Poiché molti password manager supportano ormai anche l’archiviazione e la generazione dei codici TOTP, sorge una domanda importante:

È più sicuro salvare i token TOTP nel password manager oppure conviene usare un’app di autenticazione separata?

La risposta non è univoca. Entrambi gli approcci hanno vantaggi evidenti, ma anche svantaggi rilevanti. Chi comprende le differenze può prendere decisioni di sicurezza consapevoli, sia nella vita privata sia in azienda.

1. Cosa sono i token TOTP?

Il TOTP è un metodo per generare password monouso basate sul tempo. I codici vengono generati a partire da un segreto condiviso e dall’ora corrente e di norma cambiano ogni 30 secondi.

Al login si combinano due fattori:

1. una password (qualcosa che sai) e
2. un codice a tempo limitato (qualcosa che possiedi).

Il TOTP è spesso utilizzato per:

• account e-mail
• piattaforme cloud
• accessi VPN
• interfacce di amministrazione
• applicazioni aziendali

Il principio di sicurezza fondamentale della MFA è la separazione dei fattori: anche se un fattore viene compromesso, da solo non basta per accedere.

2. Salvare i token TOTP nel password manager

Come funziona

I password manager moderni possono salvare il segreto TOTP insieme alle credenziali. Al login, il codice attuale viene generato automaticamente e inserito o copiato negli appunti.

Vantaggi

Grande comodità e facilità d’uso: un unico strumento per password e TOTP semplifica notevolmente il login. Non serve più passare da un’app all’altra.

Meno attriti, meno errori: la minore complessità riduce il rischio di errori, codici dimenticati o di aggirare la MFA per comodità.

Backup e ripristino centralizzati: se si perde un dispositivo, l’accesso può spesso essere ripristinato senza problemi tramite la procedura di recupero del password manager, un fattore importante per la continuità operativa.

Maggiore accettazione nel team: soprattutto nelle PMI e con utenti non tecnici, un approccio semplice porta spesso a un uso complessivamente migliore della MFA.

Svantaggi

Single point of failure: se la cassaforte delle password viene compromessa, password e codice TOTP possono essere esposti contemporaneamente.

Separazione dei fattori indebolita: anche se formalmente si usa la MFA, entrambi i fattori si trovano in un unico sistema e il modello di sicurezza originario ne risulta indebolito.

Rischio maggiore con dispositivi compromessi: un malware sul dispositivo può, in certi casi, consentire l’accesso completo.

3. Usare un’app di autenticazione dedicata

Come funziona

Un’app separata sullo smartphone o su un altro dispositivo genera i codici TOTP. I token sono di solito legati al dispositivo e funzionano anche offline.

Vantaggi

Netta separazione dei fattori di sicurezza: password e TOTP si trovano su dispositivi diversi o in applicazioni separate.

Danni limitati in caso di furto della password: una password compromessa da sola non basta, finché l’aggressore non ha accesso all’app di autenticazione.

Maggiore coerenza con i principi Zero Trust: la separazione dei fattori supporta una strategia di sicurezza a più livelli.

Consigliata per gli account più critici: accessi amministrativi, sistemi di produzione o piattaforme finanziarie traggono vantaggio da questo approccio.

Svantaggi

Minore comodità d’uso: il continuo passaggio tra applicazioni rallenta i flussi di lavoro, soprattutto con login frequenti.

Rischio maggiore di blocco dell’account: se si perde lo smartphone e non esistono backup, l’accesso può andare perso definitivamente.

Procedure di backup laboriose: codici QR e chiavi di recupero devono essere salvati manualmente e in modo sicuro, cosa che nella pratica spesso viene trascurata.

Minore accettazione da parte degli utenti: configurazioni MFA complesse vengono aggirate o usate in modo scorretto più spesso.

4. Confronto di sicurezza: scenari di rischio tipici

Dispositivo compromesso

• TOTP nel password manager: rischio elevato se la cassaforte è accessibile
• App di autenticazione: protezione aggiuntiva grazie alla separazione di dispositivo e app

Attacchi di phishing

• Entrambi i metodi proteggono dal riutilizzo delle password
• Nessuno dei due approcci è completamente resistente al phishing senza misure aggiuntive (ad es. passkey)

Perdita del dispositivo

• Password manager: il ripristino è di solito più semplice
• App di autenticazione: dipende da backup e codici di recupero

5. La prospettiva aziendale: PMI vs grandi aziende

PMI e piccoli team

• Risorse IT limitate
• Forte attenzione alla facilità d’uso
• La continuità operativa è prioritaria

Per molte PMI, salvare i TOTP nel password manager rappresenta un compromesso pratico tra sicurezza e usabilità.

Grandi aziende

Caratteristiche:

• Requisiti di compliance più elevati
• Gestione degli accessi privilegiati
• Modelli di minaccia più sofisticati

Qui si sceglie spesso un approccio a livelli: app di autenticazione dedicate per gli account privilegiati, TOTP nel password manager per gli utenti standard.

6. Best practice: un approccio ibrido

Un modello ibrido unisce sicurezza ed efficienza:

• Rischio basso: TOTP nel password manager
• Rischio elevato / account privilegiati: app di autenticazione dedicata o chiave di sicurezza hardware

Questo approccio basato sul rischio consente di rafforzare le misure di sicurezza in modo mirato, dove hanno il massimo effetto.

7. Alternative al TOTP

Il TOTP è molto diffuso, ma non è l’unica opzione:

• Passkey (FIDO2 / WebAuthn): resistenti al phishing e senza password
• Chiavi di sicurezza hardware: protezione molto elevata
• Metodi basati su notifiche push: comodi, ma non sempre resistenti al phishing

Dove disponibili, questi metodi possono aumentare ulteriormente la sicurezza.

8. Guida alla decisione

Ponetevi queste domande:

• Quanto è critico l’account?
• Quale modello di minaccia si applica?
• Quanto sono esperti gli utenti dal punto di vista tecnico?
• Quanto sono importanti ripristino e disponibilità?
• Esistono requisiti normativi o di compliance?

9. Conclusione: il contesto è decisivo

Non esiste una risposta universale su dove salvare i token TOTP.

I password manager vincono su comodità e accettazione, mentre le app di autenticazione dedicate offrono una separazione dei fattori più forte.

La sicurezza non è una scelta assoluta, ma una questione di contesto.

La soluzione migliore è quella adatta all’organizzazione, al rischio e agli utenti, affiancata da policy chiare, verifiche regolari e misure di protezione a più livelli.

Ricordiamo che PassSecurium™, il nostro password manager, supporta l’archiviazione e la generazione sicura dei codici TOTP.

I clienti business possono richiedere una dimostrazione dal vivo o un accesso di prova, mentre gli utenti privati possono registrarsi direttamente sul nostro sito per una versione privata gratuita.