Autenticazione a due fattori (2FA) - Protezione dell'account

Cos'è l'autenticazione a due fattori (2FA)?

L'autenticazione a due fattori, nota anche come 2FA o verifica in due passaggi, è un meccanismo di sicurezza che richiede due diverse prove di identità al momento dell'accesso a un account. Invece di affidarti solo a una password (qualcosa che conosci), aggiungi un secondo fattore - di solito un codice temporaneo dal tuo telefono (qualcosa che possiedi). Anche se qualcuno ruba o indovina la tua password, non potrà accedere al tuo account senza il secondo fattore.

Pensa alla 2FA come alle serrature delle tue porte. La password è la chiave, ma la 2FA è una serratura aggiuntiva che richiede una seconda chiave diversa. Un ladro può copiare una chiave, ma due chiavi diverse sono molto più difficili da compromettere.

Perché la 2FA è essenziale nel 2026

Le statistiche sono preoccupanti: oltre l'80% degli attacchi hacker sfrutta password rubate o deboli. In media, una persona usa la stessa password su 5-7 siti diversi. Quando un sito viene violato, gli aggressori provano quelle password su tutti i servizi più popolari: questo è chiamato attacco di "credential stuffing". Secondo un report di Google, la 2FA blocca il 99,9% degli attacchi automatizzati, il 96% degli attacchi di phishing e il 76% degli attacchi mirati a specifici account.

Per i proprietari di siti, un pannello di controllo dell'hosting compromesso può significare la perdita totale del controllo sul sito: gli aggressori possono modificare i contenuti, rubare i dati degli utenti, installare malware o usare il tuo server per inviare spam. Le conseguenze possono essere catastrofiche - dalla perdita finanziaria alla distruzione totale della reputazione.

Tipi di metodi 2FA

App di autenticazione (TOTP)

Questo è il metodo più consigliato. Un'app sul tuo telefono genera un codice di sei cifre che cambia ogni 30 secondi. Il codice viene generato localmente sul dispositivo e non richiede una connessione internet. Le app più popolari sono Google Authenticator, Microsoft Authenticator e Authy. Authy è particolarmente consigliata perché supporta il backup dei codici sul cloud e l'uso su più dispositivi.

Verifica via SMS

Il codice viene inviato via SMS al tuo telefono. È più semplice da usare ma meno sicuro delle app di autenticazione. I messaggi SMS possono essere intercettati tramite attacchi di SIM swap o vulnerabilità del protocollo SS7. Tuttavia, la 2FA via SMS è molto più sicura dell'uso della sola password, quindi se è l'unica opzione disponibile, attivala senza dubbio.

Chiavi hardware (FIDO2/WebAuthn)

Dispositivi fisici come YubiKey offrono il massimo livello di protezione. Basta inserire la chiave in una porta USB e toccarla per la verifica. Sono resistenti al phishing perché verificano anche il sito che richiede l'autenticazione. Il costo di circa 50 € per una chiave di qualità è un piccolo investimento rispetto al potenziale danno di un attacco hacker.

Come configurare la 2FA per l'hosting cPanel

Su BeoHosting, la 2FA per cPanel si configura in pochi passaggi. Accedi a cPanel e nella sezione "Security" fai clic su "Two-Factor Authentication". Fai clic sul pulsante "Set Up Two-Factor Authentication". Apparirà sullo schermo un codice QR. Apri l'app di autenticazione sul tuo telefono (Google Authenticator o Authy) e scansiona il codice QR. L'app inizierà a generare codici di sei cifre. Inserisci il codice corrente in cPanel per la conferma e fai clic su "Configure Two-Factor Authentication".

Da quel momento in poi, ogni volta che accedi a cPanel, dopo aver inserito la password ti verrà chiesto di inserire il codice dall'app di autenticazione. Assicurati di salvare i codici di backup che cPanel genera: servono per accedere all'account in caso di smarrimento del telefono.

2FA per il pannello di amministrazione WordPress

WordPress non dispone di 2FA integrata, ma esistono diversi ottimi plugin. I più consigliati sono WP 2FA, Two Factor Authentication e Wordfence Security che, oltre alla 2FA, offre una protezione completa del sito. L'installazione è semplice: installa il plugin, attivalo e segui la procedura guidata di configurazione che ti accompagna in tutto il processo.

Per il plugin WP 2FA, il procedimento è il seguente: installa e attiva il plugin dal pannello di amministrazione di WordPress. Vai su Utenti > Il tuo profilo, dove troverai la sezione 2FA. Scegli il metodo "Time Based One-Time Password (TOTP)". Scansiona il codice QR con l'app di autenticazione e inserisci il codice di verifica per la conferma. Ti consigliamo di rendere obbligatoria la 2FA per tutti gli utenti amministratori ed editori.

2FA per gli account email

Il tuo account email è forse l'account più importante che possiedi - tramite l'email puoi reimpostare le password di quasi tutti gli altri account. Per questo la 2FA per l'email è di importanza critica. Se usi Gmail, vai su Account Google > Sicurezza > Verifica in due passaggi. Per Outlook, vai su Account Microsoft > Sicurezza > Verifica in due passaggi. Per l'email aziendale sul tuo hosting, la 2FA si configura tramite cPanel o l'interfaccia Webmail.

Consigli sulle app di autenticazione

Google Authenticator è la scelta più popolare: è gratuita, semplice e affidabile. Tuttavia non offre il backup sul cloud, quindi se perdi il telefono devi riconfigurare manualmente la 2FA per tutti gli account. Authy risolve questo problema con un backup cloud cifrato e il supporto multi-dispositivo - puoi usare Authy contemporaneamente sia su telefono che su desktop. Microsoft Authenticator è eccellente per gli utenti dell'ecosistema Microsoft e dispone anche della funzione di backup.

Per la massima sicurezza, consigliamo Authy o Microsoft Authenticator per la possibilità di backup. Annota sempre i codici di backup su carta e conservali in un luogo sicuro: è la tua ultima via d'uscita se perdi l'accesso al telefono.

Errori più comuni nell'uso della 2FA

Il primo errore è non salvare i codici di backup. Quando configuri la 2FA, ricevi una serie di codici di backup monouso: assicurati di conservarli in un luogo sicuro. Il secondo errore è usare solo la verifica via SMS quando sono disponibili opzioni migliori. Il terzo errore è non impostare la 2FA su tutti gli account importanti - hosting, admin WordPress, email, registrar del dominio e account dei social media dovrebbero tutti avere la 2FA. Il quarto errore è usare lo stesso telefono per tutto senza un piano di backup: se il telefono viene rubato o danneggiato, puoi rimanere bloccato fuori da tutti gli account.

Conclusione

L'autenticazione a due fattori è uno dei modi più semplici ed efficaci per proteggere i tuoi account online. Per una protezione completa, considera anche la crittografia del traffico web per il tuo sito. La configurazione richiede solo pochi minuti e riduce drasticamente il rischio di accessi non autorizzati. Inizia dagli account più importanti - hosting, admin WordPress ed email - ed estendila gradualmente a tutti gli altri servizi. Su BeoHosting, la 2FA per cPanel è disponibile su tutti i piani di web hosting e ti consigliamo vivamente di attivarla oggi stesso. Scopri di più su come proteggere il tuo sito dagli hacker.