Indice
A chiunque può essere capitato, durante l’accesso a specifiche app o social media, o magari per utilizzare l’home banking, di dover effettuare la cosiddetta “autenticazione a due fattori”. Nonostante possa risultare noioso, questo doppio controllo riduce il rischio di hackeraggio e risulta fondamentale per aumentare la sicurezza dei profili personali, delle transizioni, dei dati condivisi.
Anche per chi ha scelto di creare un sito web o un e-commerce con WordPress, la 2FA riveste un ruolo molto importante. Facilissima da implementare, permette, insieme ad altre pratiche, di proteggere la dashboard di amministrazione del CMS da accessi non autorizzati, riducendo il rischio di vedere irrimediabilmente compromesso il proprio spazio virtuale e il proprio business.
In questa breve guida verranno spiegati i vantaggi dell’autenticazione a 2 fattori per WordPress e i passaggi da seguire per attivarla tramite plugin.
Autenticazione a 2 fattori: in cosa consiste
La 2FA o autenticazione a 2 fattori è un metodo di protezione degli account che, in fase di login, dopo il normale inserimento della password, richiede di effettuare un secondo passaggio, il quale si traduce in un secondo livello di sicurezza. I metodi che rendono possibile questo doppio controllo sono svariati e includono, oltre all’inserimento di una seconda password e al riconoscimento biometrico:
l’inserimento di un codice monouso, anche a tempo, generato tramite specifiche app o token fisici, oppure inviato via SMS, WhatsApp, e-mail;
la riposta a una domanda di sicurezza
una semplice chiamata in entrata
la ricezione di notifiche push.
Perché attivarla su WordPress
Attivare l’autenticazione a due fattori su WordPress permette di aumentare il livello di sicurezza del login che dà accesso alla dashboard. In particolare, anche laddove un hacker riuscisse a individuare la password, verrebbe bloccato da questo secondo livello di controllo, difficile da superare soprattutto quando si opta per i codici di tipo TOTP, ossia a tempo.
Rendere più difficile l’accesso a soggetti non autorizzati aiuta a ridurre il rischio che i contenuti vengano manipolati o modificati, e permette di proteggere meglio i dati e la privacy degli utenti. Tutto questo si riflette in modo positivo sull’esperienza degli utenti e sull’immagine dell’azienda o del professionista.
Come attivare l’autenticazione a 2 fattori su WP
Su WordPress non sono presenti funzioni native per l’attivazione dell’autenticazione a 2 fattori. Per attivarla è dunque necessario ricorrere a un plugin. A seconda dei casi, si potrà optare per uno dedicato in modo esclusivo a questa funzione – come Two Factor Authentication o WP 2FA – oppure per un plugin di sicurezza come Wordfence Security che includa anche l’autenticazione a due fattori.
Laddove poi si decidesse di attivare la 2FA basata su codici monouso a tempo, noti come Time-Based One-Time Password, si dovrà procedere con l’installazione, su smartphone, tablet o computer, di un’app di autenticazione compatibile non solo con il dispositivo in uso, ma anche con il plugin scelto. Una delle più usate è Google Authenticator, disponibile sia per iOS sia per Android, ma altrettanto valide sono Free OTP, Authy, 1Password, Duo Mobile.
Di seguito verranno spiegati tutti i passaggi da seguire per attivare l’autenticazione a due fattori utilizzando Two Factor Authentication e WP 2FA. Per sapere come effettuare l’attivazione con Wordfence, è possibile consultare il paragrafo “Autenticazione a due fattori” della nostra guida dedicata alle best practice per la protezione della dashboard di WordPress.
2FA su WordPress con Two Factor Authentication
Two Factor Authentication è un plugin di WordPress realizzato dai programmatori di UpdraftPlus, semplice da utilizzare e molto efficiente. Disponibile sia in una versione gratuita sia in una più completa a pagamento, consente di attivare l’autenticazione a due fattori sia di tipo TOTP sia di tipo HOTP (Hash One-Time Password).
Per iniziare subito a utilizzarlo, accedere alla dashboard di WordPress, andare su “Plugin / Aggiungi un nuovo plugin” e digitare nella casella di ricerca “Two Factor Authentication”. Individuato il plugin che si desidera installare
e premere il pulsante “Installa ora” e poi “Attiva”.
Al termine dell’installazione, nel menu a sinistra comparirà una nuova voce, “Autentic. a due fattori”. Farvi click sopra per accedere alla seguente schermata:
Qui è possibile scegliere se utilizzare password monouso basate sul tempo (impostate di default) o basate su eventi (se si preferisce impostare questo tipo di codice, selezionare “HOTP (basato su eventi)” e premere “Salva le modifiche”).
A questo punto, aprire l’app di autenticazione (oppure installarne una, laddove non lo si fosse ancora fatto) e cercare la funzione che consente di scansionare il QR code oppure, in alternativa, di inserire manualmente il codice numerico. Nel caso in cui si fosse scelto di utilizzare Google Authenticator, premere il simbolo “+” posto in basso a destra e fare click su “Scansiona un QR code” o “Inserisci una chiave di configurazione”.
Scansionare il QR code o digitare il codice e assicurarsi che il numero visualizzato sull’app sia identico a quello indicato dal plugin. I due codici dovrebbero cambiare in simultanea.
Per abilitare l’autenticazione a due fattori, selezionare “Abilita (Codice corrente: xxxxxx)” e premere il pulsante “Salva le modifiche”.
Per accertarsi che l’operazione sia andata a buon fine, effettuare il logout dall’area di amministrazione, quindi ripetere il login. Dopo l’inserimento della normale password, dovrebbe apparire una schermata simile alla seguente:
Inserire nella casella il codice numerico indicato dall’app di autenticazione e premere “Accedi”.
Two Factor Authentication permette di rendere disponibile l’autenticazione a due fattori su WordPress per le diverse classi di utenti. Questa operazione può essere effettuata andando su “Impostazioni / Autenticazione a due fattori”, scegliendo i ruoli utente per i quali attivarla e premendo il pulsante “Salva le modifiche”.
Di default sono selezionati tutti i ruoli.
È importante ricordare che, laddove si decidesse di abilitare l’autenticazione a due fattori per tutti i ruoli, anche gli altri utenti che decidessero di attivare questo doppio livello di sicurezza dovrebbero installare, su uno dei propri dispositivi, un’app di autenticazione compatibile (per il TOTP) e seguire tutti i passaggi visti sopra.
Attivare l’autenticazione a due fattori con il plugin WP 2FA
Un altro plugin molto utilizzato per l’attivazione dell’autenticazione a due fattori su WordPress è WP 2FA. Anch’esso disponibile sia in versione gratuita sia in una versione a pagamento, ricca di funzionalità aggiuntive, risulta davvero semplice da personalizzare e attivare grazie alla procedura guidata, purtroppo in lingua inglese.
Anche in questo caso, per installare il plugin è sufficiente accedere alla dashboard di WordPress, andare su “Plugin / Aggiungi un nuovo plugin”, digitarne il nome nella casella di ricerca e, dopo averlo individuato, premere “Installa ora” e, subito dopo “Attiva”.
Terminata l’attivazione, comparirà questa schermata:
Se si desidera seguire la procedura guidata, premere “Let’s get start!”, in caso contrario scegliere “Skip wizard – I know how to do this”.
Avviando la procedura guidata si potrà innanzitutto decidere se rendere disponibili per gli utenti tutti e due i metodi di autenticazione a due fattori disponibili (TOTP – il quale richiede app di autenticazione – e HOTP – il quale invia il codice all’indirizzo e-mail dell’utente) o solo uno di essi.
Effettuata la scelta, premere “Continue setup”.
La schermata successiva
consente di scegliere il metodo di accesso alternativo da utilizzare quando il primo, per qualsiasi ragione, non può essere utilizzato. Se si dispone della versione free – come nel caso dell’esempio -, l’unica opzione disponibile è “Backup code”, la quale permette di scaricare e salvare una serie di codici monouso di emergenza.
Premere “Continue setup” per procedere. La sezione successiva delle impostazioni guidate richiede di decidere se rendere l’autenticazione a 2 fattori su WordPress:
obbligatoria per tutti gli utenti: selezionare “All users”
obbligatoria solo per specifici ruoli e utenti: scegliere “Only for specific user and role” e indicare, nelle nuove caselle che compaiono, i ruoli e gli utenti per i quali si desidera rendere obbligatoria l’attivazione della 2FA
non obbligatoria: in questo caso, lasciare selezionato “Do not enforce on any users”.
Nel caso in cui si scegliesse una delle prime due alternative, le schermate successive chiederebbero di:
indicare gli eventuali ruoli o utenti da escludere dall’obbligo
indicare il “periodo di grazia” a disposizione degli utenti per effettuare l’attivazione:
se si desidera richiedere l’attivazione immediata, selezionare “Users have to configure 2FA straight away”
se si preferisce lasciare qualche giorno a disposizione, scegliere “Give users a grace period to configure 2FA” e indicare il numero di giorni o di ore (il numero massimo selezionabile è, in entrambi i casi, 10) che si desidera concedere agli utenti;
decidere il tipo di comportamento che deve adottare il plugin con gli utenti che non effettuano l’attivazione entro i termini previsti. Le opzioni disponibili sono:
“Do not let them access the dashboard / user page once they log in until they configure 2FA”: in questo caso, il sistema impedisce all’utente di accedere alla dashboard di WP o alla sua pagina personale fino a quando non attiva l’autenticazione a due fattori
“Block the user (administrators have to manually unblock them)”: scegliendo questa opzione, il plugin blocca del tutto l’utente;
decidere come avvisare gli utenti dell’obbligo di attivazione dell’autenticazione a due fattori. È possibile optare per:
“Show an admin notice in the dashboard”: l’avviso viene mostrato nella pagina di amministrazione
“Show a notification on a page on its own after the user authenticates and before accessing the dashboard”: l’avviso viene mostrato, dopo il login, ma prima dell’accesso alla dashboard, in una pagina a sé stante.
Per finire, per finire, premere “All done” e poi “Configure 2FA now” per attivare immediatamente l’autenticazione a due fattori sul proprio profilo. In alternativa, scegliere “Close wizard & configure 2FA later”.
Scegliendo la prima opzione, la configurazione guidata continuerà e aiuterà ad attivare la 2FA sul proprio account. In particolare, comparirà questa finestra
la quale richiederà di selezionare il metodo 2FA preferito.
Optando per “One-time code via 2FA app”, si aprirà questa finestra
e si potrà procedere con l’attivazione del TOTP in modo simile a quello visto sopra, in relazione al plugin Two Factor Authentication. In particolare, dopo aver installato sul proprio smartphone o altro dispositivo un’app di autenticazione, non si dovrà fare altro che:
accedere, su questa, alla sezione che consente di aggiungere un nuovo account
scansionare il QR code oppure, in alternativa, digitare il codice alfanumerico
premere il pulsante “I’m ready” e digitare il codice numerico indicato dall’app di autenticazione
per finire, premere il pulsante “Validate and save”,
Nel caso in cui si preferisse utilizzare il metodo HOTP, selezionare “One-time code via email”, quindi controllare, nella nuova finestra
che l’indirizzo e-mail indicato sia corretto e premere “I’m ready”. Fatto questo, controllare la casella di posta, individuare l’e-mail inviata dal sistema e copiare il codice ricevuto nell’apposita casella.
Al termine della procedura guidata, premere “I’m ready, close the wizard”.
