Se quest’anno fai una sola cosa per rendere più sicuro il tuo sito WordPress, configura l’autenticazione a due fattori. È il miglioramento di sicurezza a maggior rendimento disponibile, e non costa nulla oltre a pochi minuti per utente. L’autenticazione a due fattori, detta anche 2FA o MFA, significa che una password da sola non basta per accedere. L’utente ha bisogno anche di un codice da un telefono, una chiave hardware o un altro secondo dispositivo che l’attaccante non possiede.
Attacchi a forza bruta, credential stuffing, password rubate con il phishing. Tutti si basano sul presupposto che la password basti. La 2FA infrange questo presupposto. Anche se la tua password trapela, l’attaccante comunque non può accedere.
La minaccia senza 2FA
Le pagine di accesso di WordPress ricevono un costante traffico a forza bruta. I bot provano combinazioni di nomi utente e password attinte da violazioni passate, spesso migliaia di tentativi all’ora contro qualsiasi sito che riescano a raggiungere. Se la tua password è comparsa in una qualunque violazione in un punto qualsiasi di internet, è in una lista, e quella lista è in uso.
Una password forte e unica è buona. Una password forte e unica più la 2FA è enormemente migliore. Il secondo fattore è ciò che ferma un attaccante che ha già indovinato o rubato il primo.
I tipi di secondo fattore
Esistono tre tipi principali di secondo fattore di uso comune in WordPress.
Le password monouso basate sul tempo, o TOTP, sono codici a sei cifre che cambiano ogni trenta secondi, generati da un’app come Google Authenticator, Authy o 1Password. È il più ampiamente supportato, facile da configurare e una buona scelta predefinita per la maggior parte dei siti e degli utenti.
Le chiavi di sicurezza hardware, come YubiKey, sono dispositivi fisici USB o NFC che firmano una sfida del sito. Più robuste del TOTP perché non possono essere oggetto di phishing, ma richiedono l’acquisto della chiave. Valgono la spesa per gli amministratori dei siti ad alto valore.
I codici via SMS, inviati tramite messaggio di testo. L’opzione più debole, vulnerabile agli attacchi di SIM swap, ma meglio di niente. Da evitare se sono disponibili altre opzioni.
La scelta del plugin
WordPress non include la 2FA di serie, ma diversi plugin affidabili la aggiungono. Le scelte più consolidate sono Wordfence Login Security, il modulo 2FA di Jetpack di WordPress.com e il plugin autonomo Two Factor, mantenuto dai contributori del core.
Per la maggior parte dei siti aziendali, Wordfence Login Security è una scelta sensata perché combina la 2FA con la protezione dalla forza bruta, il blocco per paese e la limitazione dei tentativi di accesso. Il plugin Two Factor è eccellente se preferisci qualcosa di minimale e leggero. Qualunque tu scelga, installane solo uno. Impilare più plugin di sicurezza che cercano tutti di gestire gli accessi è andarsi a cercare guai.
Il piano di rollout
Se il tuo sito ha più utenti, non attivare la 2FA obbligatoria senza prima avvisare tutti. Le persone restano fuori. Vengono aperti ticket. Invia un avviso chiaro via email. Spiega al team cos’è la 2FA, perché la stai attivando e quale app di autenticazione installare.
Esegui il rollout in più fasi. Inizia dagli amministratori, che hanno più da proteggere. Aggiungi poi editori e autori. Gli account di livello iscritto di solito possono essere lasciati a dopo. La maggior parte dei plugin permette di richiedere la 2FA per ruolo anziché per tutti in una volta.
Configurare un secondo fattore TOTP
Il flusso di configurazione è simile per la maggior parte dei plugin. Accedi normalmente, vai al tuo profilo utente, trova la sezione due fattori e clicca su abilita. Il sito mostra un codice QR. Apri la tua app di autenticazione, scansiona il codice QR e una nuova voce comparirà nell’app. Inserisci il codice attuale a sei cifre dall’app per confermare. Il sito attiva il secondo fattore.
Dal prossimo accesso, dopo aver inserito la password, il sito chiederà il codice attuale. Apri l’app, digita le sei cifre, accedi. L’intero processo aggiunge circa dieci secondi a ogni accesso.
I codici di backup sono critici
Quando attivi la 2FA, il plugin ti offrirà un set di codici di backup monouso. Salvali. Stampali e mettili in un posto sicuro. Salvali nel tuo gestore di password. Senza codici di backup, se perdi il telefono, resterai bloccato fuori dal tuo stesso sito, e l’unica via di recupero è contattare il tuo host o il tuo sviluppatore per disabilitare manualmente la 2FA sul tuo account.
I codici di backup sono utili anche nel caso in cui tu sia in viaggio senza il telefono, o quando l’app di autenticazione è stata cancellata durante la migrazione di un dispositivo.
Le password per le applicazioni nelle integrazioni
Alcuni plugin, app mobili o integrazioni esterne si connettono a WordPress tramite l’API REST e non possono completare un flusso di 2FA. Per questi, WordPress supporta le password per applicazioni. L’utente genera una lunga stringa unica dal proprio profilo, limitata a una singola applicazione. L’applicazione usa quella stringa al posto di una password, mentre l’account umano mantiene la 2FA attiva per gli accessi da browser.
Le password per applicazioni sono più sicure rispetto a disabilitare la 2FA sugli account che hanno bisogno di integrazioni. Ognuna è revocabile singolarmente, e non danno all’integrazione l’accesso alla bacheca.
Rotazione e pulizia
La 2FA non è una funzionalità “installa e dimentica”. Rivedi periodicamente chi l’ha attivata e su quale dispositivo. Quando un dipendente o un collaboratore se ne va, rimuovi del tutto il suo account. Quando un telefono viene sostituito, reimposta la sua 2FA così che il vecchio dispositivo non possa più produrre codici validi. Verifica le password per applicazioni ogni anno e revoca tutte quelle non più usate.
La 2FA sul tuo gestore di password e sul tuo account email
La 2FA di WordPress è ottima, ma non è il quadro completo. La stessa logica vale per il tuo gestore di password, il tuo account email e il tuo registrar del dominio. Se uno qualunque di questi è protetto solo da una password, quello è il tuo anello debole. Molte compromissioni di WordPress iniziano con un’email di phishing che induce il titolare ad accedere a una falsa pagina di amministrazione, o con un dirottamento del dominio che ha puntato il DNS verso un server controllato dall’attaccante.
Attiva la 2FA ovunque venga offerta. L’effetto combinato è maggiore di qualsiasi singolo potenziamento di account.
Ti serve una mano?
Se vuoi che Defyn esegua il rollout della 2FA su tutto il tuo sito WordPress, formi il tuo team e nel contempo verifichi il resto della sicurezza del tuo account, mettiti in contatto. È uno dei potenziamenti di sicurezza a maggior valore che facciamo, e di solito possiamo averlo pronto entro un giorno o due.
