Abilitare l'autenticazione a due fattori PayPal
L'autenticazione a due fattori (2FA) è la difesa più efficace contro il furto di account PayPal. Anche se un malintenzionato dovesse rubare la tua password, senza il secondo fattore non potrà accedere al saldo né cambiare le impostazioni di sicurezza. In questo articolo vediamo tutti i metodi 2FA supportati da PayPal, come configurarli correttamente e come gestire i codici di backup.
Metodi 2FA supportati
PayPal supporta tre metodi. Il primo è SMS: alla login ricevi un codice a 6 cifre sul numero verificato. È il più diffuso ma anche il meno sicuro, vulnerabile al SIM swap. Il secondo è l'app authenticator (Google Authenticator, Authy, Microsoft Authenticator) che genera codici TOTP a 30 secondi anche offline. Il terzo è la chiave fisica FIDO2/WebAuthn (YubiKey, Solokey, Titan): è il metodo più robusto, immune al phishing remoto. Per importi elevati e account business consigliamo sempre app o chiave fisica.
Procedura passo-passo
- Accedi all'account e clicca sull'icona ingranaggio per aprire le Impostazioni.
- Vai su Sicurezza e poi su Verifica in due passaggi.
- Clicca su "Configura" accanto al metodo scelto.
- Per l'app: scansiona il QR code con Authy o Google Authenticator e inserisci il codice a 6 cifre per confermare.
- Per la chiave fisica: inserisci la chiave nella porta USB e tocca il pulsante quando richiesto.
- Salva i codici di backup generati: 10 codici a uso singolo da conservare offline.
- Attiva il metodo come predefinito e disattiva l'SMS se hai scelto un metodo più forte.
- Testa il login uscendo e rientrando con il nuovo flusso.
Codici di backup: come gestirli
I codici di backup sono la rete di sicurezza se perdi il telefono o la chiave fisica. PayPal te ne fornisce 10, ciascuno usabile una sola volta. Stampali e conservali in un luogo sicuro (cassaforte, agenda chiusa a chiave) oppure salvali nel vault del password manager con il flag "secure note". Mai salvarli in chiaro su Gmail o Drive: se l'attaccante ha accesso alla mail, ha accesso ai backup.
Chiavi FIDO2: il setup avanzato
Le chiavi FIDO2 sono dispositivi USB o NFC che firmano crittograficamente la richiesta di login. Sono immuni al phishing perché la firma è legata al dominio reale di PayPal: un sito clone non può ottenerla. Registrane almeno due (una primaria e una di backup in luogo separato) per evitare il blocco in caso di smarrimento. Modelli consigliati: YubiKey 5 NFC, Solokey USB-C, Google Titan Key.
2FA e API: app password
Se usi PayPal tramite integrazioni server-to-server (REST API, webhook) la 2FA non blocca le chiamate API perché queste si autenticano tramite client_id/client_secret e access token OAuth. La 2FA protegge solo la dashboard web e mobile. Per le API tieni separati gli accessi: un'account principale con 2FA forte per la dashboard e credenziali API dedicate, ruotate periodicamente.
Errori comuni e come risolverli
- Codice TOTP non accettato: l'orologio del telefono è sfasato. Sincronizza l'orario in automatico.
- SMS non arriva: verifica il numero in profilo e disattiva eventuali blocchi del gestore.
- Perdita del telefono senza backup: l'unico recupero è tramite supporto con documento d'identità. Genera SEMPRE i codici di backup.
- SIM swap: usa app o FIDO2, mai solo SMS. L'attacco SIM swap aggira completamente la 2FA via messaggio.
Domande frequenti
D: Posso usare 2FA su più account PayPal con la stessa app?
R: Sì, ogni account si registra come voce separata in Authy o Google Authenticator.
D: La 2FA rallenta gli acquisti?
R: No, una volta loggato la sessione resta valida per giorni. La 2FA scatta solo al nuovo login o per operazioni sensibili.
D: PayPal supporta passkey?
R: Sì, dal 2024 PayPal supporta le passkey su iOS e Android, con sblocco biometrico al posto della password.
Consigli operativi e best practice
Per consolidare quanto visto nei paragrafi precedenti tieni a mente alcuni accorgimenti pratici che fanno la differenza nel quotidiano. Documenta sempre ogni passaggio della configurazione in un registro interno aziendale: serve sia per il team sia in caso di audit fiscale o di richiesta di chiarimenti da parte di PayPal. Conserva una copia delle ricevute, delle email transazionali e degli screenshot dei pannelli di amministrazione per almeno dieci anni, come richiesto dalla normativa civilistica italiana.
Pianifica una revisione trimestrale della tua integrazione PayPal: verifica le commissioni applicate, controlla i tassi di contestazione, leggi gli avvisi nel Centro Risoluzioni e aggiorna eventuali plugin o SDK obsoleti. Le aziende che fanno questo controllo regolare riducono del 40-60% gli incidenti operativi rispetto a chi gestisce PayPal in modo reattivo. Coinvolgi anche il team di customer service: spesso sono loro i primi a notare pattern di richieste che possono indicare problemi nascosti nel flusso di pagamento.
Infine, abituati a monitorare i tempi di risposta nelle dispute e nei reclami: PayPal premia i merchant che rispondono entro 24-48 ore con score reputazionali migliori, che si traducono in minori riserve, commissioni più favorevoli al raggiungimento dei volumi e un'esperienza più fluida in caso di controlli antifrode. La gestione proattiva è sempre meno costosa di quella reattiva, in PayPal come nel resto del business online.
Hai bisogno di aiuto?
Se vuoi integrare PayPal nel tuo sito con il team di G Tech Group, scrivici tramite il modulo di contatto.