Capitolo 3 · 3.7
Password sicure e cosa fare in caso di password trapelata
Una buona password è la protezione più importante del Suo sito e della Sua email. In questo articolo scoprirà quali password fanno parte del Suo pacchetto, come renderle sicure e cosa fare se una è trapelata.
Quali password ha?
| Password | A cosa serve? | Modifica |
|---|---|---|
| Mio WebOké | Il Suo ambiente cliente, e quindi anche il pulsante verso DirectAdmin. | Mio WebOké, Mijn Administratie, Inloggegevens |
| Password DA | Accesso diretto a DirectAdmin e all'account FTP predefinito. | Impostare o modificare la password DA |
| Casella di posta | Ogni indirizzo email ha una propria password. | Modificare la password di un indirizzo e-mail |
| Account FTP | Ogni account FTP aggiuntivo ha una propria password. | Creare e gestire account FTP |
| Database | L'utente del database del Suo sito. È presente anche nelle impostazioni del Suo sito, ad esempio in wp-config.php. | Utenti, permessi e password dei database |
| Il Suo sito | Ad esempio l'amministratore di WordPress. Lo gestisce direttamente all'interno del Suo sito. | Nel Suo sito |
Queste password sono indipendenti l'una dall'altra. Se modifica la Sua password DA, le password della casella di posta, del database e del sito non cambiano.
Una password sicura
- Lunga: almeno 15 caratteri. La lunghezza rende una password molto più sicura dei caratteri strani. Una frase composta da cinque o sei parole scelte a caso è sicura ma allo stesso tempo facile da ricordare.
- Veramente casuale: faccia scegliere la password o le parole da un gestore di password. Una password inventata da Lei stesso, come una parola con un anno e un punto esclamativo, segue quasi sempre uno schema che gli aggressori provano per primo.
- Unica: utilizzi ogni password in un solo posto. Se trapela da un altro sito, il Suo pacchetto rimane sicuro.
- Non indovinabile: niente nomi, date di nascita, nomi aziendali o nomi di dominio.
- Conservata in un gestore di password, come Bitwarden, 1Password o il gestore di password del Suo browser. Questo può anche generare password sicure per Lei. In Mio WebOké può farlo con Genera accanto alla password DA.
- Non condivisa via email, WhatsApp o un foglietto sullo schermo.
- Da non cambiare senza motivo: una password forte e unica non deve essere cambiata ogni pochi mesi. La cambi invece subito se ha un motivo per farlo, ad esempio una notifica di violazione dei dati o un collega che se ne va e conosceva la password.
Questi consigli seguono le linee guida dell'ente statunitense NIST (SP 800-63B-4) e i suggerimenti del Centro Nazionale di Sicurezza Informatica olandese. Alcuni sistemi impongono inoltre requisiti propri, come una lettera maiuscola, una cifra o un carattere speciale. In tal caso, li aggiunga alla Sua password lunga.
Sicurezza aggiuntiva
- Attivi l'Autenticazione in due passaggi in DirectAdmin (vedere Configurare l'Autenticazione in due passaggi) e utilizzi un'app di autenticazione per Mio WebOké.
- Non dia ad altri accesso con la Sua password personale. Crei per un webdesigner un account FTP dedicato (vedere Creare e gestire account FTP) oppure una chiave di accesso con data di scadenza (vedere Chiavi di accesso: accedere per script e programmi).
- Esca dall'account su un computer condiviso con altri (vedere Disconnettersi e chiudere in sicurezza).
Pensa che una password sia trapelata?
Ad esempio perché ha ricevuto una notifica di violazione dei dati, nota un indirizzo IP sconosciuto nella Cronologia accessi, oppure perché all'improvviso vengono inviate email a Suo nome. In tal caso proceda così:
- Modifichi subito la password. Se si tratta di DirectAdmin, imposti una nuova password DA in Mio WebOké (vedere Impostare o modificare la password DA). Funziona anche se qualcun altro ha già cambiato la vecchia password.
- Termini tutte le altre sessioni in DirectAdmin: Profilo, scheda Sessioni, TERMINA TUTTE LE ALTRE (vedere Disconnettersi e chiudere in sicurezza).
- Controlli la Cronologia accessi alla ricerca di indirizzi IP sconosciuti (vedere Cronologia accessi: chi ha effettuato l'accesso e quando?).
- Controlli le Chiavi di accesso e rimuova le chiavi che non riconosce (vedere Chiavi di accesso: accedere per script e programmi).
- Controlli i Suoi account FTP e rimuova gli account che non riconosce (vedere Creare e gestire account FTP).
- Controlli la Sua email: verifichi negli Inoltri che non sia stato aggiunto un inoltro verso un indirizzo sconosciuto, e modifichi le password delle Sue caselle di posta (vedere Inoltri: inoltrare la posta a un altro indirizzo e Modificare la password di un indirizzo e-mail). Se viene inviato spam dal Suo indirizzo, legga Cosa fare se il Suo indirizzo e-mail viene usato in modo improprio.
- Faccia scansionare il Suo sito alla ricerca di malware con Imunify360 (vedere Imunify360: scansione del sito web alla ricerca di malware). Se il Suo sito è stato violato, segua Il mio sito web è stato violato: piano d'azione.
- Attivi l'Autenticazione in due passaggi (vedere Configurare l'Autenticazione in due passaggi).
- Modifichi la password anche in tutti gli altri luoghi dove usava la stessa password.
Attenzione: Solo dopo aver modificato la password di una casella di posta, aggiorni la password anche nel Suo programma di posta sul computer e sul telefono. Se un dispositivo continua a provare con la vecchia password, dopo un po' il server blocca il Suo indirizzo IP (vedere Risolvere i problemi di accesso).
È possibile farlo anche in Mio WebOké?
Sì. La Sua password DA si imposta in Mio WebOké senza conoscere quella vecchia: I miei prodotti, Amministrazione, blocco Modifica password DA. La nuova password è valida immediatamente, anche per l'account FTP predefinito.
Suggerimento: Non è sicuro che qualcosa non vada? Apra un ticket tramite il Centro assistenza. Possiamo verificare i registri del server.