MFA continua a chiedere l’autenticazione

C’è un momento, nella normale giornata di lavoro, in cui un meccanismo nato per proteggere l’utente può trasformarsi in una fonte di frustrazione: la password viene inserita correttamente, Microsoft Authenticator conferma l’identità, l’accesso sembra completarsi e, pochi secondi dopo, Microsoft 365 chiede nuovamente l’autenticazione.

Il fenomeno può ripetersi entrando in Outlook, Teams, OneDrive, SharePoint, nel portale Microsoft 365 oppure passando da un’applicazione all’altra. L’utente ha la sensazione di essere entrato in una sorta di “loop MFA”, nel quale il sistema non riesce a considerare definitiva la sessione appena autenticata.

Il problema non significa necessariamente che la password sia errata e nemmeno che Microsoft Authenticator sia guasto. Molto spesso il punto critico si trova nella gestione della sessione, nei token di autenticazione, nei cookie del browser, nelle policy di Conditional Access, nella registrazione MFA dell’utente oppure nella relazione tra dispositivo, identità Microsoft Entra e applicazione.

Microsoft stessa distingue infatti tra autenticazione iniziale, durata della sessione e richieste di nuova autenticazione. Una policy di Conditional Access può stabilire quando un utente deve essere nuovamente autenticato e può anche richiedere la riautenticazione in presenza di determinate condizioni di rischio o di accesso. (Microsoft Learn)

Chi è coinvolto nel problema

Il problema può interessare un singolo utente oppure un gruppo molto più ampio di persone.

Quando soltanto un utente riceve continuamente la richiesta MFA, è ragionevole concentrarsi inizialmente sul suo dispositivo, sul browser, sulle credenziali memorizzate, sulla registrazione di Microsoft Authenticator e sullo stato dell’account in Microsoft Entra.

Quando invece il problema compare contemporaneamente su molti utenti, il sospetto deve spostarsi verso la configurazione del tenant Microsoft 365, le policy Conditional Access, la frequenza di accesso configurata dall’amministratore, eventuali modifiche alle Authentication Methods o anomalie dei servizi Microsoft.

Questa distinzione è fondamentale perché evita di perdere tempo cancellando cache e reinstallando applicazioni su decine di computer quando la vera causa si trova centralmente nel tenant.

Come si manifesta

Il comportamento può assumere diverse forme.

L’utente inserisce username e password e viene immediatamente richiesto il secondo fattore. Approva la richiesta in Microsoft Authenticator, ma la schermata torna nuovamente alla richiesta MFA.

In altri casi l’accesso funziona correttamente per alcuni minuti, dopodiché Outlook, Teams o il browser richiedono nuovamente l’autenticazione.

Può inoltre verificarsi una situazione nella quale il browser conserva apparentemente la sessione, mentre una singola applicazione continua a chiedere MFA. In questo caso è importante distinguere un problema globale di identità da un problema limitato a una specifica applicazione.

Microsoft Entra registra gli eventi di autenticazione e consente all’amministratore di verificare il motivo per cui una sessione viene rifiutata, scade o viene sottoposta nuovamente a verifica. Tra gli errori documentati da Microsoft rientrano, ad esempio, la sessione scaduta o la mancata verifica della richiesta MFA.

Dove cercare la causa

La diagnosi deve partire dal punto più semplice e procedere verso l’infrastruttura.

Il primo livello è il dispositivo dell’utente. Un browser configurato per cancellare automaticamente i cookie, una sessione privata, un profilo danneggiato, credenziali Microsoft memorizzate in modo non coerente o un’applicazione non aggiornata possono impedire la corretta conservazione dello stato di autenticazione.

Il secondo livello è rappresentato da Microsoft Authenticator. L’account aziendale potrebbe essere ancora presente nell’app, ma la registrazione potrebbe non essere più correttamente associata al tenant. Anche notifiche bloccate, restrizioni energetiche dello smartphone, VPN, connettività instabile o data e ora non corrette possono interferire con il processo di autenticazione.

Il terzo livello è Microsoft Entra. Qui occorre verificare Conditional Access, Authentication Methods, Sign-in Frequency, sessioni persistenti e stato dell’account.

È proprio la configurazione della frequenza di accesso uno degli elementi più importanti. Microsoft documenta che la funzione Sign-in frequency determina per quanto tempo una sessione può rimanere autenticata prima che venga richiesta nuovamente l’autenticazione. Può anche essere configurata per richiedere la riautenticazione ogni volta che viene stabilita una nuova sessione.

Una precisazione importante: Excel non c’entra con questo problema

Nel testo originale del problema può comparire una traccia del tipo “componenti aggiuntivi, file corrotto, formule o driver”, insieme al suggerimento di avviare excel /safe, disabilitare gli Add-in e riparare Office.

Questa diagnosi appartiene a un problema di Microsoft Excel, non a un problema di MFA.

Formule complesse, file Excel corrotti, componenti aggiuntivi e driver possono spiegare perché Excel si blocca, rallenta o non risponde, ma non sono normalmente la causa di una richiesta MFA ripetuta da Microsoft Entra.

Per il problema “MFA continua a chiedere l’autenticazione”, avviare Excel con /safe non costituisce quindi una soluzione. È invece molto più utile verificare sessione, token, browser, Authenticator e Conditional Access.

Perché Microsoft 365 continua a chiedere MFA

Una delle cause più frequenti è la perdita della sessione.

Il browser conserva normalmente informazioni che consentono di mantenere l’autenticazione. Se cookie e dati di sessione vengono cancellati, se il browser è configurato per non conservarli oppure se l’utente opera in modalità InPrivate/Incognito, la nuova apertura dell’applicazione può essere interpretata come una nuova sessione.

Anche il passaggio tra browser differenti può produrre lo stesso effetto. Il fatto che un utente abbia già effettuato MFA in Edge non significa necessariamente che Chrome possieda la stessa sessione autenticata.

Microsoft documenta inoltre che la funzione “Remember multifactor authentication” utilizza un cookie persistente nel browser; cambiando browser oppure cancellando i cookie, la richiesta MFA può ricomparire.

Un’altra causa può essere una policy Conditional Access troppo aggressiva.

Se una policy richiede MFA e contemporaneamente imposta una Sign-in Frequency molto breve, l’utente può essere costretto a riautenticarsi frequentemente. La situazione può essere ancora più evidente quando esistono più policy Conditional Access che interessano lo stesso utente, applicazione o risorsa.

In ambienti aziendali è quindi indispensabile non modificare casualmente le policy. Prima occorre capire quale regola sta causando la richiesta.

La sequenza corretta delle operazioni

Prima verifica: capire se il problema riguarda un solo utente

Il primo controllo consiste nel verificare se il comportamento si presenta esclusivamente sull’account interessato oppure anche su altri utenti dello stesso tenant.

Se il problema riguarda un solo account, è opportuno concentrarsi sul dispositivo, sulla registrazione MFA e sulla sessione.

Se riguarda molti utenti contemporaneamente, occorre passare rapidamente alla verifica di Microsoft Entra e delle Conditional Access.

Seconda verifica: provare un browser differente

Effettuare un accesso tramite un browser pulito, preferibilmente Microsoft Edge in una finestra normale e non InPrivate.

Se il login funziona regolarmente nel nuovo contesto, il problema può essere collegato al profilo browser originale, ai cookie o ai dati di sessione.

La prova è particolarmente utile perché permette di distinguere un problema dell’identità da un problema locale del browser.

Terza verifica: controllare cookie e sessione

Verificare che il browser non sia configurato per eliminare automaticamente i cookie alla chiusura.

Occorre inoltre controllare eventuali estensioni di privacy o sicurezza che possono modificare, bloccare o eliminare cookie e dati di autenticazione.

Se il problema compare soltanto dopo la chiusura del browser, questa verifica diventa particolarmente importante.

Quarta verifica: controllare Microsoft Authenticator

Sul dispositivo mobile bisogna verificare che l’account aziendale sia presente nell’app Microsoft Authenticator, che le notifiche siano abilitate e che l’app sia aggiornata.

È inoltre opportuno controllare la connessione Internet, le impostazioni di risparmio energetico e la data e ora automatiche.

Microsoft indica proprio notifiche disabilitate, problemi di rete, applicazione non aggiornata e impostazioni temporali errate tra le verifiche da effettuare quando Authenticator non completa correttamente il processo di autenticazione.

Quinta verifica: controllare la registrazione MFA

Se Authenticator continua a comportarsi in modo anomalo, ma l’utente dispone ancora di un metodo alternativo di autenticazione, è possibile procedere alla nuova registrazione del metodo MFA.

In ambiente aziendale questa operazione deve essere eseguita con attenzione. Non è consigliabile eliminare l’unico metodo MFA funzionante prima di avere verificato l’esistenza di un metodo alternativo o di un amministratore in grado di ripristinare l’accesso.

Quando la registrazione è realmente corrotta, il reset e la successiva registrazione di Microsoft Authenticator possono risolvere il loop.

Sesta verifica: controllare i Sign-in Logs di Microsoft Entra

Per un amministratore questo è probabilmente il passaggio più importante.

Nel Microsoft Entra admin center occorre analizzare i Sign-in Logs dell’utente interessato, verificando applicazione, dispositivo, posizione, Conditional Access, stato MFA, codice di errore e motivo del fallimento.

Microsoft raccomanda di utilizzare i dettagli dell’evento di accesso proprio per comprendere la causa reale del fallimento. Un errore come 70046, ad esempio, è associato a sessione scaduta o controllo di riautenticazione non riuscito.

Settima verifica: analizzare Conditional Access

Se i log indicano che la richiesta MFA è provocata da Conditional Access, bisogna analizzare le policy applicate all’utente.

Particolare attenzione deve essere riservata a “Grant access”, “Require multifactor authentication” e soprattutto “Session” → “Sign-in frequency”.

Una frequenza eccessivamente breve può trasformare una normale protezione MFA in una richiesta continua di autenticazione.

Microsoft raccomanda, negli ambienti con Entra ID P1/P2, di utilizzare Conditional Access Sign-in Frequency per gestire la riautenticazione, invece di affidarsi esclusivamente alla vecchia impostazione “Remember MFA”.

Ottava verifica: controllare lo stato del dispositivo

In ambiente aziendale bisogna verificare anche la relazione tra identità e dispositivo.

Un computer registrato in Microsoft Entra, gestito da Intune o soggetto a criteri di compliance può essere valutato diversamente da un dispositivo personale.

Se il device è diventato non conforme, se la registrazione Entra è incoerente oppure se una policy richiede una verifica aggiuntiva, l’utente può essere sottoposto nuovamente ad autenticazione.

Nona verifica: controllare credenziali e cache locali

Nel caso in cui il problema riguardi Outlook o applicazioni Microsoft 365 installate localmente, è opportuno controllare le credenziali memorizzate in Windows.

L’articolo di Officine Informatiche Roma dedicato ai problemi di Outlook segnala proprio la possibilità di credenziali salvate corrotte e indica la verifica delle voci Microsoft Office e Outlook presenti in Gestione credenziali. (Officine Informatiche Roma)

La rimozione delle credenziali deve essere effettuata con cautela e preferibilmente dopo aver verificato che l’utente disponga dei metodi necessari per effettuare nuovamente l’accesso.

Decima verifica: testare Microsoft 365 sul Web

È utile confrontare il comportamento dell’applicazione desktop con quello del browser.

Se Outlook desktop continua a richiedere MFA mentre Outlook Web funziona normalmente, la causa è probabilmente locale all’applicazione o al sistema operativo.

Se invece anche il browser presenta continuamente richieste MFA, il problema diventa molto più probabilmente legato a sessione, account, Conditional Access o autenticazione Entra.

Undicesima verifica: controllare aggiornamenti e sistema operativo

Un dispositivo Windows non aggiornato può presentare problemi di compatibilità con componenti Microsoft 365, Web Account Manager, WebView2, browser e meccanismi moderni di autenticazione.

Questo non significa che ogni loop MFA sia causato da Windows Update, ma in presenza di un problema comparso immediatamente dopo una patch è opportuno verificare la cronologia degli aggiornamenti.

In ambienti gestiti tramite Intune è inoltre importante verificare che le policy di aggiornamento siano coerenti e che il dispositivo abbia ricevuto correttamente le configurazioni aziendali.

Dodicesima verifica: intervenire sul tenant soltanto dopo aver raccolto le evidenze

L’ultima fase è quella amministrativa.

Se i log dimostrano che la richiesta MFA è effettivamente provocata da una policy, l’amministratore deve correggere la configurazione della policy responsabile invece di intervenire indiscriminatamente sull’account.

Se invece l’account presenta problemi di registrazione MFA, può essere necessario richiedere la nuova registrazione dei metodi di autenticazione.

L’obiettivo non deve essere semplicemente “far sparire” la richiesta MFA. La sicurezza deve rimanere intatta. Una configurazione corretta deve richiedere MFA quando necessario, ma non costringere l’utente a ripetere inutilmente la verifica a ogni operazione.

La soluzione più efficace in ambiente aziendale

In un ambiente Microsoft 365 professionale, la soluzione più solida consiste nel combinare analisi dei Sign-in Logs, verifica delle Conditional Access, controllo della registrazione Microsoft Authenticator e verifica della sessione del browser.

La soluzione non è disattivare MFA.

Disattivare MFA per eliminare il problema significherebbe sacrificare una delle principali protezioni dell’identità aziendale. L’approccio corretto è invece individuare quale componente sta invalidando la sessione o imponendo una nuova autenticazione.

Quando il problema riguarda molti utenti, è consigliabile verificare immediatamente le modifiche recenti alle policy Conditional Access. Quando interessa un solo utente, è invece più efficiente partire dal dispositivo, da Authenticator, dal browser e dalla registrazione MFA.

Un problema fastidioso che può diventare un indicatore di sicurezza

Il loop MFA non deve essere considerato esclusivamente un inconveniente.

Una richiesta di autenticazione ripetuta e apparentemente inspiegabile può essere il sintomo di una sessione che non viene mantenuta, ma anche di un dispositivo non conforme, di una policy di sicurezza modificata oppure di un’anomalia nel processo di autenticazione.

Per questo motivo l’amministratore non dovrebbe limitarsi a “sistemare il login”. Deve capire perché Microsoft Entra sta chiedendo nuovamente la verifica.

È proprio questa differenza a separare un intervento temporaneo da un vero troubleshooting sistemistico.