porta principale, e l'attaccante si sposta sulle finestre. È comunque un miglioramento enorme, la porta principale è dove passava quasi tutto il traffico, ma è un motivo per continuare a leggere il resto di questo sito invece di fermarsi qui.
06Se non vuoi una YubiKey
YubiKey è l'impostazione predefinita perché è la più ampiamente supportata e la più attentamente esaminata, non perché sia l'unica opzione. Non riceviamo denaro da nessuna di queste.
Nitrokey
Tedesca, con firmware e progetti hardware open source, la scelta se "voglio poterla ispezionare" ti importa più della massima compatibilità. Trattata come alternativa nella sezione sulle chiavi di sicurezza della guida.
nitrokey.com ↗Token2
Svizzera, economica, incentrata su FIDO2. Un modo ragionevole per acquistare due chiavi con un budget limitato senza scendere a un marchio sconosciuto.
token2.com ↗Il tuo telefono come passkey
I telefoni moderni possono fungere da autenticatore FIDO2, il che ti offre gratuitamente la stessa resistenza al phishing. Più debole sotto un aspetto specifico: il telefono è il dispositivo che più probabilmente può essere preso, sbloccato o compromesso. Buono come secondo fattore, non come unico.
07Domande che le persone fanno davvero
Cosa succede se perdo la chiave?
Niente, se hai fatto le cose per bene: usi la seconda chiave, poi rimuovi quella persa da ogni account e ne registri una sostitutiva. È proprio per questo che la guida insiste sull'acquisto di due. Se non l'hai fatto, ricadi sui tuoi codici di recupero, e se non hai nemmeno quelli, ti affidi al processo di recupero dell'account del fornitore, che può richiedere settimane e a volte fallisce.
Qualcuno che ruba la mia chiave può accedere ai miei account?
Non da sola. La chiave è un secondo fattore, serve comunque la password e, per la maggior parte delle configurazioni, serve anche il PIN della chiave, che blocca il dispositivo dopo un piccolo numero di tentativi errati. Una chiave rubata è un inconveniente per te, non una violazione. Rimuovila comunque dai tuoi account.
Devo portarla sempre con me?
Solo quando accedi da un nuovo posto. La maggior parte dei siti permette di contrassegnare un dispositivo come affidabile, quindi quotidianamente toccherai raramente la chiave — tipicamente quando configuri una nuova macchina o dopo aver cancellato i cookie. I modelli NFC funzionano avvicinandoli a un telefono, il che elimina gran parte dell'attrito che le persone immaginano.
Una passkey è la stessa cosa?
Una passkey è la stessa crittografia con la stessa resistenza al phishing. La differenza è dove risiede. Una passkey nel tuo telefono o in un account browser si sincronizza tramite il cloud di un'azienda, il che è comodo e significa che la robustezza di quell'account diventa la robustezza della tua passkey. Una passkey su una chiave hardware non può essere sincronizzata, copiata o estratta. Per gli account che contano, mettila su hardware.
Quali account dovrebbero riceverla per primi?
L'email, sempre. Poi il tuo gestore di password, poi qualsiasi cosa da cui pubblichi, poi qualsiasi cosa che contenga denaro. Se documenti o fai reportage su questo argomento, l'account da cui pubblichi vale più per un avversario della tua banca — perderlo significa che qualcun altro parla a tuo nome, cosa che non può essere annullata da uno storno.
08Fonti e approfondimenti
- Yubico — sito ufficiale e confronto dei modelli yubico.com
- FIDO Alliance, lo standard FIDO2 / WebAuthn fidoalliance.org
- Nitrokey — alternativa hardware e firmware open source nitrokey.com
- EFF Surveillance Self-Defense — sicurezza dell'account ssd.eff.org
- Privacy Guides — autenticazione a più fattori privacyguides.org
Ultima revisione: 25 settembre 2026