Microsoft Authenticator Non Riceve Notifiche Push: Guida Helpdesk 2026

Aggiornato: 10 agosto 2026

Se Microsoft Authenticator non riceve le notifiche push, nel 99% dei casi la causa è una di queste cinque: notifiche disattivate nelle impostazioni di sistema, ottimizzazione batteria che sospende l'app in background, orologio del dispositivo non sincronizzato, account ancora registrato su un vecchio telefono, oppure una policy di Conditional Access di Entra ID che blocca il metodo. Onestamente, negli ultimi due anni in helpdesk avrò aperto questo ticket almeno cento volte. In questa guida ti mostro l'ordine esatto di controlli che uso quotidianamente per risolvere il problema in pochi minuti (sia su iOS che su Android), con particolare attenzione alle novità del 2026: rilevamento jailbreak/root, number matching obbligatorio e SyncJacking mitigation.

• Number matching è ora attivo di default per tutte le push di Authenticator: se non digiti il numero mostrato sullo schermo entro 60 secondi, l'approvazione fallisce silenziosamente.
• Su Android, l'ottimizzazione della batteria è la prima causa di ritardo (oltre 30 secondi) o mancata consegna delle notifiche push MFA.
• Il TOTP a 6 cifre nell'app funziona anche completamente offline: usalo come workaround immediato mentre risolvi il problema delle push.
• Da febbraio 2026 Authenticator blocca le credenziali Entra su dispositivi jailbroken/rooted: verifica lo stato del dispositivo prima di reinstallare l'app.
• Il backup Authenticator funziona solo tra dispositivi dello stesso sistema operativo (iOS→iOS o Android→Android), mai cross-platform.
• Per gli account aziendali, molte impostazioni sono controllate dall'amministratore tramite policy dei metodi di autenticazione in Entra ID.

Perché Microsoft Authenticator non riceve notifiche push?

Le notifiche push di Microsoft Authenticator viaggiano attraverso i servizi di push nativi del sistema operativo (APNs per iOS, FCM/Firebase Cloud Messaging per Android) e non tramite un canale proprietario Microsoft. Questo significa che qualunque interruzione tra il servizio di identità di Microsoft Entra, il gateway APNs/FCM e il tuo dispositivo può impedire la consegna. Nella mia esperienza in helpdesk, la distribuzione delle cause è più o meno questa: 40% impostazioni di notifica lato dispositivo, 20% ottimizzazione batteria su Android, 15% notifiche indirizzate a un vecchio dispositivo ancora registrato, 10% orologio non sincronizzato (che influisce anche sui TOTP), 10% problemi di rete o firewall aziendale, 5% policy di Conditional Access o metodi di autenticazione bloccati dall'amministratore.

Un dettaglio spesso trascurato: dal 2023 Microsoft ha reso obbligatorio il number matching per tutte le push di Authenticator, quindi anche se la notifica arriva ma l'utente si limita a toccare "Approva" senza digitare il numero mostrato sulla schermata di login, l'approvazione non viene registrata. Molti utenti si lamentano di "notifiche che non funzionano" quando in realtà la notifica arriva ma il flusso è cambiato rispetto a quello che ricordavano.

Workaround immediato: usa il codice TOTP

Prima di iniziare qualsiasi troubleshooting, sblocca l'utente. Punto. Microsoft Authenticator genera anche codici TOTP a 6 cifre (Time-based One-Time Password) che si rinnovano ogni 30 secondi e che funzionano completamente offline, senza bisogno di push, di connessione internet o di sincronizzazione con Entra ID. Sono l'equivalente esatto di Google Authenticator, ma nella stessa app.

1. Sulla schermata di login di Microsoft, quando ti viene chiesta l'approvazione push, tocca il link "Non riesco a usare l'app Microsoft Authenticator in questo momento" oppure "Ho problemi. Accedi in un altro modo".
2. Seleziona "Usa un codice di verifica dalla mia app di autenticazione mobile".
3. Apri Microsoft Authenticator sul telefono, tocca l'account interessato per aprirlo a schermo intero e leggi il codice a 6 cifre in alto (sotto la voce "Codice password monouso").
4. Digita il codice sulla pagina di login prima che scada il timer (30 secondi).

Questo funziona anche se il telefono è in aereo, se non ha copertura, se le notifiche sono disattivate e persino se hai disinstallato e reinstallato di recente l'app (a patto che l'account sia già configurato). È il metodo più affidabile in assoluto, perché non dipende da nessun servizio esterno una volta configurato.

Checklist diagnostica in 12 passaggi

Segui questi 12 controlli in ordine. Nella maggior parte dei casi il problema si risolve entro i primi cinque (a volte anche entro i primi due, se sei fortunato). Documenta ogni passaggio nel ticket, così se il problema si ripresenta hai già la baseline pronta.

1. Connettività di rete: apri il browser sul telefono e naviga su https://login.microsoftonline.com. Se non carica, il problema è di rete, non di Authenticator. Prova a passare da Wi-Fi a dati mobili (o viceversa).
2. Notifiche di sistema abilitate: Impostazioni → Notifiche → Authenticator → verifica che sia attivo su tutti i canali (banner, suono, schermata di blocco).
3. Modalità Non disturbare / Focus: disattivala temporaneamente per escludere che stia filtrando le notifiche di Authenticator.
4. Notifiche interne all'app: apri Authenticator → tocca i tre puntini in alto → Impostazioni → verifica che "Notifiche" sia abilitato per l'account interessato.
5. Versione dell'app aggiornata: App Store / Google Play → Authenticator → aggiorna. Le versioni antecedenti a 6.8.x del 2025 hanno bug noti di consegna push.
6. Orologio automatico: Impostazioni → Data e ora → attiva "Imposta automaticamente". Un drift di più di 5 minuti invalida sia le push sia i TOTP.
7. Riavvio dell'app: chiudi completamente Authenticator (swipe dalla lista app recenti) e riaprila. Rigenera i token FCM/APNs alla riapertura.
8. Riavvio del telefono: spegni e riaccendi. Risolve problemi di token push scaduti nel sistema operativo.
9. Rimuovi e riaggiungi l'account: nell'app, apri l'account → tocca l'ingranaggio → Rimuovi account. Poi accedi al portale https://mysignins.microsoft.com e riconfigura il metodo.
10. Controlla i dispositivi registrati: vai su https://mysignins.microsoft.com/security-info e verifica che ci sia un solo Authenticator attivo. Rimuovi voci di telefoni vecchi.
11. Firewall aziendale: verifica che il traffico verso *.push.apple.com (porta 5223) per iOS e *.googleapis.com per Android non sia bloccato dal proxy o firewall di rete.
12. Reinstallazione pulita: disinstalla e reinstalla Authenticator, poi ripristina da backup (se disponibile) o riconfigura gli account manualmente.

Come risolvere su Android: batteria, Play Services e permessi

Su Android il problema numero uno è l'ottimizzazione della batteria, in particolare sui dispositivi Xiaomi, OPPO, Huawei e OnePlus, che sono famigerati per uccidere aggressivamente i processi in background. Questo si traduce in notifiche push che arrivano con ritardi di 30 secondi, 5 minuti, o mai. Ho perso il conto di quanti Redmi Note ho visto piantare Authenticator dopo mezz'ora di inattività. La soluzione è marcare Authenticator come "app senza restrizioni" o "consenti in background":

1. Impostazioni → App → Microsoft Authenticator → Batteria → seleziona "Senza restrizioni" (o "Non ottimizzata" a seconda del brand).
2. Su Xiaomi/MIUI: Impostazioni → App → Gestisci app → Authenticator → Autoavvio ON e Risparmio batteria → Nessuna restrizione.
3. Su Samsung: Impostazioni → Assistenza dispositivo → Batteria → Limiti utilizzo in background → rimuovi Authenticator dalle app "in modalità sospensione".

Il secondo requisito critico è la presenza di Google Play Services aggiornato. Microsoft Authenticator per account aziendali (work/school) richiede Google Play Services attivo per consegnare le push tramite FCM. Su dispositivi Android senza Google (Huawei con HMS, dispositivi in Cina, ROM custom come LineageOS senza gapps), le push semplicemente non funzioneranno mai. In questi casi, l'unica strada è configurare un metodo alternativo (SMS, chiamata telefonica, chiave FIDO2) o usare il codice TOTP nell'app.

Terzo: i permessi di runtime. Da Android 13 in poi, l'app deve avere esplicitamente il permesso POST_NOTIFICATIONS. Se al primo avvio l'utente ha negato la richiesta, va concesso manualmente in Impostazioni → App → Authenticator → Permessi → Notifiche → Consenti. La documentazione ufficiale Android sul permesso POST_NOTIFICATIONS spiega bene perché prima di Android 13 il flusso era diverso.

Come risolvere su iOS: Focus, Concentrazione e background refresh

Su iPhone e iPad, iOS 18 e successivi hanno introdotto un sistema di Focus (Concentrazione) molto più granulare, e diverse impostazioni possono silenziare Authenticator senza che l'utente se ne accorga. Ecco i controlli in ordine di priorità:

1. Impostazioni → Notifiche → Authenticator: verifica che "Consenti notifiche" sia ON, che siano abilitati Schermata di blocco, Centro notifiche e Banner, e che il suono sia attivo.
2. Impostazioni → Concentrazione: apri ogni modalità Focus (Non disturbare, Sonno, Lavoro, Personale) e verifica che Authenticator sia nella lista delle app consentite. Se stai usando Concentrazione basata su orario o posizione, potrebbe attivarsi automaticamente e silenziare Authenticator senza tuo intervento diretto.
3. Impostazioni → Generali → Aggiornamento app in background: verifica che sia ON per Authenticator. Se è OFF, l'app non può registrare correttamente il token APNs dopo un riavvio.
4. Reset dei token push: disinstalla Authenticator, riavvia l'iPhone, reinstalla dall'App Store. Questo forza una nuova registrazione APNs, spesso risolvendo problemi persistenti.
5. Anteprime notifiche: se hai impostato "Mostra anteprime → Mai" o "Quando sbloccato", il number matching potrebbe non mostrare il numero nella preview, quindi l'utente pensa che la notifica sia vuota o rotta. Cambia temporaneamente su "Sempre" per verificare.

Un caso raro ma frustrante (mi è capitato di recente su un utente commerciale): su iOS con account iCloud condiviso in famiglia o gestito tramite MDM, le notifiche possono essere consegnate a un altro dispositivo Apple con lo stesso Apple ID. Verifica su https://mysignins.microsoft.com/security-info quale dispositivo è registrato come "Authenticator" e assicurati che sia quello fisicamente in mano all'utente.

Number matching e context: cosa cambia nel 2026

Dal maggio 2023 Microsoft ha reso obbligatorio il number matching per tutte le notifiche push di Authenticator, e nel 2026 il sistema è ulteriormente rafforzato con additional context. Quando l'utente riceve la push, vede tre informazioni: il numero da digitare (2 cifre), l'applicazione a cui sta accedendo (es. "Office 365") e la posizione geografica approssimativa da cui parte la richiesta. Se una qualsiasi non corrisponde a ciò che l'utente sta effettivamente facendo, deve rifiutare l'approvazione, perché sta subendo un attacco MFA fatigue.

Molti utenti abituati al vecchio flusso "Approva/Nega" fanno confusione: aprono la notifica, cercano il pulsante Approva, non vedono un numero da digitare (perché è sulla schermata di login del PC, non nella push) e concludono che l'app è rotta. In realtà devono guardare il PC o il browser dove sta avvenendo il login, leggere il numero a due cifre e digitarlo dentro Authenticator sul telefono. Se non lo fanno entro 60 secondi, la richiesta scade ed Entra ID la registra come "MFA denied by user".

Per approfondire il funzionamento tecnico consulta la documentazione ufficiale Microsoft su number matching, che spiega anche come diagnosticare i timeout tramite i sign-in logs di Entra ID.

Additional context e Conditional Access

Se la tua organizzazione ha abilitato "additional context" a livello di tenant, le notifiche mostrano anche il nome dell'app e la città di provenienza. Questo è controllato da Authentication methods policy → Microsoft Authenticator → Configure → Show application name e Show geographic location. È una policy tenant-wide, quindi se un utente non vede queste informazioni mentre altri sì, verifica che non ci siano exclusion group nella policy.

Come attivare le notifiche di Authenticator su un nuovo telefono

Il cambio telefono è la seconda causa di ticket "Authenticator non riceve notifiche" nel mio helpdesk. La procedura corretta dipende da due variabili: hai attivato il backup cloud sul vecchio telefono? E stai passando dallo stesso OS (iOS→iOS o Android→Android) o cross-platform?

Stesso sistema operativo, backup disponibile

1. Sul vecchio telefono, apri Authenticator → Impostazioni → verifica che "Backup nel cloud" sia ON (iOS usa iCloud, Android usa il tuo account Microsoft personale).
2. Sul nuovo telefono, installa Authenticator dall'App Store/Play Store.
3. Alla prima apertura, tocca "Inizia il ripristino" e accedi con lo stesso account personale usato per il backup.
4. Gli account personali si ripristinano automaticamente. Per gli account work/school, invece, dovrai rifare la registrazione, perché il seed non è mai lasciato uscire dal dispositivo per motivi di sicurezza.

Cross-platform o senza backup

Il backup di Authenticator non è portabile tra iOS e Android. È una limitazione documentata (che mi ha fatto perdere un pomeriggio intero la prima volta che l'ho scoperto). Se stai passando da iPhone ad Android, o viceversa, o se non avevi backup attivo, devi riconfigurare ogni account manualmente:

1. Sul nuovo telefono, installa Authenticator.
2. Per ogni account aziendale, accedi al portale https://mysignins.microsoft.com/security-info dal browser (serve un login già autenticato, quindi usa un dispositivo dove sei già dentro, oppure un metodo di backup).
3. Rimuovi la vecchia entry "Microsoft Authenticator" e clicca "Aggiungi metodo di accesso" → App di autenticazione → segui il wizard che genera un QR code da scansionare col nuovo telefono.

Se l'utente non ha nessun metodo di backup e non ha accesso alcuno all'account, l'unica strada è passare per l'amministratore Entra ID che deve resettare i metodi MFA dell'utente. Se anche questo fallisce (es. per un tenant molto restrittivo), esiste la procedura di recupero account Microsoft per gli account personali. Un ticket simile l'abbiamo trattato nella guida Microsoft Teams non si avvia o resta bloccato sul caricamento, dove il problema di fondo era il token di autenticazione stale.

Diagnostica lato amministratore: Entra ID e sign-in logs

Se l'utente ha provato tutti i passaggi lato dispositivo senza successo, il problema è quasi certamente in Entra ID. Come amministratore, hai a disposizione i sign-in logs, che ti dicono esattamente cosa succede quando l'utente tenta il login:

1. Vai su https://entra.microsoft.com → Identity → Monitoring & health → Sign-in logs.
2. Filtra per lo UPN dell'utente e per intervallo di tempo dell'ultimo tentativo (ultime 4 ore).
3. Apri il record del login fallito e vai al tab Authentication Details: qui vedi ogni step del flusso MFA con timestamp e result.

I codici di errore più comuni sono:

• 500121 - Authentication failed during strong authentication request: la push è stata inviata ma l'utente non ha risposto entro il timeout (60s) o ha risposto Nega. Verifica con l'utente se ha ricevuto la notifica.
• 50158 - External security challenge not satisfied: number matching fallito. L'utente ha digitato il numero sbagliato.
• 500561 - Removal of an authentication method failed: problema di sincronizzazione dei metodi. Rimuovi manualmente il metodo dal portale admin.
• 7000112 - Application disabled: raro, ma può capitare se la policy dei metodi di autenticazione ha disabilitato Authenticator per un gruppo che include l'utente.

Se vedi che l'MFA è marcato "Skipped" o non è presente nei log, significa che una Conditional Access policy sta scavalcando il requisito MFA (es. per una location trusted, o durante il periodo remember MFA). Non è un bug: è una configurazione volontaria.

Reset metodi MFA da PowerShell

Per resettare rapidamente tutti i metodi MFA di un utente (utile quando il telefono è perso e non c'è modo di far accedere l'utente al portale):

Connect-MgGraph -Scopes "UserAuthenticationMethod.ReadWrite.All"

$upn = "[email protected]"
$userId = (Get-MgUser -UserId $upn).Id

Get-MgUserAuthenticationMethod -UserId $userId | ForEach-Object {
    $type = $_.AdditionalProperties["@odata.type"]
    Write-Host "Rimozione metodo: $type"
    if ($type -eq "#microsoft.graph.microsoftAuthenticatorAuthenticationMethod") {
        Remove-MgUserAuthenticationMicrosoftAuthenticatorMethod `
            -UserId $userId `
            -MicrosoftAuthenticatorAuthenticationMethodId $_.Id
    }
    elseif ($type -eq "#microsoft.graph.phoneAuthenticationMethod") {
        Remove-MgUserAuthenticationPhoneMethod `
            -UserId $userId `
            -PhoneAuthenticationMethodId $_.Id
    }
}
Write-Host "Metodi MFA azzerati per $upn. L'utente dovrà registrarsi di nuovo al prossimo login."

Dopo questo comando, alla prossima autenticazione l'utente sarà obbligato a completare la registrazione dei metodi (assumendo che la Conditional Access policy "Register security information" sia configurata correttamente).

Novità 2026: jailbreak detection, SyncJacking e SSPR

Il 2026 ha portato tre cambiamenti che possono causare comportamenti anomali di Authenticator anche in scenari finora regolari. Se il problema dell'utente è iniziato dopo un aggiornamento dell'app o del sistema operativo negli ultimi mesi, controlla se una di queste condizioni si applica.

Rilevamento jailbreak/root (da febbraio 2026): Authenticator ora rileva attivamente se il dispositivo mobile è jailbroken (iOS) o rooted (Android) e blocca le credenziali Entra work/school in quel caso. L'utente vede un messaggio "Il dispositivo non soddisfa i requisiti di sicurezza dell'organizzazione". Non è un bug: è comportamento intenzionale. Devi far usare all'utente un dispositivo compliant o, se il root è necessario per motivi di sviluppo, configurare un dispositivo separato per l'accesso aziendale.

SyncJacking mitigation (da giugno 2026): Entra ID ora blocca gli hard match tra utenti AD on-premises e cloud users con ruoli privilegiati. Se stai gestendo un ambiente ibrido e improvvisamente un utente amministratore non riesce più a completare l'MFA, controlla i log di Entra Connect per errori di sync su quell'account. Approfondimenti sulla mitigazione nel post ufficiale del Microsoft Entra team.

SSPR con metodi registrati (da novembre 2026): il Self-Service Password Reset accetterà solo metodi esplicitamente registrati dall'utente. Numeri di telefono ereditati dall'AD on-premises non registrati manualmente non funzioneranno più. Prepara una campagna di registrazione dei metodi già ora, prima della scadenza del 9 novembre 2026. Fidati, non vuoi arrivare a novembre con centinaia di utenti che scoprono il problema il giorno dopo aver dimenticato la password.

Se stai gestendo utenti che si trovano contemporaneamente bloccati sull'MFA e sulla VPN aziendale, consulta anche la nostra guida al troubleshooting della VPN aziendale su Windows 11, perché spesso il fallimento della VPN cross-referenzia lo stesso problema di autenticazione.

Domande frequenti

Come mai app Authenticator dopo aver cambiato il cellulare non mi manda le notifiche?

Perché quando cambi telefono e installi Authenticator sul nuovo, l'account resta registrato sul vecchio dispositivo lato Entra ID. Le push continuano a essere inviate al vecchio telefono finché non rimuovi manualmente quel dispositivo da https://mysignins.microsoft.com/security-info e riconfiguri il metodo dal nuovo telefono.

Come attivare le notifiche di Microsoft Authenticator su Android?

Vai in Impostazioni → App → Authenticator → Notifiche → attiva tutti i canali. Poi Impostazioni → App → Authenticator → Batteria → seleziona "Senza restrizioni" per evitare che Android metta l'app in modalità sospensione. Infine, apri Authenticator e verifica che nelle impostazioni interne le notifiche siano abilitate per ciascun account.

Perché Microsoft Authenticator mostra un numero da digitare?

È il number matching, obbligatorio dal 2023 per tutte le push di Authenticator. Devi guardare la schermata di login del PC dove stai accedendo, leggere il numero a due cifre visualizzato lì, e digitarlo nell'app Authenticator sul telefono. Serve a prevenire gli attacchi di MFA fatigue.

Posso usare Microsoft Authenticator senza notifiche push?

Sì. Ogni account nell'app genera anche un codice TOTP a 6 cifre che si rinnova ogni 30 secondi e funziona completamente offline. In fase di login, seleziona "Accedi in un altro modo" → "Usa un codice di verifica" e inserisci il codice che leggi nell'app. È il workaround più affidabile quando le push non funzionano.

Il backup di Authenticator funziona da iPhone ad Android?

No, il backup e ripristino di Microsoft Authenticator funzionano solo tra dispositivi dello stesso sistema operativo (iOS→iOS con iCloud, Android→Android con account Microsoft personale). Se stai migrando cross-platform devi riconfigurare manualmente ogni account tramite QR code sul portale di sicurezza Microsoft.