Un QR può essere una copia della chiave segreta

Due momenti in cui il QR è sensibile

Quando configuri la 2FA di un servizio, il QR otpauth:// può racchiudere il segreto destinato all'autenticatore. Durante l'export di Google Authenticator, il QR può contenere diversi elementi sensibili.

Questa immagine non ha la scadenza di un numero TOTP già generato. Evita di trattarla come una schermata pubblicabile o un ticket di assistenza.

Scegli con attenzione come importare

La lettura da fotocamera è avviata dopo il permesso dell'utente; per un file locale accertati che venga da un'esportazione sotto il tuo controllo.

Controlla le voci rilevate prima di salvare: etichette e loghi presenti nel QR possono essere alterati e non attestano la provenienza reale.

Cosa fare se è finito su una chat condivisa

Eliminare il messaggio riduce la diffusione, ma non impedisce a chi ha già copiato la chiave di usarla. Per revocare il segreto occorre intervenire sull'account originale.

Valuta anche eventuali copie automatiche delle foto, delle schermate e dei file scaricati. Non usare QR di altre persone per prove tecniche.

La foto del QR è più sicura di una chiave scritta?

No, quando veicola lo stesso segreto. Entrambe le forme possono permettere a un terzo di configurare un autenticatore.