Come funziona l'autenticazione a due fattori su Telegram?

Che cos'è la verifica in due passaggi (2FA) su Telegram

L'autenticazione a due fattori su Telegram, ufficialmente denominata verifica in due passaggi, è un livello di sicurezza opzionale che aggiunge una password personale al processo di login. Dopo averla attivata, per accedere al tuo account non è sufficiente il codice SMS inviato al numero di telefono: è necessario anche inserire questa password, nota solo a te. Questo meccanismo impedisce a chiunque entri in possesso della tua SIM o intercetti gli SMS di prendere il controllo dell'account. Ad esempio, in caso di SIM swap (duplicazione o sostituzione fraudolenta della SIM), l’attaccante riceverebbe il codice SMS, ma si bloccherebbe sulla richiesta della password.

A differenza di altri servizi che richiedono un'app authenticator o un token hardware, Telegram ha scelto un approccio più semplice: una password di recupero e un indirizzo email di backup. La password viene memorizzata localmente sul dispositivo dopo il primo accesso, ma non viene mai inviata in chiaro. Quando si effettua il login da un nuovo dispositivo, il server richiede la password e verifica un hash crittografico. Questo sistema è in vigore sin dalle prime versioni dell'app e, al momento della scrittura (agosto 2026), rimane invariato nelle sue linee essenziali.

Perché attivarla: scenari e benefici

La verifica in due passaggi è particolarmente utile in diversi contesti. Se il tuo numero di telefono è associato a servizi importanti (canali pubblici, gruppi di lavoro, bot con accesso a dati sensibili), un attacco di SIM swap potrebbe compromettere tutto. Con la 2FA, anche se il malintenzionato riesce a ottenere il codice SMS, si blocca sulla richiesta della password. Questo scenario non è solo teorico: episodi di furto d'identità tramite SIM swap sono sempre più frequenti, e la 2FA rappresenta una difesa semplice ma efficace.

Un altro scenario comune è la perdita o il furto del telefono: chiunque trovi il dispositivo può tentare di riattivare Telegram su un altro smartphone usando la stessa SIM. La password aggiuntiva impedisce l'accesso, dando tempo per bloccare la SIM o avvisare il gestore. Inoltre, molti utenti apprezzano la possibilità di ricevere una notifica via email quando viene richiesto il reset della password, permettendo di intervenire tempestivamente.

Tuttavia, non è sempre consigliata se si teme di dimenticare la password e non si ha accesso regolare all'email di recupero. In quel caso, il recupero dell'account può diventare complesso. Analizzeremo più avanti le procedure di emergenza, ma è bene considerare il proprio profilo di rischio prima di attivare la 2FA.

Come attivare la 2FA su Telegram

La configurazione è simile su tutte le piattaforme. Il percorso di menu principale è: Impostazioni → Privacy e sicurezza → Verifica in due passaggi. Di seguito i dettagli per ogni client, con le piccole differenze di interfaccia.

Su Android

Apri Telegram, tocca l'icona del menu a tre linee (o scorri da sinistra) e seleziona Impostazioni. Entra in Privacy e sicurezza, poi scegli Verifica in due passaggi. Tocca Imposta password e inserisci una password di almeno 6 caratteri. Ti verrà chiesto di confermarla. Subito dopo, fornisci un indirizzo email valido (non visibile ad altri) per il recupero. Telegram invierà un codice di verifica all'email per confermare la proprietà. Completato il passaggio, la 2FA è attiva.

Su iOS

Il procedimento è identico: apri Impostazioni dalla scheda in basso a destra, vai su Privacy e sicurezza e tocca Verifica in due passaggi. Segui la stessa procedura di inserimento password e email. Anche qui è richiesta la verifica via email. L'interfaccia è praticamente la stessa, con la differenza che su iOS il menu Impostazioni è sempre accessibile dalla barra inferiore, mentre su Android può essere nascosto nel menu laterale.

Su Desktop (Windows, macOS, Linux)

Sul client desktop, clicca sull'icona a tre linee in alto a sinistra (o su Impostazioni dal menu a tendina). Seleziona Privacy e sicurezza, poi Verifica in due passaggi. Clicca su Imposta password e inserisci la password. Inserisci anche l'email di recupero. La verifica via email avviene allo stesso modo. Una volta attivata, la password sarà richiesta a ogni nuovo login, inclusi i client web.

Nota: Se non hai ancora configurato un'email di recupero, Telegram ti avviserà che senza di essa il recupero account in caso di smarrimento password è impossibile. È fortemente consigliato inserirne una valida. Inoltre, su Linux, assicurati di utilizzare la versione ufficiale più recente per evitare problemi di compatibilità.

Come funziona tecnicamente

Quando la verifica in due passaggi è attiva, il processo di login si articola in due fasi:

1. Inserisci il numero di telefono e ricevi il codice SMS via Telegram o chiamata. Inserisci il codice. 2. Subito dopo, il server richiede la password 2FA. Se non la inserisci correttamente entro un certo numero di tentativi, l'accesso viene temporaneamente bloccato (da osservazione empirica, dopo 5-6 tentativi errati, il sistema impone un attesa crescente, fino a diversi minuti).

La password non viene mai trasmessa in chiaro: Telegram utilizza un hash crittografico lato client prima dell'invio. Il server conserva solo l'hash, quindi nemmeno Telegram può risalire alla password originale. Questo significa che anche in caso di violazione del server, la tua password resta al sicuro. Inoltre, la password può essere modificata in qualsiasi momento dalle impostazioni, e l'email di recupero può essere aggiornata.

Un aspetto importante: sui dispositivi già autenticati, non viene richiesta la password fino a quando non si esegue un nuovo login (ad esempio, installando l'app su un altro telefono). I dispositivi attuali rimangono attivi e non chiedono la password periodicamente, a meno che non si decida di terminare tutte le sessioni. La 2FA è quindi una protezione per l'accesso iniziale, non per la sessione in corso.

Modificare o disattivare la verifica in due passaggi

Per cambiare la password o l'email di recupero, entra di nuovo in Impostazioni → Privacy e sicurezza → Verifica in due passaggi. Qui troverai le opzioni per Cambia password e Cambia email di recupero. Per disattivare completamente la 2FA, seleziona Disattiva verifica in due passaggi. Ti verrà chiesta la password corrente per conferma.

Attenzione: Se non ricordi la password, non puoi disattivare la 2FA dalla stessa interfaccia. Dovrai invece utilizzare la procedura di recupero tramite email (vedi sezione successiva). È quindi fondamentale non dimenticare la password, o avere un piano di recupero funzionante.

Recupero account in caso di smarrimento password

Se hai dimenticato la password 2FA, Telegram offre una procedura di reset tramite l'email di recupero. Durante il login, dopo aver inserito il codice SMS, quando viene richiesta la password, clicca su Password dimenticata?. Telegram invierà un link di reset all'indirizzo email che hai fornito. Seguendo il link potrai impostare una nuova password. Questo processo richiede la verifica dell'email (di solito un codice o un clic sul link).

Se non hai accesso all'email di recupero (ad esempio perché l'hai cancellata o non ricordi quale indirizzo hai usato), la situazione si complica. Telegram non offre un modo alternativo di reset. L'unica possibilità è contattare il supporto ufficiale di Telegram, fornendo quante più informazioni possibili per dimostrare la proprietà dell'account (numero di telefono, nome, sessioni attive, ecc.). Non esiste una garanzia di riuscita, ed è per questo che è fondamentale mantenere l'email di recupero aggiornata e accessibile. In alcuni casi, il supporto potrebbe richiedere una verifica aggiuntiva, come l'invio di un selfie con un documento, ma non è una procedura standardizzata.

Consiglio pratico: Subito dopo aver attivato la 2FA, verifica che l'email di recupero sia corretta e che tu possa ricevere i messaggi. Inoltre, annota la password in un luogo sicuro (gestore di password) per evitare sorprese. Un'ulteriore precauzione: usa un indirizzo email che controlli regolarmente e che abbia a sua volta la 2FA attivata.

Differenze tra piattaforme e limitazioni

La funzionalità di verifica in due passaggi è identica su Android, iOS, Desktop e Web. Tuttavia, ci sono piccole differenze nell'interfaccia che possono influenzare l'esperienza utente:

• Android: il menu Impostazioni è accessibile tramite l'icona a tre linee o tramite scorrimento laterale. Su alcuni launcher, l'opzione potrebbe essere in un sottomenu, ma il percorso rimane lo stesso.
• iOS: le impostazioni sono sempre nella scheda in basso a destra. La procedura è la stessa ma con grafica leggermente diversa. Su iPad, il menu è a sinistra in modalità orizzontale.
• Desktop: il client ha un menu a tendina. La finestra di dialogo per la password è più grande e mostra più opzioni, come la possibilità di mostrare la password mentre la digiti. Su Linux, assicurati di usare la versione più recente ufficiale, preferibilmente dal sito ufficiale o da Flatpak.
• Web: la versione web (web.telegram.org) supporta la 2FA allo stesso modo. Tuttavia, non è possibile configurare la 2FA direttamente dal web; devi prima attivarla da un'app mobile o desktop. Questo è un limite da tenere presente se usi solo il web.

Una limitazione importante: la 2FA su Telegram non è compatibile con autenticatori esterni (Google Authenticator, Authy, ecc.). Non esiste un'opzione per usare un TOTP. L'unico metodo di secondo fattore è la password scelta dall'utente, con recupero via email. Non è nemmeno possibile utilizzare una chiave hardware (FIDO2). Questo è un compromesso per mantenere la semplicità, ma riduce le opzioni per chi preferisce standard più robusti. Per utenti avanzati, potrebbe essere un punto di insoddisfazione.

Risoluzione dei problemi comuni

Di seguito alcuni scenari frequenti e come affrontarli, per evitare di rimanere bloccati.

Non ricevo l'email di recupero

Controlla la cartella spam o posta indesiderata. L'email proviene da telegram.org. Aggiungi il mittente ai contatti per evitare filtri. Se non arriva dopo 10-15 minuti, riprova. Se il problema persiste, potresti aver inserito un indirizzo errato. In tal caso, non è possibile modificare l'email senza conoscere la password, quindi è importante verificare subito dopo la configurazione. Un suggerimento: usa un indirizzo email di un provider affidabile (Gmail, Outlook, ProtonMail) che raramente blocca queste comunicazioni.

Ho dimenticato la password e non ho accesso all'email

Purtroppo, Telegram non offre un reset automatico. Dovrai contattare il supporto (puoi farlo da un account diverso o tramite il modulo di assistenza). Fornisci il numero di telefono, il nome, e possibilmente una prova di proprietà (ad esempio, un codice di verifica ricevuto in precedenza). Non c'è garanzia di successo, e il processo può richiedere giorni. La migliore strategia è preventiva: conserva la password e l'email accessibile. Inoltre, attiva la 2FA solo dopo aver verificato che l'email di recupero funzioni.

Errore "Password non valida" anche se sono sicuro di averla inserita correttamente

Possibili cause: tastiera con layout diverso (es. maiuscole attive), caratteri non supportati, o password troppo lunga. Telegram accetta password fino a 128 caratteri, ma alcuni caratteri speciali potrebbero essere interpretati male. Verifica la tastiera e riprova. Se il problema persiste, usa la procedura di reset via email. Un altro consiglio: digita la password in un editor di testo semplice per vedere esattamente cosa viene inserito, prima di copiarla nel campo di Telegram.

La 2FA mi viene richiesta anche su dispositivi già fidati

Normalmente, la password viene richiesta solo al primo login su un dispositivo. Se Telegram richiede nuovamente la password su un dispositivo già autenticato, potrebbe essere perché hai terminato tutte le sessioni da remoto, o perché l'app è stata reinstallata. Inoltre, se attivi la 2FA dopo aver già effettuato l'accesso su altri dispositivi, questi rimangono attivi senza richiedere la password fino al prossimo login. Non preoccuparti: è un comportamento normale. Se vuoi forzare la richiesta, puoi terminare tutte le sessioni attive.

Best practice per la sicurezza

Per sfruttare al meglio la verifica in due passaggi, segui queste raccomandazioni che combinano semplicità ed efficacia:

• Usa una password unica e complessa (almeno 12 caratteri, con lettere, numeri e simboli). Non riutilizzare password di altri servizi. Un esempio: "Telegram!2FA_2024#Sicura" è una buona base.
• Mantieni l'email di recupero sempre aggiornata e attiva la 2FA anche su quell'email, se possibile. In questo modo, anche l'email di recupero è protetta.
• Non condividere la password 2FA con nessuno. Nemmeno con persone fidate: ogni account deve avere la propria password. Se hai bisogno di delegare l'accesso, usa le funzionalità di amministrazione dei gruppi o dei canali.
• Controlla periodicamente le sessioni attive (Impostazioni → Privacy e sicurezza → Sessioni attive) e termina quelle sconosciute. Se noti una sessione in un luogo che non riconosci, potrebbe essere un tentativo di accesso.
• Attiva anche le notifiche di accesso (se disponibili) per ricevere un avviso quando qualcuno tenta di accedere dal tuo account. Telegram non ha una notifica nativa per tentativi di login falliti, ma puoi attivare le notifiche per nuovi dispositivi.
• Considera di utilizzare un gestore di password per non dimenticare la password 2FA, ma assicurati che il gestore stesso sia protetto con 2FA. In questo modo, hai un anello di sicurezza a catena.

Ricorda che la 2FA su Telegram si applica solo all'accesso all'account, non ai messaggi o alle chiamate. Non cripta i contenuti end-to-end oltre a quanto già previsto dalle chat segrete. È un livello di protezione aggiuntivo per l'identità, non per i dati. Per la privacy dei messaggi, utilizza le chat segrete con crittografia end-to-end.

Scenari in cui è meglio non attivare la 2FA

Nonostante i benefici, ci sono situazioni in cui la 2FA può essere più un ostacolo che un aiuto. Valuta attentamente il tuo contesto:

• Se condividi il numero di telefono con più persone (ad esempio un numero aziendale) e non hai il controllo esclusivo. In questo caso, la password potrebbe bloccare l'accesso ad altri utenti legittimi. Meglio usare un account separato per ogni utente.
• Se non hai una email di recupero stabile o non la controlli regolarmente. Il rischio di rimanere bloccati fuori dall'account è alto. Se usi email temporanee, la 2FA non è consigliata.
• Se utilizzi Telegram solo per lettura passiva (es. seguire canali) e non ti preoccupi della sicurezza. In tal caso, la 2FA potrebbe essere un fastidio inutile, ma tieni presente che anche un account di sola lettura può essere usato per impersonarti.
• Su dispositivi condivisi o pubblici (es. computer di un internet café): se attivi la 2FA, ogni volta che qualcuno fa login dovrà inserire la password, e se non fai logout, potrebbe rimanere accessibile. Meglio non usare Telegram su dispositivi non fidati.

Valuta il tuo profilo di rischio e scegli di conseguenza. Per la maggior parte degli utenti, i benefici superano di gran lunga i possibili inconvenienti. In caso di dubbio, attiva la 2FA e configura bene il recupero.

Integrazione con bot e servizi terzi

La verifica in due passaggi di Telegram è una protezione dell'account a livello di sistema. I bot, invece, possono implementare la propria autenticazione a due fattori indipendentemente. Ad esempio, un bot per il trading o per la gestione di gruppi potrebbe richiedere una password aggiuntiva o un codice OTP inviato in privato. Tuttavia, queste non sono funzionalità di Telegram, ma implementazioni personalizzate. Non esiste un'API standard per la 2FA dei bot, e ogni sviluppatore utilizza metodi propri. Alcuni bot potrebbero anche utilizzare l'autenticazione a due fattori di Telegram come base, ma è raro.

Se usi bot che richiedono l'accesso al tuo account (ad esempio, bot che inviano messaggi per tuo conto), tieni presente che la 2FA dell'account non protegge da bot malintenzionati che hanno già ottenuto il token di accesso. La 2FA serve solo per l'accesso iniziale; una volta che il bot ha un token, può operare senza password. Pertanto, concedi i permessi ai bot con cautela e revoca quelli inutilizzati da Impostazioni. Controlla periodicamente la lista dei bot autorizzati (Impostazioni → Privacy e sicurezza → Sessioni attive, ma i bot non appaiono lì; per i bot, usa la lista dei bot con cui hai avviato una chat).

Domande frequenti

La verifica in due passaggi è obbligatoria su Telegram?

No, è completamente opzionale. Puoi usare Telegram senza mai attivarla. Tuttavia, è fortemente consigliata per proteggere l'account da accessi non autorizzati. La scelta è tua, ma considera che senza 2FA l'unica protezione è il codice SMS.

Posso usare un'app come Google Authenticator per la 2FA su Telegram?

No, Telegram non supporta TOTP o app authenticator di terze parti. L'unico secondo fattore è la password che imposti e il recupero via email. Non ci sono piani ufficiali per introdurre altri metodi al momento della scrittura. Se hai bisogno di TOTP, considera di usare un'app di messaggistica alternativa che supporti standard aperti.

Cosa succede se perdo il telefono e non ricordo la password 2FA?

Se hai configurato un'email di recupero, puoi resettare la password da un altro dispositivo tramite il link inviato via email. Se non hai accesso all'email, devi contattare il supporto Telegram e dimostrare la proprietà dell'account, senza garanzia di successo. È quindi fondamentale avere un email di recupero funzionante.

La 2FA protegge i miei messaggi e le mie chat?

No, la 2FA protegge solo l'accesso all'account. I messaggi nelle chat normali sono crittografati solo in transito, non end-to-end (a meno che non usi chat segrete). La 2FA impedisce a un malintenzionato di entrare, ma non cripta i contenuti già presenti sul server. Per la privacy dei messaggi, utilizza le chat segrete con crittografia end-to-end e diffida di chiunque chieda la tua password.

In conclusione, la verifica in due passaggi su Telegram è uno strumento semplice ma potente per aumentare la sicurezza del tuo account. La configurazione richiede pochi minuti, ma la tranquillità che ne deriva è significativa. Seguendo le procedure corrette e mantenendo aggiornati i dati di recupero, puoi ridurre drasticamente il rischio di furto d'identità. Se non l'hai ancora fatto, attivala oggi stesso: è uno dei passi più efficaci per proteggere la tua presenza su Telegram. In futuro, potremmo vedere l'introduzione di metodi di autenticazione aggiuntivi, come il supporto per chiavi hardware o app authenticator, ma al momento l'approccio di Telegram rimane focalizzato sulla semplicità.