Che una password robusta non basti è la lezione che i team di sicurezza hanno imparato a proprie spese. Una password robusta è una base, non una difesa completa. Fughe di credenziali, phishing e attacchi di persistenza sconfiggono tutti le password. Questa guida spiega perché e cosa aggiungere.
Perché le password robuste trapelano comunque
Le fughe avvengono presso i fornitori con cui i tuoi utenti riutilizzano le password, non necessariamente sul tuo sito. Una password Adobe trapelata in una violazione di dieci anni fa può compromettere oggi il tuo sito WordPress se l’utente l’ha riutilizzata.
La robustezza della password non conta se la password è trapelata altrove.
Il phishing sconfigge le password robuste
Un utente che digita la propria password robusta in una pagina di accesso falsa la consegna all’aggressore. La robustezza è irrilevante. La pagina era quella sbagliata.
Le campagne di phishing prendono di mira specificamente gli amministratori. L’area di amministrazione di WordPress è un bersaglio di valore ben noto.
L’autenticazione a due fattori come risposta
Un secondo fattore spezza sia il problema della fuga sia quello del phishing. L’aggressore ha la password, ma non il dispositivo. L’accesso fallisce. Defyn Security Manager offre una 2FA basata su TOTP, compatibile con Google Authenticator, Authy, 1Password, Microsoft Authenticator e Bitwarden.
Il plugin Defyn Security Manager supporta anche l’applicazione per ruolo e i codici di backup, così l’implementazione risulta pratica per team reali.
La rotazione delle password è la soluzione sbagliata
Imporre la rotazione delle password ogni novanta giorni non migliora la sicurezza. Gli utenti scelgono varianti più deboli della loro password esistente. L’attrito non aggiunge alcuna sicurezza.
Ruota solo in caso di sospetta compromissione. Per il resto, lascia in pace le password robuste.
I gestori di password sono la base giusta
Ogni amministratore dovrebbe usare un gestore di password. Password uniche e casuali per ogni sito eliminano il problema del riutilizzo. 1Password, Bitwarden e KeePass sono tutte scelte sensate.
Documenta la policy. Forma il personale nuovo. Verificala ogni anno.
Nessun livello da solo è sufficiente; la sicurezza nasce dal sovrapporli: un gestore di password come base, la 2FA come rete di sicurezza e la rotazione solo in caso di sospetta compromissione. Defyn può implementare e rafforzare questi livelli sul tuo sito WordPress.
Domande frequenti
Le password WordPress restano insufficienti anche con un gestore di password?
Meglio, ma ancora non abbastanza. Il phishing sconfigge anche i gestori di password. La 2FA è la rete di sicurezza.
Dovrei richiedere la 2FA a ogni utente?
Per amministratori ed editori sì. Per gli iscritti di solito è facoltativa.
E se un utente perde il dispositivo di 2FA?
I codici di backup ripristinano l’accesso. Il plugin li genera in fase di configurazione.
La 2FA rallenta il flusso di lavoro?
Pochi secondi per ogni accesso. Ne vale la pena per il guadagno in sicurezza.
