Passkey e accesso sicuro
Nella pagina Account, riquadro Accesso sicuro, ogni utente (amministratore, rivenditore o cliente) può proteggere il proprio accesso con le passkey, con un'app di autenticazione e con i codici di recupero.
Passkey
Una passkey è una chiave che resta sul tuo dispositivo: Face ID o Touch ID sul Mac e sull'iPhone, Windows Hello, il telefono Android, un gestore di password (1Password, Bitwarden) o una chiave di sicurezza USB/NFC. Non si può indovinare né rubare con una pagina falsa, perché funziona solo sull'indirizzo vero del pannello.
- Aggiungi una passkey e dalle un nome per riconoscerla. Puoi averne più di una (per esempio computer e telefono): è consigliato, così se ne perdi una entri con l'altra.
- Nella pagina di accesso Accedi con una passkey entra senza password: il browser propone gli account che conosce e chiede il PIN o l'impronta.
- Le passkey funzionano quando il pannello è aperto con il suo nome (per esempio
https://pannello.example.com:8443), non con l'indirizzo IP: imposta il nome in Certificato del pannello. Una passkey vale per il nome con cui l'hai creata.
App di autenticazione
Con Configura l'app inquadri un codice QR con Google Authenticator, Microsoft Authenticator, 1Password, Bitwarden o un'app simile; poi scrivi il codice di 6 cifre per confermare. Da quel momento, dopo la password, il pannello chiede il codice che l'app mostra (cambia ogni 30 secondi e vale una volta sola).
Il secondo passaggio
Quando hai almeno una passkey o l'app attiva, la password da sola non basta più: dopo la password il pannello chiede la passkey oppure il codice dell'app. I tentativi sbagliati vengono limitati come quelli della password.
Codici di recupero
Con il primo metodo il pannello mostra 10 codici di recupero, una sola volta: salvali in un gestore di password o su carta. Ognuno vale una volta e sostituisce passkey e app se li perdi. Nuovi codici li rigenera (i vecchi smettono di funzionare). Per rimuovere una passkey, l'app o rigenerare i codici il pannello chiede di nuovo la password.
Se perdi tutto
- Un amministratore (o il rivenditore per i suoi clienti) apre l'account in Account e preme Azzera accesso sicuro: passkey, app e codici vengono rimossi e l'utente entra di nuovo con la password.
- Per un amministratore, dal server:
panel-agent user reset-mfa <nome>.
I link di accesso generati dal pannello (per esempio da WHMCS o dal passaggio tra server collegati) restano validi: sono già un accesso verificato.