Che cosa sono i codici di recupero? La lista che hai saltato e dove dovrebbe stare

C'è una schermata che quasi tutti saltano. Attivi l'autenticazione a due fattori, il servizio mostra un blocco di codici casuali, ti dice di conservarli in un posto sicuro, e premi Continua. Mesi dopo il telefono non c'è più e quella schermata era l'unica cosa che sarebbe servita.

Che cosa sono davvero

Un codice di recupero, detto anche codice di backup, è una credenziale monouso che fa le veci del secondo fattore. Non della password: quella serve ancora. Sostituisce ciò che non hai più, di solito il telefono con l'app di autenticazione, o la chiave di sicurezza rimasta in un cassetto lontano.

La documentazione di GitHub è precisa sul meccanismo e merita una citazione invece di una parafrasi. Fornisce 16 codici e afferma che, una volta usato un codice di recupero per riottenere l'accesso all'account, non può essere riutilizzato. Esauriti i sedici, se ne genera una lista nuova. Altri servizi ne danno quantità diverse: tratta sedici come il numero di GitHub e non come una regola universale.

Il consiglio che unisce i tuoi due fattori

Qui la raccomandazione abituale diventa scomoda. GitHub ti dice di non condividere né distribuire i codici, e consiglia di salvarli in un gestore di password sicuro. Contro il guasto più comune, perdere un foglietto, è sensato. Ha anche una conseguenza che va detta chiaramente.

La tua password vive in quella cassaforte. Se ci vivono anche i codici, chiunque apra la cassaforte possiede entrambi i fattori: la password e ciò che sostituisce il secondo. La separazione che rendeva utile l'autenticazione a due fattori è sparita in silenzio.

Non è un argomento contro i gestori di password né una ragione per ignorare il consiglio. È una ragione per decidere deliberatamente invece che per inerzia.

Dove possono stare ragionevolmente

Stampati e conservati fisicamente: fuori moda, e funziona. Un foglio in un cassetto di casa, o insieme a documenti che già custodisci. Un secondo gestore di password, distinto da quello che contiene la password di quell'account, tiene separati i due fattori. Un dispositivo che non è quello con cui ti autentichi, tenuto offline, fa lo stesso.

Ciò che non funziona: una nota sul telefono che esegue l'app di autenticazione, o un'email a te stesso nell'account che quei codici proteggono. Entrambi mettono il soccorso dentro ciò da cui bisogna essere soccorsi.

Lo scenario per cui esistono

Ripercorri il guasto reale. Il telefono è perso, rubato, caduto in acqua o cancellato da un centro assistenza. La tua app di autenticazione se n'è andata con lui e, a meno che tu non abbia esportato i seed, i codici che generava non ci sono più. In quel momento ti serve una seconda chiave di sicurezza, o i codici di recupero, o una procedura di assistenza che può durare giorni e può fallire.

È anche per questo che una seconda chiave di sicurezza e i codici di recupero non sono ridondanti fra loro. La chiave è ciò che usi ogni giorno quando la prima non c'è; i codici sono ciò che usi quando mancano entrambe.

Dopo averne usato uno

Poiché ogni codice si consuma all'uso, la lista si assottiglia in silenzio. La maggior parte dei servizi permette di rigenerare l'intero set, il che invalida il precedente. Farlo dopo un recupero è la buona abitudine: sai quanti te ne restano, e qualunque vecchia copia in giro diventa inutile.

Se non hai mai attivato l'autenticazione a due fattori, niente di tutto questo si applica ancora, ed è la lacuna più urgente.

Il riassunto onesto

I codici di recupero sono la parte meno interessante di una configurazione di sicurezza e quella che con più probabilità deciderà se conservi un account. Costano cinque minuti, una volta. L'unica decisione vera è dove metterli, e la risposta predefinita, accanto alla password, è quella su cui vale la pena pensarci due volte.