Ci si connette a Outlook dal PC di un collega, si convalida un acquisto sul Microsoft Store e appare uno schermo: « Inserisci il codice di sicurezza inviato al tuo indirizzo e-mail. » Senza questo codice, impossibile andare oltre. Il codice di sicurezza Microsoft è un meccanismo di verifica temporanea, distinto dalla password, che conferma che la persona dietro lo schermo è effettivamente il titolare dell’account.
Il suo ruolo sembra semplice, ma le situazioni in cui crea problemi sono numerose: codice mai ricevuto, numero di telefono obsoleto, confusione con il codice PIN di Windows Hello. Comprendere il suo funzionamento evita di ritrovarsi bloccati nel momento peggiore.
Ulteriori letture : Consigli e trucchi pratici per avere successo con il tuo orto domestico
Codice di sicurezza Microsoft e codice PIN Windows Hello: due meccanismi diversi
La confusione torna costantemente nei forum. Un utente tenta di connettersi a Microsoft 365 da un altro computer, gli viene chiesto un « codice riservato », e lui inserisce il suo codice PIN di Windows Hello. Non funziona, ed è normale.
Il codice PIN di Windows Hello è legato a un dispositivo fisico specifico. Sblocca la sessione Windows locale e non lascia mai la macchina. Il codice di sicurezza Microsoft, invece, è un codice temporaneo inviato via e-mail o generato da un’app di autenticazione. Serve a dimostrare la propria identità durante una connessione insolita o una modifica sensibile dell’account.
Leggi anche : Supporto agli imprenditori: consigli e soluzioni per potenziare il vostro business
Concretamente, se si cambia computer o browser, Microsoft rileva un ambiente sconosciuto e attiva l’invio di un codice di sicurezza. Modificare il proprio codice PIN sulla macchina originale non risolve nulla, poiché si parla di due livelli di protezione indipendenti. Per approfondire questa distinzione, si può consultare il codice di sicurezza microsoft su Digitale Naïve, che dettaglia i casi in cui ciascun tipo di codice interviene.
Fine progressiva dei codici via SMS: cosa cambia in Microsoft nel 2026-2027
Fino a poco tempo fa, ricevere un codice via SMS sembrava essere il metodo più pratico. Microsoft ha deciso di mettere fine a questo approccio, e il calendario è già avviato.
Account professionali Microsoft Entra ID
Per gli account aziendali (Microsoft 365, Teams, Outlook professionale), i codici inviati via SMS o chiamata vocale saranno progressivamente abbandonati a favore delle passkey e di altri metodi resistenti al phishing. Microsoft considera che gli SMS siano vulnerabili agli attacchi di intercettazione e di scambio di schede SIM (SIM swapping).
Account pubblici Outlook.com e Hotmail
Per quanto riguarda gli account personali, Microsoft ha iniziato a rimuovere la possibilità di aggiungere un numero di telefono come nuovo metodo di verifica. I numeri già registrati rimangono funzionanti per ora, ma non è più possibile aggiungerne di nuovi nelle impostazioni di sicurezza.
Questo cambiamento spinge verso due alternative: l’aggiunta di un indirizzo e-mail di recupero, o l’installazione dell’app Microsoft Authenticator. Se si è configurato un solo numero di telefono come metodo di verifica, è il momento di aggiungere un secondo metodo prima di ritrovarsi bloccati.
Configurare i propri metodi di verifica per non perdere mai l’accesso
Il vero problema con il codice di sicurezza Microsoft non è tecnico: è l’oblio della preparazione. Si configura il proprio account una volta, si dimentica quale indirizzo e-mail di emergenza si è fornito, e mesi dopo ci si ritrova di fronte a un muro.
Ecco i metodi di verifica che si possono combinare dalla scheda Sicurezza dell’account Microsoft:
- Un indirizzo e-mail secondario (non necessariamente il proprio, un vicino fidato può servire in caso di emergenza, purché si abbia accesso)
- L’app Microsoft Authenticator, che genera codici temporanei senza dipendere dalla rete mobile
- Chiavi di sicurezza fisiche (FIDO2), collegate via USB o connesse via Bluetooth, per i profili più esposti
Microsoft consente fino a dieci metodi di verifica diversi su un unico account. In pratica, due metodi indipendenti sono sufficienti a coprire la maggior parte degli scenari di blocco. L’errore classico è di mantenerne solo uno, legato a un telefono che si finisce per cambiare o perdere.
Codice di verifica Microsoft non ricevuto: le cause concrete
Si è richiesto il codice, si aspetta, nulla arriva. Prima di farsi prendere dal panico, alcune verifiche rapide eliminano la maggior parte dei casi:
- Il codice finisce nella cartella spam o posta indesiderata dell’e-mail di emergenza (è la causa più frequente)
- L’indirizzo e-mail di recupero fornito nell’account non è più accessibile, o contiene un errore di battitura mai corretto
- Il tempo di ricezione varia a seconda del fornitore di posta elettronica: i tempi di risposta variano su questo punto, ma un ritardo di qualche minuto rimane normale
- Se il codice viene inviato via SMS, un filtraggio dell’operatore o un cambio di numero può bloccare la ricezione
Quando nessuna di queste piste risolve il problema, Microsoft propone un modulo di recupero dell’account che richiede di dimostrare la propria identità con altri mezzi (oggetti di messaggi recenti, contatti frequenti, informazioni di fatturazione). Questa procedura richiede tempo e non sempre porta a un esito positivo.
Passkey Microsoft: il metodo che sostituisce i codici
Le passkey (chiavi di accesso) rappresentano la direzione intrapresa da Microsoft per i suoi account personali e professionali. Il principio: invece di ricevere un codice da inserire, si convalida la connessione tramite impronta digitale, riconoscimento facciale o codice PIN del dispositivo.
La passkey non transita mai per e-mail né per SMS, il che elimina i rischi di intercettazione. È memorizzata localmente sul dispositivo e sincronizzata tramite il gestore di password del sistema (iCloud Keychain, Google Password Manager, Windows Hello).
Per gli account professionali Entra ID, Microsoft prevede di rendere obbligatorie le passkey come metodo predefinito. Gli amministratori IT dovranno adattare le loro politiche di sicurezza di conseguenza, in particolare per i dipendenti che utilizzano dispositivi condivisi o postazioni senza sensore biometrico.
Il codice di sicurezza Microsoft non scompare da un giorno all’altro, ma il suo ruolo si riduce progressivamente. Aggiornare i propri metodi di verifica ora, aggiungendo almeno un’app di autenticazione o una passkey, rimane il modo più affidabile per evitare un blocco dell’account nei prossimi mesi.