Perché non usare Google o Facebook per entrare nei siti

Ogni volta che scarichiamo un'app o compriamo online, troviamo i bottoni per entrare con Google, Apple o Facebook. Basta un tocco per creare l'account, evitando la noia di inventare l'ennesima password.

Questo meccanismo si regge sul protocollo OAuth. Quando si preme uno di quei tasti, la password personale non viene mai comunicata al sito esterno. Il sistema invia un gettone di autorizzazione digitale: il colosso tecnologico fa da garante, conferma chi siamo e trasmette solo alcune informazioni di base, come nome e casella di posta. Il problema non è la trasmissione della chiave segreta, ma la catena di dipendenza che si crea tra la nostra identità e decine di piattaforme esterne.

LEGGI ANCHE -> Creare dati anagrafici falsi e casuali per registrarsi ai siti web

Il pericolo della centralizzazione e l'esilio digitale

Raggruppare ogni iscrizione sotto un unico profilo crea un punto debole evidente. I server di Google, Apple e Meta vantano difese informatiche impenetrabili per la maggior parte dei malintenzionati. Tuttavia, se l'account principale non include la attivazione dell'autenticazione a due fattori, basta una distrazione per consegnare le chiavi di tutta la nostra presenza in rete a chiunque riesca a intercettare le credenziali principali.

Il rischio più insidioso riguarda i blocchi automatici. Gli algoritmi di sicurezza delle grandi piattaforme sospendono profili ogni giorno per presunte violazioni delle regole, spesso a seguito di controlli automatizzati privi di supervisione umana. Trovarsi con l'account principale disattivato significa subire un vero esilio digitale: l'accesso a Spotify, ai siti di prenotazione viaggi, alle app di fitness e ai portali di lavoro svanisce all'istante, senza possibilità di richiedere un ripristino rapido.

A questo si aggiunge la profilazione continua. Sfruttando i pulsanti rapidi, i giganti dell'advertising sanno con esattezza quali servizi vengono aperti, a che ora e con quale frequenza. Questo alimenta i cosiddetti Shadow Profiles: mappe di dati che le aziende costruiscono su di noi anche quando non siamo collegati, incrociando le informazioni raccolte dai siti che usano i loro strumenti di login o i loro pixel di tracciamento.

Dove ha senso usare il login rapido e dove evitarlo

Non serve rifiutare questa tecnologia in modo assoluto. Basta separare i servizi sacrificabili da quelli su cui poggia la nostra vita privata e finanziaria.

I pulsanti di accesso rapido restano comodi per le piattaforme a basso impatto, come un forum consultato saltuariamente, un gioco da usare per qualche giorno o un'applicazione di intrattenimento priva di metodi di pagamento registrati. Se quel servizio scompare o viene bloccato, il danno materiale resta pari a zero.

La registrazione tradizionale con casella email separata e password dedicata diventa obbligatoria per tutti gli ambiti sensibili:

• Servizi bancari, carte prepagate e portafogli digitali
• Spazi di archiviazione cloud contenenti documenti privati, copie di documenti d'identità e fotografie di famiglia
• Portali per la gestione di bollette di casa, contratti telefonici e cartelle cliniche
• Caselle di posta elettronica secondarie usate per il recupero delle utenze

Le alternative per proteggere dati e anonimato

Rinunciare ai bottoni rapidi non significa tornare a prendere appunti su foglietti volanti. La gestione delle credenziali si è evoluta per offrire la stessa rapidità senza cedere il controllo a intermediari terzi.

L'approccio più solido si ottiene installando un gestore di password indipendente come Bitwarden. Il software memorizza chiavi lunghe, le genera in automatico e le inserisce nelle app tramite il riconoscimento dell'impronta o del volto sullo smartphone. L'accesso richiede la stessa frazione di secondo del login social, ma ogni sito riceve una chiave differente e slegata dalle altre.

Per impedire che il nostro indirizzo reale finisca in database commerciali o elenchi di spam, si possono affiancare generatori di alias come SimpleLogin oppure Firefox Relay. Questi strumenti creano indirizzi fittizi che recapitano i messaggi nella casella abituale. Se un portale comincia a disturbare, basta spegnere quell'indirizzo temporaneo con un clic.

Chi possiede un iPhone o un Mac può sfruttare la funzione nativa di Apple per nascondere la posta. In questo caso, il sistema genera un recapito casuale mantenendo il login rapido ma isolando del tutto l'identità dell'utente dal fornitore finale.

Come ripulire gli accessi accumulati nel tempo

Nel corso degli anni capita a chiunque di collegare il proprio profilo a dozzine di giochi, siti di notizie ed estensioni del browser poi dimenticate. Rimuovere i collegamenti vecchi riduce le tracce lasciate in rete.

Su Google la verifica si effettua aprendo le impostazioni del proprio profilo, entrando nella schermata Sicurezza e scorrendo fino alla voce Le tue connessioni con app e servizi di terze parti. Da qui è sufficiente selezionare il servizio indesiderato ed eliminarlo.

Su Facebook il percorso richiede di entrare in Impostazioni e privacy, selezionare Impostazioni e aprire il pannello App e siti web. Rimuovendo i collegamenti archiviati si revoca il gettone, impedendo all'applicazione di dialogare ancora con il profilo Meta.

Cosa succede davvero dietro le quinte dell'accesso rapido

Aspetti da tenere a mente per gestire le utenze collegate senza commettere errori:

• Cancellazione del profilo social principale. Se si elimina definitivamente l'account Facebook o Google, si perde per sempre la possibilità di entrare in tutte le app collegate tramite quel tasto. Bisogna convertire gli accessi inserendo una password manuale prima di eliminare il profilo principale.
• Il rischio della catena di recupero. Spesso usiamo l'account Google per entrare in un sito e, contemporaneamente, usiamo lo stesso account Google come email di recupero per quell'utenza. Se l'account principale viene hackerato, l'attaccante ha sia la chiave di accesso che il mezzo per resettare ogni password, rendendo impossibile il recupero.
• Permessi di pubblicazione sui profili personali. I gettoni di accesso moderni separano i permessi di lettura da quelli di scrittura. Un sito non può pubblicare contenuti a nostro nome a meno che non si conceda esplicitamente questo permesso durante il primo consenso.
• Separazione degli account uniti in passato. Se volete svincolare un profilo esistente senza perdere lo storico o gli acquisti, la rotta di Navigaweb prevede di andare nelle impostazioni dell'app esterna e avviare la procedura di recupero credenziali: inserendo la propria mail si riceve un link per impostare una password indipendente, tagliando il cordone ombelicale con il social.

Diario di bordo di Navigaweb

Per anni ho inseguito la comodità di quei bottoni colorati, convinto che risparmiare dieci secondi durante una registrazione fosse una vittoria. Poi ho visto amici perdere l'accesso a tutto l'archivio di lavoro o a servizi essenziali solo perché un algoritmo di Meta aveva deciso, senza spiegazioni, che il loro profilo non era più valido. Da quel momento ho cambiato marcia. Oggi preferisco spendere un minuto in più per creare un account separato e salvare la chiave in un gestore di password. La comodità è piacevole, ma la tranquillità di sapere che nessuno può chiudermi fuori dalla mia vita digitale con un singolo clic non ha prezzo.

Il fatto di affidare le informazioni personali a un sito o un servizio particolare è, di sicuro, un fattore negativo per la privacy. A tal proposito vi invitiamo a leggere le nostre guide su come entrare nei siti senza registrare login e password.