Verifica in due passaggi
Oltre alla password, l'accesso chiede un codice inviato al tuo telefono su WhatsApp (o via SMS). Come attivarla in Il mio account › Sicurezza, i 10 codici di recupero, ricordare il dispositivo per 90 giorni, il passaggio extra prima delle azioni sensibili, l'obbligo per il team e l'impostazione predefinita per i membri.
La verifica in due passaggi protegge il tuo account con un secondo passaggio all'accesso: dopo la password, Memberfy invia un codice di 6 cifre al tuo telefono, su WhatsApp (o via SMS), e accedi solo con quello. Anche se qualcuno scopre la tua password, non può accedere senza il codice del tuo telefono.
Non serve un'app di autenticazione e non costa nulla: i messaggi li paga Memberfy, e il codice non conta nella quota di SMS e WhatsApp della community.
Poiché l'account è uno per community, lo è anche la verifica: attivata qui, vale per il tuo accesso a questa community.
A cosa serve
| Chi | Cosa cambia |
|---|---|
| Proprietario, admin e finanza | Saldo, prelievi, conto di incasso e dati dei membri non dipendono più solo dalla password |
| Moderatore | La moderazione e i dati dei membri stanno dietro a un secondo passaggio |
| Membro | L'account e ciò che hai acquistato restano protetti, anche se la password trapela |
| Community aziendale o HR | Soddisfa il requisito del secondo fattore per chi accede ai dati delle persone |
Come funziona
Chi deve averla
| Chi | Regola |
|---|---|
| Team (proprietario, admin, moderatore e finanza) | Sempre obbligatoria. Chi non ce l'ha ancora ottiene 7 giorni di tempo, con un avviso in cima allo schermo: "Attiva la verifica in due passaggi entro il {data}. Dopo, le schermate e le azioni del team restano bloccate finché non la attivi." |
| SuperAdmin (il supporto Memberfy) | Sempre obbligatoria |
| Membro | Facoltativa. Se il proprietario ha attivato l'impostazione per i membri, la persona viene invitata ad attivarla, mai bloccata |
Il termine del team parte la prima volta che la persona usa una schermata o un'azione del team senza la verifica. Scaduto il termine, le schermate e le azioni del team restano bloccate ("Le schermate e le azioni del team sono bloccate: attiva la verifica in due passaggi per continuare."), e anche le chiavi API di quella persona non raggiungono più le rotte del team. La strada per attivarla resta sempre aperta: Il mio account › Sicurezza e il pulsante Attiva ora dell'avviso. Appena attivata, tutto torna a funzionare.
L'impostazione per i membri
In Impostazioni › Accesso e iscrizione, il riquadro Verifica in due passaggi dei membri ha l'opzione Chiedi ai membri la verifica in due passaggi. Solo il proprietario la cambia ("Solo l'owner cambia questa opzione.").
- Disattivata (predefinita): ogni membro decide se attivare la propria.
- Attivata: i membri senza la verifica vedono l'invito "Questa community ti chiede di attivare la verifica in due passaggi per proteggere il tuo account.", con Attiva ora e Non ora. Nessuno viene bloccato. Chi la attiva non può più disattivarla finché l'opzione resta attiva.
L'accesso con il codice
Con la verifica attiva, l'accesso con la password giusta apre il passaggio Verifica in due passaggi:
- "Ti abbiamo inviato un codice su WhatsApp al numero {telefono}.", con il numero mascherato. Inserisci le 6 cifre in Codice di 6 cifre e tocca Accedi.
- Ricevi via SMS invia il codice via SMS. Se WhatsApp non accetta il numero, il codice parte già via SMS.
- Ricorda questo dispositivo per 90 giorni: su questo browser, i prossimi accessi chiedono solo la password, fino alla scadenza.
- Usa un codice di recupero: accedi con uno dei codici di recupero, se non hai il telefono con te.
Una password sbagliata non fa partire il codice. Un codice sbagliato mostra quanti tentativi restano; esauriti, chiedi un nuovo codice. Se la richiesta di codice scade, lo schermo chiede di accedere di nuovo con la password. Il collegamento di un assistente IA passa per lo stesso accesso e chiede anch'esso il codice.
I codici di recupero
Quando la attivi, lo schermo mostra 10 codici di recupero, una sola volta, con Copia e Scarica. Si chiude solo dopo che hai spuntato Ho salvato i codici in un luogo sicuro. Ogni codice vale una volta, al posto del codice del telefono.
- Quando accedi con un codice di recupero, questo non vale più, lo schermo dice quanti ne restano e ricevi un'e-mail di avviso.
- Con pochi codici rimasti, Il mio account › Sicurezza te lo segnala. Genera nuovi codici di recupero sostituisce i 10: i vecchi non valgono più.
I dispositivi ricordati
In Il mio account › Sicurezza, Dispositivi ricordati elenca i browser in cui l'accesso non chiede il codice, con browser e sistema, l'ultimo uso e la scadenza. Rimuovi ne dimentica uno; Rimuovi tutti li dimentica tutti (la sessione attuale resta aperta). Anche cambiare la password o disattivare la verifica li rimuove tutti.
Il passaggio extra
Con la verifica attiva, alcune azioni chiedono un nuovo codice al momento, anche se hai già effettuato l'accesso: la finestra Conferma che sei tu invia il codice al telefono e prosegue solo dopo averlo ricevuto.
| Azione | Dove |
|---|---|
| Disattivare la verifica | Il mio account › Sicurezza |
| Cambiare il telefono della verifica | Il mio account › Sicurezza |
| Generare nuovi codici di recupero | Il mio account › Sicurezza |
| Creare una chiave API | Integrazioni e API e Il mio account › Chiavi API |
| Richiedere un prelievo | Prelievo |
| Cambiare il conto di incasso | Impostazioni › Incassi |
Dopo la conferma, le azioni successive dell'elenco non chiedono un altro codice per qualche minuto. Nella sessione di supporto di Memberfy (l'Entra del SuperAdmin), queste azioni non sono disponibili: le fa solo la persona stessa, nel proprio account.
L'attività di sicurezza
Attività di sicurezza mostra gli eventi recenti della verifica del tuo account: attivata, disattivata, telefono cambiato, dispositivo ricordato o rimosso, codice di recupero usato, nuovi codici generati e verifica reimpostata dal supporto. Attivare, disattivare, usare un codice di recupero e la reimpostazione da parte del supporto inviano anche un'e-mail a te.
Passo dopo passo
Attivare la verifica
Ruolo: chiunque, nel proprio account.
- Apri Il mio account › Sicurezza (
/account?tab=security). - In Verifica in due passaggi, tocca Attiva la verifica in due passaggi.
- Inserisci il Telefono (un numero con WhatsApp), scegli Invia il codice tramite WhatsApp o SMS e tocca Invia codice.
- Inserisci il codice e tocca Attiva. Il numero diventa il telefono confermato del tuo account.
- Conserva i 10 codici di recupero (Copia o Scarica), spunta Ho salvato i codici in un luogo sicuro e tocca Fine.
La sezione mostra ora Attiva, il telefono, la data, i codici di recupero rimasti e i dispositivi ricordati. In un paese senza WhatsApp né SMS supportati non è possibile attivarla, e lo schermo spiega il motivo.
Cambiare il telefono
- In Il mio account › Sicurezza, tocca Cambia telefono e conferma che sei tu con il codice del telefono attuale.
- Inserisci il nuovo numero, ricevi il codice su di esso e conferma. I prossimi codici vanno al nuovo numero.
Disattivare la verifica
Solo chi non è obbligato: un membro in una community senza l'impostazione attiva.
Tocca Disattiva, conferma che sei tu con il codice e conferma. L'accesso torna a chiedere solo la password, i codici di recupero non valgono più e i dispositivi ricordati vengono rimossi. Per il team e per il SuperAdmin, la sezione spiega che la verifica è sempre in uso, senza il pulsante.
Chiederla ai membri
Ruolo: proprietario.
- Apri Impostazioni › Accesso e iscrizione.
- Nel riquadro Verifica in due passaggi dei membri, attiva Chiedi ai membri la verifica in due passaggi.
Ho perso il telefono
- Nel passaggio del codice, tocca Usa un codice di recupero e inserisci uno dei codici che hai conservato.
- Una volta dentro, cambia il telefono in Il mio account › Sicurezza e genera nuovi codici.
Senza telefono e senza alcun codice di recupero, contatta il supporto Memberfy. Non esiste un codice via e-mail: il SuperAdmin verifica prima la tua identità, disattiva la verifica dell'account con il motivo registrato, e ricevi un'e-mail di avviso. Se il tuo ruolo richiede la verifica, riattivala al prossimo accesso.
Esempi
Nuova admin. Anna diventa admin. Aprendo il pannello, vede l'avviso con il termine di 7 giorni, tocca Attiva ora, conferma WhatsApp e conserva i codici. Sul portatile dell'ufficio, spunta Ricorda questo dispositivo per 90 giorni.
Prelievo protetto. Il proprietario richiede un prelievo. Prima dell'invio, la finestra Conferma che sei tu chiede il codice di WhatsApp; con quello, il prelievo prosegue.
Community che la chiede a tutti. Il proprietario attiva l'impostazione per i membri. Chi entra vede l'invito, la attiva in un minuto e da allora accede con il codice.
Errori comuni e come risolverli
| Messaggio o situazione | Cosa fare |
|---|---|
| "Codice errato. Ti restano N tentativi." | Controlla il codice più recente; i precedenti non valgono più quando ne arriva uno nuovo |
| "Tentativi esauriti per questo codice. Chiedi un nuovo codice qui sotto." | Chiedi un altro codice, su WhatsApp o via SMS |
| "Troppi codici richiesti. Riprova più tardi." | Aspetta un po', oppure usa un codice di recupero |
| "Questa richiesta di codice è scaduta. Accedi di nuovo con la password." | Tocca Accedi di nuovo e ripeti l'accesso |
| Il codice non arriva su WhatsApp | Tocca Ricevi via SMS |
| "Le schermate e le azioni del team sono bloccate…" | Il termine di 7 giorni è scaduto: attiva la verifica in Il mio account › Sicurezza |
| "Questa azione non è disponibile in una sessione di supporto…" | L'azione spetta alla persona stessa, nel proprio account |
Domande frequenti
Quanto costa? Niente, né per la community né per chi la usa. I messaggi li paga Memberfy, fuori dalla quota della community.
Mi serve un'app di autenticazione? No. Il codice arriva su WhatsApp, o via SMS.
Dovrò inserire un codice ogni giorno? No, se spunti Ricorda questo dispositivo per 90 giorni. Il codice torna solo dopo quel periodo, se cambi la password o se rimuovi il dispositivo.
Il proprietario può obbligarmi? Il team (admin, moderatore, finanza e lo stesso proprietario) usa sempre la verifica. Ai membri il proprietario può chiederla, ma nessuno viene bloccato.
Recuperare la password salta la verifica? No. L'accesso successivo, con la nuova password, chiede il codice.
E le chiavi API? Una chiave continua a funzionare senza codice. Crearne una nuova chiede il passaggio extra. Per il team, scaduto il termine senza la verifica, anche le chiavi non raggiungono più le rotte del team.
Con l'assistente
L'assistente consulta la tua verifica con get_two_factor_status: se è attiva, se il tuo ruolo la richiede ed entro quando, il telefono mascherato, i codici di recupero rimasti e i dispositivi ricordati. Attivare, disattivare e inserire codici avviene solo nell'app, mai nella conversazione: l'assistente restituisce il link di Il mio account › Sicurezza e non chiede mai un codice. Un'azione che chiede il passaggio extra (come un prelievo) torna con il link per farla dall'app. Vedi Sicurezza e limiti.
Nell'API
L'accesso con la verifica attiva risponde twoFactorRequired: true e un challengeId, e si conclude in POST /api/auth/login/two-factor; la gestione è in /api/auth/two-factor/*, e il passaggio extra va nell'intestazione X-Step-Up-Token. Vedi Autenticazione › Verifica in due passaggi e gli errori.