Cosa si rompe quando viaggi

Perché muoversi sembra un attacco

I sistemi di login sono costruiti per individuare una cosa più di tutte: una sessione che compare in un posto in cui non avrebbe plausibilmente potuto arrivare. Il nome tecnico è viaggio impossibile, e la logica è semplice: hai fatto login da Milano alle 09:00 e da San Paolo alle 11:00, e nessun aereo copre quella distanza.

Un viaggio vero non è impossibile, ma fa scattare quasi tutti gli altri controlli insieme. In un solo momento cambi indirizzo IP, paese, provider internet, fuso orario e spesso anche impostazioni di lingua e tipo di rete. Sono cinque o sei cambiamenti simultanei per un account la cui storia dice che nessuno di essi cambia mai.

Non è andato storto niente. Hai semplicemente prodotto lo stesso schema di chi ti ha rubato la sessione, e il sistema dai soli dati non riesce a distinguere.

Cosa viene controllato davvero

Grosso modo in ordine di peso.

• Distanza e tempo fra i login. Il calcolo del viaggio impossibile. Un volo va bene; il teletrasporto no — ed è per questo che una VPN accesa a metà viaggio è peggio del viaggio stesso.
• Reputazione della rete. Il wifi di alberghi e aeroporti è condiviso da migliaia di sconosciuti, e alcuni di loro si sono comportati male dallo stesso indirizzo. Il wifi dei bar è peggio.
• Fuso orario contro IP. Se l'orologio del tuo portatile dice ancora Roma mentre il tuo indirizzo dice Bangkok, quella discordanza viene controllata direttamente ed è facile da notare.
• Riconoscimento del dispositivo. L'unica cosa che gioca a tuo favore. Se il browser sembra la stessa macchina di sempre, conta parecchio — ed è per questo che viaggiare con il proprio portatile è molto più liscio che prenderne uno in prestito.
• Cosa fai subito dopo. Fare login e leggere è normale. Fare login e cambiare subito la password, aggiungere un metodo di pagamento o lanciare una spesa è lo schema di un furto d'account.

Prima di partire

Venti minuti di preparazione evitano quasi tutto.

1. Controlla adesso le opzioni di recupero. La versione peggiore di questa storia è restare bloccati fuori all'estero perché il codice di verifica arriva a un numero di telefono che non fa roaming. Verifica che la tua email di recupero funzioni e di poter ricevere codici sul numero con cui viaggi.
2. Attiva un'app di autenticazione per tutto ciò che conta. I codici da app funzionano offline e non dipendono dal tuo operatore. Questo singolo cambiamento risolve il blocco da viaggio più comune.
3. Salva i codici di backup offline. Stampati, oppure in un gestore di password raggiungibile da telefono.
4. Fai login da casa il giorno prima. Una sessione riuscita di recente dal tuo posto abituale dà al sistema un punto di riferimento pulito.
5. Non cambiare nient'altro quella settimana. Password nuova più paese nuovo più dispositivo nuovo sono tre segnali insieme.

Mentre sei lì

Le abitudini contano più di qualsiasi impostazione.

Usa la tua connessione quando puoi. Il tethering dal telefono batte comodamente il wifi dell'hotel — un indirizzo di operatore mobile è condiviso con persone comuni che fanno cose comuni, mentre una rete d'albergo è condivisa con chiunque altro sia nell'edificio.

Imposta l'orologio del portatile sull'ora locale. Il fuso orario automatico se ne occupa, se glielo lasci fare. Lasciarlo sul fuso di casa crea una discordanza che non ti costa nulla evitare.

Sii noioso il primo giorno. Fai login, leggi, chiudi. La manutenzione dell'account falla più avanti nel viaggio, quando c'è già un po' di cronologia dalla nuova posizione.

Non accendere e spegnere la VPN. Comparire in tre paesi in un pomeriggio è peggio che comparire in uno nuovo e restarci. Se usi una VPN all'estero, scegli un punto di uscita e tienilo.

Aspettati una verifica e prendila con calma. Una richiesta di codice dopo l'atterraggio è il sistema che funziona come previsto. Completala per bene. Non rispondere cambiando la password, che trasforma un controllo di routine in una sospetta compromissione.

Account che non dovrebbero viaggiare affatto

Alcuni account reggono uno spostamento peggio di altri, e di solito sono quelli che meno ti puoi permettere di perdere.

Account pubblicitari, account venditore su marketplace, account di pagamento e qualsiasi cosa legata a un'entità aziendale vengono valutati rispetto a una storia di posizioni, e un cambio di paese improvviso può innescare una revisione che dura più del tuo viaggio. Una verifica che da casa risolvi in due minuti diventa un problema di una settimana da una stanza d'albergo.

Per quelli, la risposta migliore è non spostarli affatto. Se l'account ha sempre operato da un posto, dovrebbe continuare a operare da lì mentre sei via — il che significa che la connessione dell'account resta ferma anche se tu no.

È uno dei motivi più banali per cui si finisce con proxy per profilo: non per nascondere qualcosa, ma perché un account aziendale non cambi paese ogni volta che il suo titolare va in vacanza. Il profilo si tiene il suo indirizzo, il suo fuso orario e la sua lingua ovunque si trovi il portatile, e dal lato della piattaforma non è successo assolutamente nulla.

Se resti bloccato fuori lo stesso

Capita. L'ordine delle operazioni conta.

1. Riprova dalla stessa connessione da cui l'hai innescato. Cambiare rete a metà recupero aggiunge un altro cambiamento a un sistema che già non sa cosa pensare di te.
2. Usa il metodo di recupero che hai impostato prima di partire, non uno nuovo. Aggiungere un nuovo canale di recupero durante un blocco è lo schema di un furto d'account.
3. Se serve un codice via telefono e il tuo numero non fa roaming, è qui che i codici di backup si guadagnano lo stipendio.
4. Quando puoi, aspetta. Molte limitazioni innescate dai viaggi sono a tempo e si sbloccano da sole. I tentativi ripetuti le allungano.
5. Se diventa una limitazione vera, valgono le indicazioni generali — un ricorso solo, fatto con cura, e nessuno dei tre errori.

E la cosa da interiorizzare per la prossima volta: il viaggio non è il problema. Il problema è che il tuo account non ne sapeva nulla.