L’autenticazione a due fattori WordPress aggiunge un secondo controllo oltre alla password e riduce il rischio che un attaccante entri nel pannello /wp-admin usando credenziali rubate. Il metodo più pratico utilizza un codice temporaneo generato da un’app come Google Authenticator, Microsoft Authenticator o Aegis. WordPress non offre una configurazione 2FA completa per tutti gli account direttamente nel core, quindi è necessario installare un plugin affidabile. La procedura seguente usa Wordfence Security e permette a ogni amministratore di proteggere il proprio account, salvare i codici di recupero e verificare il funzionamento prima di uscire dalla sessione.

Perché attivare la 2FA sugli amministratori WordPress

Un account amministratore WordPress può modificare temi, plugin, utenti, impostazioni e contenuti del sito. Se la password viene riutilizzata, intercettata in un data breach o sottratta tramite phishing, la sola password non è sufficiente a proteggere il pannello di amministrazione.

L’autenticazione a due fattori WordPress richiede due elementi distinti:

La password dell’account WordPress.
Un codice temporaneo generato da un’app di autenticazione oppure un metodo alternativo supportato dal plugin.

I codici TOTP, cioè le password temporanee basate sul tempo, cambiano normalmente ogni pochi secondi e non vengono inviati tramite SMS. Questo riduce i rischi legati all’intercettazione dei messaggi, anche se non protegge da pagine di phishing progettate per rubare contemporaneamente password e codice.

Prima di procedere, è opportuno verificare che il sito utilizzi HTTPS, che WordPress e i plugin siano aggiornati e che l’account amministratore abbia un indirizzo email funzionante. L’HTTPS protegge la trasmissione dei dati tra browser e sito, mentre gli aggiornamenti riducono le vulnerabilità note nei componenti installati.

Come configurare l’autenticazione a due fattori WordPress con Wordfence

Wordfence Security include una funzione per configurare la 2FA sugli utenti WordPress. Le etichette possono cambiare leggermente tra le versioni del plugin, ma il percorso principale passa dalle sezioni Wordfence e Login Security.

Passo 1: installare Wordfence Security

Accedi al pannello di amministrazione WordPress con un account amministratore e apri:

Plugin > Aggiungi nuovo plugin

Cerca Wordfence Security – Firewall & Malware Scan, controlla che lo sviluppatore sia Defiant, quindi seleziona Installa ora e successivamente Attiva. Il plugin è disponibile nella directory ufficiale dei plugin WordPress.

Dopo l’attivazione, Wordfence può chiedere un indirizzo email per gli avvisi di sicurezza e l’accettazione dei relativi termini. Completa questa configurazione prima di aprire la sezione dedicata al login.

Passo 2: aprire la sezione Login Security

Nel menu laterale di WordPress seleziona:

Wordfence > Login Security > Two-Factor Authentication

La pagina mostra un codice QR e, in genere, una chiave testuale da utilizzare se l’app non consente la scansione. Non condividere il codice QR o la chiave segreta: chi ne entra in possesso può generare codici validi per il tuo account.

Apri sullo smartphone un’app compatibile con TOTP, come Google Authenticator, Microsoft Authenticator, Aegis o un’app equivalente. Usa il comando per aggiungere un nuovo account e inquadra il codice QR visualizzato da Wordfence.

Se la fotocamera non funziona o il QR code non viene riconosciuto, inserisci manualmente la chiave mostrata nella pagina. L’app aggiungerà un profilo con il nome del sito e produrrà un codice numerico temporaneo.

Passo 3: confermare il codice temporaneo

Inserisci nel campo di Wordfence il codice attualmente visualizzato dall’app di autenticazione e seleziona il pulsante per confermare o attivare la 2FA. Il codice deve essere digitato prima della scadenza; se diventa non valido, attendi la generazione del successivo.

Quando la configurazione termina correttamente, Wordfence mostra i codici di recupero dell’account. Salvali in un gestore di password oppure in un archivio offline cifrato. I codici di recupero sono pensati per l’accesso quando lo smartphone è perso, danneggiato o non disponibile.

Non salvare i codici di recupero in un file pubblico del sito, nella libreria media di WordPress o in una nota non protetta. Chiunque possieda uno di quei codici potrebbe superare il secondo fattore.

Passo 4: verificare il nuovo accesso

Apri una finestra anonima del browser senza chiudere subito la sessione amministrativa attiva. Vai alla pagina di login di WordPress, generalmente /wp-login.php, e inserisci nome utente e password.

Dopo la password, Wordfence deve richiedere il codice generato dall’app TOTP. Inserisci il codice corrente e verifica che l’accesso venga completato. Se il test funziona, puoi chiudere la sessione precedente.

La verifica in una finestra anonima è importante perché consente di controllare la 2FA senza rischiare di perdere l’accesso già aperto. In caso di errore, la sessione originale permette di correggere la configurazione o generare nuovi codici di recupero.

Come proteggere tutti gli account amministratore

La configurazione della 2FA sul tuo profilo non attiva automaticamente il secondo fattore per gli altri amministratori. Ogni account deve essere configurato individualmente, oppure il plugin deve applicare una politica obbligatoria al ruolo amministratore.

Per verificare gli utenti autorizzati, apri:

Utenti > Tutti gli utenti

Controlla quali profili hanno il ruolo Amministratore e chiedi a ciascun titolare di completare la configurazione dal proprio account WordPress. Gli amministratori non dovrebbero condividere un unico nome utente, perché gli accessi individuali rendono più semplice revocare permessi e analizzare gli eventi di sicurezza.

Wordfence include impostazioni per la gestione della 2FA e, in base alla versione installata e al piano utilizzato, può offrire opzioni di applicazione del requisito a determinati ruoli. Apri Wordfence > Login Security > Settings e controlla le impostazioni relative a Two-Factor Authentication e ai ruoli autorizzati.

La disponibilità delle funzioni di imposizione può variare tra versione gratuita e funzionalità premium. Non considerare completata la protezione di tutti gli amministratori finché ogni account non ha superato un test di accesso con il secondo fattore.

Cosa fare se l’amministratore perde lo smartphone

La perdita dello smartphone non dovrebbe bloccare definitivamente l’accesso se i codici di recupero sono stati conservati correttamente. Nella schermata di login Wordfence è possibile utilizzare un codice di recupero al posto del codice temporaneo, quando questa opzione è disponibile nella versione installata.

Dopo l’accesso con un codice di emergenza, apri nuovamente:

Wordfence > Login Security > Two-Factor Authentication

Disattiva o riconfigura il metodo precedente, associa il nuovo smartphone all’account e genera un nuovo set di codici di recupero. I codici già utilizzati non devono essere considerati riutilizzabili.

Se non hai né lo smartphone né i codici di recupero, la procedura dipende dal ruolo e dagli strumenti disponibili sul sito. Un altro amministratore può intervenire sull’account, mentre il provider di hosting può offrire accesso a phpMyAdmin o alla gestione dei plugin. Modificare il database per disattivare la 2FA senza una copia di sicurezza può causare ulteriori problemi, quindi questa operazione dovrebbe essere affidata a un tecnico esperto.

Dopo la configurazione, conserva almeno una copia offline dei codici di recupero e una seconda copia in un gestore di password affidabile. Aggiorna anche l’indirizzo email dell’account, perché gli avvisi di sicurezza e le procedure di recupero possono dipendere da quel recapito.

L’autenticazione a due fattori WordPress protegge davvero gli amministratori quando è attiva, verificata e accompagnata da codici di recupero conservati in modo sicuro.

Potrebbe interessarti anche:

FAQ

WordPress non integra nel core una configurazione 2FA completa per proteggere automaticamente tutti gli account. Per attivare l’autenticazione a due fattori WordPress è normalmente necessario installare un plugin di sicurezza compatibile.

Sono compatibili molte app TOTP, tra cui Google Authenticator, Microsoft Authenticator e Aegis. L’app genera il codice temporaneo richiesto durante l’accesso al pannello WordPress.

No. La configurazione iniziale protegge il singolo account, salvo che il plugin disponga di una policy obbligatoria per il ruolo amministratore. Ogni amministratore deve configurare e verificare il proprio secondo fattore.

Puoi usare un codice di recupero, se lo hai salvato, quindi associare un nuovo dispositivo all’account WordPress. Dopo l’uso di un codice di emergenza è consigliabile generare un nuovo set di codici.

I codici TOTP generati da un’app sono generalmente preferibili agli SMS perché non dipendono dalla rete telefonica e riducono i rischi legati alla sostituzione fraudolenta della SIM.

Altri articoli di questa serie: