Con Wordfence 9.0 arriva una nuova funzione dedicata alla sicurezza dell’accesso a WordPress: le Passkey. Si tratta di un sistema di autenticazione che permette di accedere al proprio account senza dover digitare ogni volta la password, utilizzando invece il sistema di sicurezza del dispositivo.

Su un PC Windows, per esempio, la passkey può essere utilizzata attraverso Windows Hello, quindi tramite PIN, impronta digitale o riconoscimento facciale, quando disponibili.

Il vantaggio è importante soprattutto per gli account amministratore: una passkey non è una semplice password che può essere indovinata, riutilizzata o rubata attraverso un normale attacco basato sulle credenziali. Wordfence considera infatti le passkey un’alternativa più sicura al tradizionale accesso con username e password.

Perché utilizzare una Passkey

Le password rappresentano ancora uno dei principali punti di attacco di un sito WordPress. Una password compromessa può infatti essere utilizzata per tentare l’accesso al pannello di amministrazione, soprattutto quando viene riutilizzata anche su altri servizi.

Con una passkey il funzionamento cambia.

La chiave di accesso viene associata al dispositivo e l’utente conferma la propria identità utilizzando il sistema di sblocco del dispositivo. In pratica, invece di ricordare un’altra password, si utilizza il PIN o il sistema biometrico già presente sul computer o sullo smartphone.

Per un amministratore WordPress è quindi un’ottima protezione aggiuntiva, soprattutto insieme alle altre funzioni di Wordfence Login Security e all’autenticazione a due fattori. Wordfence raccomanda infatti l’utilizzo della MFA e di credenziali robuste e uniche per gli account.

Passkey per specifici ruoli utente

Un’altra possibilità interessante di Wordfence 9.0 è quella di decidere quali ruoli utente possono utilizzare le Passkey.

Questa impostazione è particolarmente utile sui siti WordPress dove non esiste soltanto un amministratore, ma sono presenti anche editor, autori o altri utenti che possono accedere al pannello.

Dalle impostazioni di Wordfence → Login Security puoi scegliere per quali ruoli rendere disponibile l’autenticazione tramite Passkey.

Per esempio, su un sito gestito da più persone puoi decidere di abilitarla soltanto per gli Amministratori, lasciando invariato il metodo di accesso degli altri utenti.

In alternativa, se anche gli editor hanno accesso a contenuti importanti o a funzioni sensibili del sito, puoi estendere la protezione anche a questo ruolo.

È quindi possibile adattare la sicurezza alla struttura del proprio sito senza essere obbligati ad applicare la stessa configurazione a tutti gli utenti.

Quali ruoli proteggere?

Per un normale sito WordPress, una configurazione ragionevole può essere:

Amministratore: Passkey consigliata
Editor: Passkey consigliata se può accedere al backend
Autore: valutabile in base alle autorizzazioni
Collaboratore: normalmente non indispensabile
Abbonato: generalmente non necessario

L’obiettivo è concentrare la protezione più forte sugli account che hanno realmente la possibilità di modificare il sito o accedere a funzioni importanti.

Non è quindi necessario obbligare ogni utente del sito a utilizzare una Passkey: Wordfence permette di scegliere il livello di protezione in base al ruolo.

Come attivare una Passkey in Wordfence

Dopo aver aggiornato Wordfence alla versione 9.0, entra nel pannello di WordPress e vai in:

Wordfence → Login Security → Passkeys

Qui viene mostrata la sezione Registered Passkeys, dove saranno elencate le passkey già associate all’account.

Se non ne hai ancora configurata nessuna, troverai la sezione Add Passkey.

Cosa inserire nel campo Passkey Name

Il campo Passkey Name non richiede una password e non devi inventare nessun codice particolare.

Serve semplicemente a dare un nome alla passkey, così da poter riconoscere facilmente il dispositivo in futuro.

Per esempio puoi inserire:

PC Windows – Chrome

oppure:

PC principale

Se utilizzi più dispositivi, è consigliabile usare nomi facilmente riconoscibili, come:

PC Windows – Chrome

Notebook – Edge

iPhone

MacBook

Dopo aver inserito il nome, premi il pulsante +.

A questo punto il browser avvierà la procedura per creare la passkey. Sul PC Windows potrebbe comparire Windows Hello, chiedendoti di confermare l’identità tramite PIN, impronta o riconoscimento facciale.

Una volta completata la procedura, la passkey comparirà nella sezione Registered Passkeys.

Attenzione all’opzione Allow username/password authentication

Nella schermata di Wordfence è presente anche l’opzione:

Allow username/password authentication

Questa impostazione è particolarmente importante.

Se è attiva, puoi continuare ad accedere a WordPress anche con il normale username e password, anche dopo aver registrato una passkey.

Se invece viene disattivata, Wordfence indica che l’accesso tramite username e password verrà bloccato per quell’account quando è presente una passkey.

Cosa conviene fare?

Se stai configurando la funzione per la prima volta, il consiglio è di lasciare attiva questa opzione.

Prima registra la passkey, verifica che funzioni correttamente e prova ad accedere nuovamente a WordPress.

Solo dopo aver verificato che tutto funziona puoi eventualmente decidere di rendere la passkey il metodo obbligatorio di accesso.

In questo modo eviti di rischiare di rimanere fuori dal pannello di amministrazione a causa di una configurazione errata o di un problema con il dispositivo.

Passkey e autenticazione a due fattori

La passkey non deve necessariamente sostituire tutte le altre protezioni.

Per un account amministratore è possibile utilizzare una configurazione più robusta combinando password, passkey e autenticazione a due fattori, almeno durante la fase iniziale.

La scelta migliore dipende comunque dal modo in cui viene gestito il sito e dagli altri sistemi di sicurezza già attivi.

Wordfence 9.0 La nuova funzione Passkey

La nuova funzione Passkey di Wordfence 9.0 è particolarmente interessante per chi amministra un sito WordPress e vuole rendere più sicuro il login senza dover ricordare un’altra password.

La configurazione è semplice: si assegna un nome alla passkey, si avvia la procedura con il pulsante + e si completa l’autenticazione tramite il sistema di sicurezza del proprio dispositivo.

Per iniziare senza rischi, la soluzione più prudente è creare la passkey e lasciare attiva l’autenticazione tradizionale, verificando prima che il nuovo sistema funzioni correttamente, anche con una nuova scheda in incognito e provare il login con passkey.

Una volta effettuato il test, si potrà decidere se utilizzare la passkey semplicemente come alternativa alla password oppure renderla il metodo principale per proteggere l’accesso a WordPress.