Configurare la verifica in due passaggi per WordPress

Con la verifica in due passaggi (2FA), per accedere Le serve qualcosa in più oltre alla password: di solito un codice di sei cifre generato da un'app sul Suo telefono. Così chi conosce la Sua password non riesce comunque a entrare nell'area di amministrazione del Suo sito. WordPress non include questa funzione: si aggiunge con un plugin. Qui trova come fare e cosa fare se perde il telefono.

Quale plugin?

Esistono molti plugin per la verifica in due passaggi, e molti plugin di sicurezza la includono. Uno semplice è Two Factor, realizzato da contributori di WordPress stesso. Lo usiamo come esempio qui sotto; gli altri plugin funzionano in modo simile. Nella scelta verifichi:

• il supporto per un'app di autenticazione (codici secondo lo standard TOTP);
• la disponibilità di codici di backup nel caso perda il telefono;
• se è possibile rendere la verifica in due passaggi obbligatoria per gli amministratori. Two Factor non lo consente: ogni utente la attiva nel proprio profilo;
• che il plugin sia ancora aggiornato e testato con la Sua versione di WordPress.

Ne usi uno solo. Se ha già un plugin di sicurezza con la verifica in due passaggi, la attivi lì.

Configurazione con Two Factor

1. Installi e attivi il plugin tramite Plugin > Aggiungi nuovo plugin.
2. Vada su Utenti > Profilo e scorra fino alla sezione della verifica in due passaggi.
3. Scelga l'app di autenticazione. Scansioni il codice QR con l'app sul Suo telefono e inserisca il codice di controllo.
4. Generi i codici di backup: sono dieci codici, ciascuno utilizzabile una sola volta. Li conservi nel Suo password manager o su carta, non solo sul telefono.
5. Imposti l'app come metodo predefinito e clicchi su Aggiorna profilo.
6. Esca e acceda di nuovo per verificare che funzioni.

Chieda a ogni altro amministratore e redattore di fare lo stesso nel proprio profilo. Un sito è sicuro quanto il suo account amministratore più debole.

Telefono perso o nuovo telefono

• Nuovo telefono: trasferisca l'app prima di ripristinare il vecchio telefono, oppure configuri di nuovo l'app nel Suo profilo.
• Telefono perso: acceda con uno dei Suoi codici di backup e poi configuri di nuovo l'app. Generi anche nuovi codici di backup.
• Nessun codice di backup rimasto: un altro amministratore può disattivare la verifica in due passaggi per il Suo account in Utenti. Se è l'unico amministratore, disattivi temporaneamente il plugin. Come fare è spiegato al passaggio 3 di Non riesco ad accedere a WordPress: cosa fare? Acceda, configuri di nuovo l'app e riattivi il plugin.

Passkey

Con una passkey accede con l'impronta digitale, il riconoscimento del volto o una chiave di sicurezza. Una passkey funziona solo sul sito autentico, quindi un sito falso non può intercettarla. Two Factor non supporta le passkey; a questo scopo esiste un plugin aggiuntivo separato, mentre altri plugin le includono già. Per saperne di più sulle passkey legga Password manager e passkey: come accedere in modo sicuro.

Altri aspetti da considerare

• Le password per le applicazioni (in Utenti > Profilo) sono pensate per app e integrazioni e possono aggirare il secondo passaggio. Le crei solo se necessario e le revochi quando non usa più l'integrazione.
• La verifica in due passaggi non sostituisce una buona password. Usi una password lunga e unica generata da un password manager.
• Protegga anche la pagina di accesso stessa: veda Proteggere wp-login.php di WordPress e Proteggere ulteriormente WordPress: permessi, wp-config e .htaccess.

Anche attorno al Suo sito

Un malintenzionato che prende il controllo del Suo pannello di hosting o della Sua casella di posta non ha bisogno della Sua password di WordPress. Attivi quindi la verifica in due passaggi anche su:

• Mio WebOké: Configurare la verifica in due passaggi in Mio WebOké e un'app di autenticazione;
• DirectAdmin: Configurare la Two-Step Authentication;
• la Sua casella di posta e il Suo password manager.

Per approfondire

• Accedere in modo sicuro (Veilig Internetten, governo dei Paesi Bassi, in olandese)
• Attacchi brute force (developer.wordpress.org, in inglese)

Vuole saperne di più? Segua il corso gratuito di WordPress, lezione 7.3 Accesso: password, verifica in due passaggi e brute force.