Un’alternativa ad Authy per i team

Authy è una buona app di autenticazione per una persona. Il problema comincia quando un team la usa per account condivisi: i codici restano sul telefono di chi li ha configurati.

Cosa è diventato Authy

• Solo mobile. Le app desktop per Windows, macOS e Linux sono state dismesse il 19 marzo 2024 (fonte), e l’estensione per Chrome non è più mantenuta dal 2020 (fonte).
• Un account per persona. Un account Authy è legato a un numero di telefono; la sincronizzazione serve a ritrovare i propri codici sui propri dispositivi, e Authy non offre una cassaforte condivisa.
• Nessuna esportazione. Authy non permette né di importare né di esportare gli account (fonte): lasciarlo significa riconfigurare la 2FA di ogni servizio.
• Luglio 2024. Twilio ha indicato che alcuni numeri di telefono associati ad account Authy potevano essere stati raccolti tramite un endpoint non autenticato, poi messo in sicurezza, precisando che gli account non erano compromessi (fonte).

Cosa si aspetta invece un team

In Share Auth gli account 2FA vivono nello spazio del team e non su un telefono, e ogni membro autorizzato ottiene il codice corrente dal sito, dall’API, da Slack o da Discord. Un lettore riceve questo codice senza mai vedere il segreto che lo genera: quando lascia il team, non si porta via nessuna copia. Il registro degli accessi indica chi ha ottenuto quale codice, e quando.

I tuoi account non restano comunque chiusi. La pagina di ogni segreto mostra il suo codice QR di configurazione, che qualsiasi app TOTP sa leggere; è proprio ciò che Authy non permette.

Passare da Authy a Share Auth

In mancanza di esportazione, la migrazione si fa account per account: apri le impostazioni di sicurezza del servizio, cambia app di autenticazione, scansiona il nuovo codice QR in Share Auth e conferma con il codice mostrato. Comincia dagli account che il team usa di più. La pagina Migrazione descrive ogni caso.