I tentativi di accesso al suo sito: la soluzione che li ferma

«Tanto il mio sito non interessa a nessuno»

È la frase che ci diciamo tutti, e parte da un'idea giusta: lei non custodisce segreti di Stato sul suo sito vetrina.

Solo che i tentativi di accesso automatici non scelgono i loro bersagli. Nessuno si è interessato a lei in particolare. Sono programmi che percorrono il web di continuo e provano a collegarsi a tutto ciò che assomiglia a un sito WordPress — il suo, quello del fioraio accanto, quello di un comune.

Non è personale. Ed è proprio per questo che la riguarda.

E l'obiettivo non è quasi mai leggere i suoi contenuti: è utilizzare il suo sito per altro — inviare posta indesiderata, aggiungere link invisibili verso altri siti, fare da tramite. Lei non se ne accorgerebbe subito.

La causa: la porta è sempre nello stesso posto

Su milioni di siti, l'indirizzo di accesso di WordPress è identico. Un programma sa dunque esattamente dove bussare, senza cercare.

Poi prova. Password comuni, combinazioni, elenchi interi recuperati da violazioni di altri servizi. Non si stanca, non si annoia, e ricomincia di notte.

Questo si chiama attacco a forza bruta: nessuna finezza, nessuna intelligenza — solo insistenza a velocità elevatissima. Il nome fa paura; il principio è sciocco come provare le porte una a una.

Da cui discende una conseguenza rassicurante: non ci si difende dall'intelligenza dell'attaccante, ci si difende dalla sua insistenza. E l'insistenza si blocca.

La soluzione: tre gesti, dal più semplice al più efficace

1. Una password lunga invece di una password complicata

Ci hanno insegnato a costruire password contorte, con simboli e cifre al posto delle lettere. È faticoso da ricordare, e non è ciò che protegge meglio.

Ciò che conta di più è la lunghezza. Una frase intera — quattro o cinque parole che non c'entrano nulla l'una con l'altra, che solo lei associa — resiste meglio e si ricorda senza sforzo. Una password che si ricorda è una password che non si riutilizza ovunque, e questo è già moltissimo.

Punto cruciale: non usi mai sul suo sito una password che le serve altrove. Se a un altro servizio viene rubato l'elenco, il suo sito diventa accessibile senza che sia stato necessario alcun attacco.

2. Limitare il numero di tentativi

È il gesto che neutralizza l'insistenza. Il principio: dopo cinque tentativi falliti, i successivi vengono rifiutati per un certo tempo.

Un programma che deve provare migliaia di password ma ha diritto solo a cinque tentativi all'ora non può più fare nulla. Non lo abbiamo reso più stupido — gli abbiamo tolto il suo unico vantaggio, la ripetizione.

3. L'autenticazione a due fattori — quella che cambia tutto

È la più efficace delle tre, ed è la meno conosciuta.

Il principio: per entrare servono la sua password e un codice a sei cifre, che cambia ogni trenta secondi, mostrato in un'applicazione sul suo telefono.

La conseguenza è semplice da enunciare: nemmeno chi conosce la sua password entra. Gli servirebbe anche il suo telefono, fisicamente, in quel preciso istante.

Metterlo in atto richiede cinque minuti: un'applicazione di autenticazione gratuita sul suo telefono, un codice da scansionare una sola volta, e il gioco è fatto. Le applicazioni più diffuse sono gratuite e funzionano tutte allo stesso modo.

Un consiglio pratico che nessuno dà in tempo: al momento dell'attivazione, la maggior parte dei servizi mostra dei codici di recupero da conservare altrove, non nello stesso posto. Li annoti. Le serviranno il giorno in cui cambierà telefono.

Se vuole che sia attivo senza passarci la giornata

AIFORYA Login Security è un'estensione gratuita che riunisce queste protezioni: protezione dalla forza bruta, elenchi di indirizzi autorizzati o bloccati, autenticazione a due fattori (TOTP), accesso senza password tramite link inviato per e-mail, e un pannello di sicurezza.

Funziona al 100 % sul suo server, senza chiave API né servizio esterno. Compatibile con WordPress 6.0 e superiore, PHP 8.0 e superiore.