# Verifica in due passaggi

> Oltre alla password, l'accesso chiede un codice inviato al tuo telefono su WhatsApp (o via SMS). Come attivarla in Il mio account › Sicurezza, i 10 codici di recupero, ricordare il dispositivo per 90 giorni, il passaggio extra prima delle azioni sensibili, l'obbligo per il team e l'impostazione predefinita per i membri.

La **verifica in due passaggi** protegge il tuo account con un secondo passaggio all'accesso: dopo la password, Memberfy invia un **codice di 6 cifre al tuo telefono, su WhatsApp** (o via SMS), e accedi solo con quello. Anche se qualcuno scopre la tua password, non può accedere senza il codice del tuo telefono.

Non serve un'app di autenticazione e non costa nulla: **i messaggi li paga Memberfy**, e il codice non conta nella quota di SMS e WhatsApp della community.

Poiché l'[account](/conceitos/conta-e-perfil) è uno per community, lo è anche la verifica: attivata qui, vale per il tuo accesso a questa community.

## A cosa serve

| Chi | Cosa cambia |
|---|---|
| Proprietario, admin e finanza | Saldo, prelievi, conto di incasso e dati dei membri non dipendono più solo dalla password |
| Moderatore | La moderazione e i dati dei membri stanno dietro a un secondo passaggio |
| Membro | L'account e ciò che hai acquistato restano protetti, anche se la password trapela |
| Community aziendale o HR | Soddisfa il requisito del secondo fattore per chi accede ai dati delle persone |

## Come funziona

### Chi deve averla

| Chi | Regola |
|---|---|
| **Team** (proprietario, admin, moderatore e finanza) | Sempre obbligatoria. Chi non ce l'ha ancora ottiene **7 giorni** di tempo, con un avviso in cima allo schermo: *"Attiva la verifica in due passaggi entro il {data}. Dopo, le schermate e le azioni del team restano bloccate finché non la attivi."* |
| **SuperAdmin** (il supporto Memberfy) | Sempre obbligatoria |
| **Membro** | Facoltativa. Se il proprietario ha attivato l'impostazione per i membri, la persona viene **invitata** ad attivarla, mai bloccata |

Il termine del team parte la prima volta che la persona usa una schermata o un'azione del team senza la verifica. Scaduto il termine, le schermate e le azioni del team restano bloccate (*"Le schermate e le azioni del team sono bloccate: attiva la verifica in due passaggi per continuare."*), e anche le [chiavi API](/configuracoes/integracoes-e-apis) di quella persona non raggiungono più le rotte del team. La strada per attivarla resta sempre aperta: **Il mio account › Sicurezza** e il pulsante **Attiva ora** dell'avviso. Appena attivata, tutto torna a funzionare.

### L'impostazione per i membri

In **Impostazioni › Accesso e iscrizione**, il riquadro **Verifica in due passaggi dei membri** ha l'opzione **Chiedi ai membri la verifica in due passaggi**. Solo il proprietario la cambia (*"Solo l'owner cambia questa opzione."*).

- **Disattivata** (predefinita): ogni membro decide se attivare la propria.
- **Attivata**: i membri senza la verifica vedono l'invito *"Questa community ti chiede di attivare la verifica in due passaggi per proteggere il tuo account."*, con **Attiva ora** e **Non ora**. Nessuno viene bloccato. Chi la attiva non può più disattivarla finché l'opzione resta attiva.

### L'accesso con il codice

Con la verifica attiva, l'accesso con la password giusta apre il passaggio **Verifica in due passaggi**:

- *"Ti abbiamo inviato un codice su WhatsApp al numero {telefono}."*, con il numero mascherato. Inserisci le 6 cifre in **Codice di 6 cifre** e tocca **Accedi**.
- **Ricevi via SMS** invia il codice via SMS. Se WhatsApp non accetta il numero, il codice parte già via SMS.
- **Ricorda questo dispositivo per 90 giorni**: su questo browser, i prossimi accessi chiedono solo la password, fino alla scadenza.
- **Usa un codice di recupero**: accedi con uno dei [codici di recupero](#i-codici-di-recupero), se non hai il telefono con te.

Una password sbagliata non fa partire il codice. Un codice sbagliato mostra quanti tentativi restano; esauriti, chiedi un nuovo codice. Se la richiesta di codice scade, lo schermo chiede di accedere di nuovo con la password. Il collegamento di un [assistente IA](/mcp/seguranca#verifica-in-due-passaggi) passa per lo stesso accesso e chiede anch'esso il codice.

### I codici di recupero

Quando la attivi, lo schermo mostra **10 codici di recupero**, **una sola volta**, con **Copia** e **Scarica**. Si chiude solo dopo che hai spuntato **Ho salvato i codici in un luogo sicuro**. Ogni codice vale una volta, al posto del codice del telefono.

- Quando accedi con un codice di recupero, questo non vale più, lo schermo dice quanti ne restano e ricevi un'e-mail di avviso.
- Con pochi codici rimasti, **Il mio account › Sicurezza** te lo segnala. **Genera nuovi codici di recupero** sostituisce i 10: i vecchi non valgono più.

### I dispositivi ricordati

In **Il mio account › Sicurezza**, **Dispositivi ricordati** elenca i browser in cui l'accesso non chiede il codice, con browser e sistema, l'ultimo uso e la scadenza. **Rimuovi** ne dimentica uno; **Rimuovi tutti** li dimentica tutti (la sessione attuale resta aperta). Anche cambiare la password o disattivare la verifica li rimuove tutti.

### Il passaggio extra

Con la verifica attiva, alcune azioni chiedono **un nuovo codice al momento**, anche se hai già effettuato l'accesso: la finestra **Conferma che sei tu** invia il codice al telefono e prosegue solo dopo averlo ricevuto.

| Azione | Dove |
|---|---|
| Disattivare la verifica | **Il mio account › Sicurezza** |
| Cambiare il telefono della verifica | **Il mio account › Sicurezza** |
| Generare nuovi codici di recupero | **Il mio account › Sicurezza** |
| Creare una chiave API | [Integrazioni e API](/configuracoes/integracoes-e-apis) e **Il mio account › Chiavi API** |
| Richiedere un prelievo | [Prelievo](/pagamentos/saque) |
| Cambiare il conto di incasso | **Impostazioni › Incassi** |

Dopo la conferma, le azioni successive dell'elenco non chiedono un altro codice per qualche minuto. Nella sessione di supporto di Memberfy (l'**Entra** del SuperAdmin), queste azioni non sono disponibili: le fa solo la persona stessa, nel proprio account.

### L'attività di sicurezza

**Attività di sicurezza** mostra gli eventi recenti della verifica del tuo account: attivata, disattivata, telefono cambiato, dispositivo ricordato o rimosso, codice di recupero usato, nuovi codici generati e verifica reimpostata dal supporto. Attivare, disattivare, usare un codice di recupero e la reimpostazione da parte del supporto inviano anche un'e-mail a te.

## Passo dopo passo

### Attivare la verifica

*Ruolo: chiunque, nel proprio account.*

1. Apri **Il mio account › Sicurezza** (`/account?tab=security`).
2. In **Verifica in due passaggi**, tocca **Attiva la verifica in due passaggi**.
3. Inserisci il **Telefono** (un numero con WhatsApp), scegli **Invia il codice tramite** WhatsApp o SMS e tocca **Invia codice**.
4. Inserisci il codice e tocca **Attiva**. Il numero diventa il telefono confermato del tuo account.
5. Conserva i 10 codici di recupero (**Copia** o **Scarica**), spunta **Ho salvato i codici in un luogo sicuro** e tocca **Fine**.

La sezione mostra ora **Attiva**, il telefono, la data, i codici di recupero rimasti e i dispositivi ricordati. In un paese senza WhatsApp né SMS supportati non è possibile attivarla, e lo schermo spiega il motivo.

### Cambiare il telefono

1. In **Il mio account › Sicurezza**, tocca **Cambia telefono** e conferma che sei tu con il codice del telefono attuale.
2. Inserisci il nuovo numero, ricevi il codice su di esso e conferma. I prossimi codici vanno al nuovo numero.

### Disattivare la verifica

*Solo chi non è obbligato: un membro in una community senza l'impostazione attiva.*

Tocca **Disattiva**, conferma che sei tu con il codice e conferma. L'accesso torna a chiedere solo la password, i codici di recupero non valgono più e i dispositivi ricordati vengono rimossi. Per il team e per il SuperAdmin, la sezione spiega che la verifica è sempre in uso, senza il pulsante.

### Chiederla ai membri

*Ruolo: proprietario.*

1. Apri **Impostazioni › Accesso e iscrizione**.
2. Nel riquadro **Verifica in due passaggi dei membri**, attiva **Chiedi ai membri la verifica in due passaggi**.

### Ho perso il telefono

1. Nel passaggio del codice, tocca **Usa un codice di recupero** e inserisci uno dei codici che hai conservato.
2. Una volta dentro, cambia il telefono in **Il mio account › Sicurezza** e genera nuovi codici.

Senza telefono e senza alcun codice di recupero, contatta il supporto Memberfy. Non esiste un codice via e-mail: il SuperAdmin verifica prima la tua identità, disattiva la verifica dell'account con il motivo registrato, e ricevi un'e-mail di avviso. Se il tuo ruolo richiede la verifica, riattivala al prossimo accesso.

## Esempi

**Nuova admin.** Anna diventa admin. Aprendo il pannello, vede l'avviso con il termine di 7 giorni, tocca **Attiva ora**, conferma WhatsApp e conserva i codici. Sul portatile dell'ufficio, spunta **Ricorda questo dispositivo per 90 giorni**.

**Prelievo protetto.** Il proprietario richiede un prelievo. Prima dell'invio, la finestra **Conferma che sei tu** chiede il codice di WhatsApp; con quello, il prelievo prosegue.

**Community che la chiede a tutti.** Il proprietario attiva l'impostazione per i membri. Chi entra vede l'invito, la attiva in un minuto e da allora accede con il codice.

## Errori comuni e come risolverli

| Messaggio o situazione | Cosa fare |
|---|---|
| *"Codice errato. Ti restano N tentativi."* | Controlla il codice più recente; i precedenti non valgono più quando ne arriva uno nuovo |
| *"Tentativi esauriti per questo codice. Chiedi un nuovo codice qui sotto."* | Chiedi un altro codice, su WhatsApp o via SMS |
| *"Troppi codici richiesti. Riprova più tardi."* | Aspetta un po', oppure usa un codice di recupero |
| *"Questa richiesta di codice è scaduta. Accedi di nuovo con la password."* | Tocca **Accedi di nuovo** e ripeti l'accesso |
| Il codice non arriva su WhatsApp | Tocca **Ricevi via SMS** |
| *"Le schermate e le azioni del team sono bloccate…"* | Il termine di 7 giorni è scaduto: attiva la verifica in **Il mio account › Sicurezza** |
| *"Questa azione non è disponibile in una sessione di supporto…"* | L'azione spetta alla persona stessa, nel proprio account |

## Domande frequenti

**Quanto costa?**
Niente, né per la community né per chi la usa. I messaggi li paga Memberfy, fuori dalla quota della community.

**Mi serve un'app di autenticazione?**
No. Il codice arriva su WhatsApp, o via SMS.

**Dovrò inserire un codice ogni giorno?**
No, se spunti **Ricorda questo dispositivo per 90 giorni**. Il codice torna solo dopo quel periodo, se cambi la password o se rimuovi il dispositivo.

**Il proprietario può obbligarmi?**
Il team (admin, moderatore, finanza e lo stesso proprietario) usa sempre la verifica. Ai membri il proprietario può chiederla, ma nessuno viene bloccato.

**Recuperare la password salta la verifica?**
No. L'accesso successivo, con la nuova password, chiede il codice.

**E le chiavi API?**
Una chiave continua a funzionare senza codice. Crearne una nuova chiede il passaggio extra. Per il team, scaduto il termine senza la verifica, anche le chiavi non raggiungono più le rotte del team.

## Con l'assistente

L'assistente consulta la tua verifica con [`get_two_factor_status`](/mcp/ferramentas-membros#get-two-factor-status): se è attiva, se il tuo ruolo la richiede ed entro quando, il telefono mascherato, i codici di recupero rimasti e i dispositivi ricordati. Attivare, disattivare e inserire codici avviene **solo nell'app**, mai nella conversazione: l'assistente restituisce il link di **Il mio account › Sicurezza** e non chiede mai un codice. Un'azione che chiede il passaggio extra (come un prelievo) torna con il link per farla dall'app. Vedi [Sicurezza e limiti](/mcp/seguranca#verifica-in-due-passaggi).

## Nell'API

L'accesso con la verifica attiva risponde `twoFactorRequired: true` e un `challengeId`, e si conclude in `POST /api/auth/login/two-factor`; la gestione è in `/api/auth/two-factor/*`, e il passaggio extra va nell'intestazione `X-Step-Up-Token`. Vedi [Autenticazione › Verifica in due passaggi](/api/autenticacao#verifica-in-due-passaggi) e gli [errori](/api/respostas-e-erros#verifica-in-due-passaggi).

## Correlati

- [Account e profilo](/conceitos/conta-e-perfil)
- [Ruoli e permessi](/conceitos/papeis-e-permissoes)
- [Prelievo](/pagamentos/saque)
- [Integrazioni e API](/configuracoes/integracoes-e-apis)
- [Sicurezza e limiti dell'assistente](/mcp/seguranca)