Guida
Questo link di accesso è sicuro? Come verificare un magic link
Sempre più siti, invece di chiederti la password, ti mandano un link via email. Ecco come funzionano questi link e come controllarne uno prima di cliccare.
Di Uros Gazvoda · ·
Inserisci la tua email e il sito ti dice: “Controlla la posta in arrivo”. Poco dopo arriva un’email con un pulsante: Accedi, Accedi a Slack o Conferma che sei tu. Quel pulsante è un link di accesso, detto anche magic link. Un clic e sei dentro.
In breve: clicca solo su un link di accesso che hai appena chiesto tu. Prima di cliccare, controlla che apra proprio il sito a cui stai accedendo. Se una delle due cose non torna, non cliccare. Vai tu sul sito e chiedi un nuovo link.
Cos’è un magic link
Un magic link è un link di accesso che contiene una chiave segreta monouso. L’email arriva solo nella tua casella, quindi aprire il link dimostra che la casella è tua. Così il link prende il posto della password.
- Di solito funziona una volta sola.
- Scade presto, spesso tra 10 e 30 minuti.
- Su molti siti chi lo apre entra nel tuo account. Perciò non inoltrarlo mai e non mandarne mai uno screenshot.
Ogni sito li chiama a modo suo: magic link, link di accesso, link di login, “link monouso” o email “Sei tu?”. Funzionano tutti allo stesso modo.
Perché i link falsi ingannano
Queste email te le aspetti, quindi clicchi in fretta. Un’email falsa ha lo stesso aspetto, ma il suo pulsante apre una copia del sito vero. La copia ti chiede la password, un codice o i dati della carta. Tutto quello che scrivi finisce a chi l’ha creata. Questo è il phishing.
Questo link è sicuro? Verificalo in cinque passaggi
- L’hai appena chiesto tu? Se non stavi provando ad accedere, non cliccare. Qualcuno ha scritto il tuo indirizzo email, per sbaglio o apposta. Senza il link non può entrare, quindi ignora l’email.
- Guarda l’indirizzo del mittente, non il nome. Il nome può essere qualsiasi cosa. Guarda l’indirizzo, la parte dopo la @.
- Guarda dove porta il pulsante, senza cliccare. Nella maggior parte delle app di posta basta tenere il puntatore sul pulsante e compare l’indirizzo. In Gmail nel browser lo vedi nell’angolo in basso della finestra. Oppure fai clic sul pulsante tenendo premuto Ctrl, scegli Copia link e incollalo in una nota.
- Leggi il nome del sito nel modo giusto. Trova la prima barra singola (/) dopo
https://. Il sito è quello che c’è subito prima, letto da destra. Trovi gli esempi qui sotto. - Dopo il clic, guarda prima di scrivere. Un magic link vero ti fa accedere. Se invece la pagina ti chiede la password o i dati della carta, chiudila.
Come leggere un link: vero o falso?
Il sito corrisponde alle ultime due parti del nome, prima della prima barra singola. Con indirizzi come bank.co.uk sono le ultime tre.
Mettiamo che tu abbia chiesto a Notion un link di accesso:
https://www.notion.so/loginwithemail?token=…apre notion.so. È Notion.https://notion.so.sign-in.example/verifyapre sign-in.example. “notion.so” è solo l’inizio del nome.https://notion-so.com/loginapre notion-so.com. Un nome simile, ma è un altro sito.https://example.com/r?u=notion.soapre example.com. Notion compare solo dopo la barra.
C’è un limite: alcune email vere fanno passare i link da un servizio di invio, quindi l’indirizzo può sembrare estraneo anche se l’email è autentica. A occhio non le distingui. Nel dubbio, apri tu il sito e chiedi un nuovo link.
Hai già cliccato? Ecco cosa fare
- Non hai scritto nulla: chiudi la pagina. Il solo fatto di aprirla raramente fa danni.
- Hai scritto una password: cambiala subito sul sito vero e ovunque la usi. Attiva l’autenticazione a due fattori.
- Hai scritto un codice o i dati della carta: contatta il servizio o la tua banca. Controlla nell’account se ci sono dispositivi o pagamenti che non riconosci.
Come ti aiuta CodeCatch sul Mac
Ho creato CodeCatch per i codici di verifica, ma i link di accesso danno lo stesso fastidio. CodeCatch legge Apple Mail, Gmail e altre caselle di posta e mostra ogni nuovo link di accesso accanto ai codici. Prima di decidere, vedi quale sito apre.
- Non apre mai un link da sola. Sei tu a fare clic su Open Link o Copy Link.
- Mostra il sito che il link apre, letto nel modo giusto.
- Se quel sito non corrisponde all’indirizzo del mittente, ti avvisa, come nell’immagine qui sopra.
- Prende solo il pulsante di accesso, non i link per annullare l’iscrizione o per l’assistenza. E solo link sicuri
https. - Fa lo stesso controllo sui link per reimpostare la password.
È un aiuto, non una garanzia. L’avviso confronta il link con l’indirizzo del mittente, e anche quell’indirizzo si può falsificare. Il passaggio 1 resta il più importante: clicca solo sui link che hai chiesto tu.
Domande
Cos’è un magic link?
È un link di accesso che un sito ti manda via email al posto della password. Contiene una chiave segreta monouso. Di solito funziona una sola volta e scade presto, spesso tra 10 e 30 minuti.
I magic link sono più sicuri delle password?
In parte sì: non c’è una password da indovinare, da riutilizzare o da perdere in una fuga di dati. Però la tua casella email diventa la chiave dell’account. Proteggila con una password robusta e l’autenticazione a due fattori.
Perché ho ricevuto un link di accesso che non ho chiesto?
Qualcuno ha inserito il tuo indirizzo email su quel sito, per sbaglio o apposta. Non può accedere senza aprire il link che è arrivato a te. Non cliccarlo. Elimina l’email e basta.
Quanto dura un magic link?
Di solito minuti, non ore. Molti scadono tra 10 e 30 minuti e la maggior parte funziona una volta sola. Se è scaduto, chiedine uno nuovo al sito.
Posso controllare un link senza cliccarlo?
Sì. Tieni il puntatore sul pulsante per vedere l’indirizzo, oppure fai clic sul pulsante tenendo premuto Ctrl e scegli “Copia link”. Poi leggi il nome del sito come spiegato sopra.
È sicuro inoltrare un link di accesso?
No. Su molti siti chi apre il link entra nel tuo account. Trattalo come una password.
Ho cliccato su un link di phishing: cosa faccio?
Se non hai scritto nulla, chiudi la pagina. Se hai scritto una password, cambiala subito sul sito vero e ovunque la usi, poi attiva l’autenticazione a due fattori. Se hai scritto un codice o i dati della carta, contatta il servizio o la tua banca e controlla nell’account se ci sono dispositivi o pagamenti che non riconosci.
