Tutto quello che vorresti sapere prima di installare.
Uno sguardo dettagliato su come funziona 2FA Google Authentificator per PrestaShop, perché l'abbiamo progettato così, e il ragionamento dietro le funzionalità qui sopra.
Perché il 2FA su PrestaShop
Il back-office PrestaShop è il bersaglio numero uno degli attacchi al tuo negozio. Una password admin compromessa (tramite phishing, fuga da un'altra app, attacco a dizionario) significa accesso diretto ai tuoi ordini, ai tuoi clienti, al tuo codice sorgente. Il 2FA aggiunge un secondo livello: anche con la password, l'attaccante non può connettersi senza il telefono. Negli ultimi sei anni, più dell'80% delle intrusioni PrestaShop documentate sarebbe stato impedito da un 2FA attivo.
Standard TOTP, niente servizio proprietario
Il modulo rispetta lo standard RFC 6238 (TOTP) — lo stesso di Google Authenticator, Authy, 1Password, Microsoft Authenticator, ecc. Questo significa che i tuoi dipendenti usano l'app di loro scelta, senza installare un'app specifica. Se la tua azienda ha già 1Password, il 2FA si aggiunge semplicemente ai segreti esistenti. Nessun servizio di terze parti, nessun costo per utente, nessuna dipendenza esterna.
Configurazione progressiva
Il 2FA può essere attivato globalmente (tutti gli admin devono usarlo) o per profilo dipendente (Super Admin obbligatorio, altri profili opzionali). Questo permette una crescita progressiva: iniziare dai profili sensibili, osservare la reazione delle squadre, poi generalizzare. Attivazione da Preferenze → 2FA Google Authentificator.
Gestire la perdita del telefono
Lo scenario «non riesco più a connettermi, ho cambiato telefono» è anticipato su due livelli. Prima rete di sicurezza: 10 codici di recupero monouso, generati all'abbinamento iniziale. Il dipendente li conserva nel suo gestore di password o stampati in cassaforte. Seconda rete di sicurezza: un Super Admin può reimpostare il 2FA di un dipendente dal suo profilo con un click. Il prossimo login chiederà di nuovo l'abbinamento iniziale con un nuovo QR code.
Sicurezza e audit
Il segreto TOTP di ogni dipendente è cifrato in AES-256 nel database — anche un accesso in sola lettura al SQL non permette di rigenerare i codici. Ogni tentativo di inserimento del codice 2FA viene loggato con successo/fallimento, dipendente, IP, data. Un numero eccessivo di fallimenti su un account attiva un blocco temporaneo automatico per rallentare gli attacchi a forza bruta.
Ancora non ci sono recensioni.