L’autenticazione a due fattori (2FA, Two-Factor Authentication) protegge un account chiedendo di dimostrare la propria identità attraverso due fattori distinti, invece di affidarsi a una sola password.
Il caso più comune è semplice: inserisci la password e poi confermi l’accesso con un secondo elemento, per esempio un codice generato da un’app Authenticator o una chiave di sicurezza. Se qualcuno scopre la password, deve quindi superare anche il secondo controllo.
C’è però una distinzione che conta molto più di quanto sembri: non tutti i sistemi 2FA offrono lo stesso livello di protezione. Un codice SMS, un codice TOTP e una chiave FIDO possono tutti rafforzare l’accesso rispetto alla sola password, ma reagiscono in modo diverso a phishing, furto del numero telefonico e altri attacchi.
Per questo non basta chiedersi se attivare la 2FA. Conviene capire quale metodo stai usando, da quale minaccia ti protegge e come recupererai l’account se perdi il secondo fattore.
Cos’è l’autenticazione a due fattori (2FA)
L’autenticazione serve a verificare che chi tenta di accedere a un account sia realmente la persona autorizzata.
Con la sola password, il sistema basa questa verifica su un unico elemento: qualcosa che conosci. Se la password viene sottratta attraverso phishing, malware, una violazione di dati o il riutilizzo della stessa credenziale su più servizi, quell’unico controllo può non essere più sufficiente.
L’autenticazione a due fattori aggiunge una seconda prova di identità appartenente a una categoria diversa.
Le linee guida NIST sull’identità digitale descrivono l’autenticazione di livello AAL2 come basata sulla prova del possesso e del controllo di due fattori distinti. Le linee guida NIST sull’autenticazione
Questo dettaglio è importante: due controlli non significano automaticamente due fattori.
I tre fattori: qualcosa che sai, possiedi o sei
Per capire la 2FA puoi partire dalle tre categorie classiche:
| Fattore | Significato | Esempi |
|---|---|---|
| Conoscenza | Qualcosa che sai | password, PIN |
| Possesso | Qualcosa che hai | smartphone, token, chiave di sicurezza |
| Inerenza | Qualcosa che sei | impronta digitale, riconoscimento biometrico |
Password + smartphone, per esempio, combinano conoscenza e possesso.
Una carta fisica + PIN combina invece possesso e conoscenza.
Due password differenti, al contrario, restano entrambe fattori di conoscenza: aggiungono un secondo passaggio, ma non costituiscono due fattori distinti nel senso rigoroso del termine.
Anche la biometria richiede qualche precisazione. Impronta e volto vengono spesso descritti semplicemente come “qualcosa che sei”, ma nei sistemi moderni possono servire soprattutto a sbloccare localmente una credenziale crittografica conservata sul dispositivo. NIST, per esempio, non considera la caratteristica biometrica un autenticatore autonomo: la abbina a un autenticatore fisico.
La distinzione può sembrare tecnica, ma evita un errore frequente: contare schermate, codici o gesti invece di chiedersi quali prove indipendenti dell’identità vengono realmente utilizzate.
Due passaggi non significano sempre due fattori
“Autenticazione a due fattori” e “verifica in due passaggi” vengono spesso utilizzate come espressioni equivalenti nelle interfacce dei servizi online. Nell’uso quotidiano non è necessariamente un problema, ma concettualmente descrivono cose differenti.
Una procedura in due passaggi dice quante fasi attraversi.
La 2FA dice invece quanti fattori indipendenti utilizzi.
Immagina un sistema che prima ti chiede una password e poi una seconda password. Hai compiuto due passaggi, ma hai utilizzato due volte la stessa categoria di fattore: conoscenza.
Password + codice prodotto da un autenticatore registrato, invece, può combinare conoscenza e possesso.
Questa differenza diventa ancora più importante quando devi confrontare 2FA, MFA, OTP e passkey: guardare soltanto il numero delle schermate di login porta facilmente a classificazioni sbagliate.
Come funziona la 2FA, passo per passo
Il funzionamento dipende dal servizio e dal tipo di autenticatore, ma il modello più conosciuto parte da una password.
Inserisci nome utente e password. Se le credenziali sono corrette e per l’account è configurata l’autenticazione a due fattori, il servizio non crea immediatamente una sessione completa: richiede anche la seconda prova.
Potrebbe chiederti, per esempio, un codice generato dall’app Authenticator, un codice ricevuto su un canale registrato oppure l’utilizzo di una chiave di sicurezza.
Solo dopo la verifica dei fattori richiesti viene completata l’autenticazione.
Il vantaggio rispetto alla sola password è intuitivo: la compromissione di un fattore non dovrebbe bastare da sola per impersonarti.
Questo non significa, però, che il secondo fattore sia invulnerabile. La reale efficacia dipende dal metodo utilizzato e dal tipo di attacco.
Esempio: password e codice TOTP
Un esempio comune è la combinazione password + TOTP (Time-Based One-Time Password).
Durante l’attivazione, il servizio e l’app Authenticator condividono una chiave segreta. L’app usa quel segreto insieme al tempo per calcolare codici monouso che cambiano periodicamente.
Quando effettui il login:
- inserisci la password;
- il servizio richiede il codice temporaneo;
- apri l’app Authenticator;
- inserisci il codice visualizzato;
- il server calcola il valore atteso e verifica se corrisponde.
Il codice ha quindi una durata limitata e non viene riutilizzato come una normale password.
Questo protegge bene da diversi scenari in cui un aggressore possiede soltanto la password. Non rende però il login automaticamente resistente al phishing: se inserisci volontariamente password e codice TOTP in una pagina falsa controllata dall’attaccante, quest’ultimo può tentare di inoltrarli in tempo reale al servizio autentico.
NIST specifica infatti che l’autenticazione OTP con inserimento manuale non è considerata phishing-resistant. NIST SP 800-63B sugli autenticatori e sulla resistenza al phishing
Questo è uno dei punti più importanti dell’intera guida: monouso non significa automaticamente anti-phishing.
2FA, MFA e verifica in due passaggi: quali differenze ci sono
2FA e MFA vengono spesso accostate perché appartengono alla stessa famiglia, ma non sono sinonimi perfetti.
| Termine | Cosa descrive | Esempio |
|---|---|---|
| 2FA | Due fattori distinti | password + autenticatore |
| MFA | Due o più fattori | password + token + biometria, quando l’architettura li usa come fattori effettivi |
| Verifica in due passaggi | Due fasi di verifica | può coincidere o meno con una vera 2FA |
| OTP | Un tipo di output monouso | codice TOTP o altro codice temporaneo |
| Passkey | Credenziale crittografica FIDO/WebAuthn | accesso tramite dispositivo e verifica locale |
La 2FA è quindi una forma specifica di autenticazione multifattoriale: richiede esattamente due fattori. MFA è il termine più ampio.
OTP, invece, non descrive da solo il numero di fattori. Un OTP può essere una componente del processo di autenticazione, ma la classificazione complessiva dipende da come viene utilizzato.
Anche una passkey non va automaticamente definita “il secondo fattore”. Una passkey può essere usata in configurazioni diverse: come autenticatore dopo una password, oppure come meccanismo di accesso che sostituisce interamente il tradizionale schema password + OTP.
È proprio per questo che contare le schermate è meno utile che capire che tipo di autenticatore sta verificando il servizio.
Quali metodi di autenticazione a due fattori esistono
Nelle impostazioni di sicurezza di un account puoi incontrare metodi molto differenti. Tutti possono comparire in flussi di autenticazione a più fattori, ma non hanno le stesse proprietà.
La prima domanda da farti non dovrebbe essere “qual è il più comodo?”, ma “quale attacco riesce a fermare?”.
Codici SMS
Con la 2FA via SMS il servizio invia un codice temporaneo al numero telefonico registrato. Dopo la password devi inserire quel codice per completare l’accesso.
È un sistema semplice da comprendere e ampiamente accessibile. Se l’alternativa è utilizzare soltanto una password, aggiungere un secondo controllo può aumentare la protezione.
Il limite è il canale telefonico.
Il numero può essere coinvolto in attacchi di SIM swap o portabilità fraudolenta; inoltre il codice può essere sottratto attraverso phishing. Le linee guida NIST classificano l’uso della rete telefonica pubblica per l’autenticazione out-of-band come un autenticatore soggetto a restrizioni, per il quale vanno considerate alternative più robuste quando disponibili. Requisiti NIST per l’autenticazione out-of-band
La conseguenza pratica è semplice: non disattiverei una 2FA SMS per tornare alla sola password, ma se il servizio consente TOTP o, ancora meglio, autenticazione FIDO/WebAuthn, valuterei il passaggio a una soluzione più robusta.
App Authenticator e codici TOTP
Le applicazioni Authenticator possono generare codici temporanei direttamente sul dispositivo, senza dipendere dall’arrivo di un SMS.
Google Authenticator, Microsoft Authenticator e altre app compatibili con TOTP sono esempi comuni.
Rispetto agli SMS viene eliminata una parte dell’esposizione associata alla rete telefonica e alla gestione del numero. Il codice viene generato a partire da un segreto associato all’autenticatore.
Rimane tuttavia il problema del phishing in tempo reale: un codice TOTP è progettato per essere temporaneo e monouso, non per riconoscere automaticamente il sito a cui lo stai consegnando.
Se una pagina fraudolenta ti convince a inserire password e OTP e inoltra immediatamente quei valori al vero servizio, la breve durata del codice non basta necessariamente a fermare l’attacco.
TOTP resta quindi una buona scelta pratica quando il servizio non offre un metodo phishing-resistant, ma non rappresenta il livello massimo di protezione.
Notifiche push e number matching
Alcuni sistemi inviano una richiesta all’app registrata e ti chiedono di approvare il login.
L’esperienza è più comoda rispetto alla digitazione di un codice, ma un semplice pulsante “Approva” può creare un altro problema: l’utente può autorizzare una richiesta che non ha iniziato.
Questo fenomeno viene spesso associato alla MFA fatigue: l’attaccante genera ripetutamente richieste nella speranza che la vittima ne approvi una per distrazione o per far cessare le notifiche.
Il number matching riduce questo rischio chiedendo di confrontare o trasferire un valore mostrato durante il login, collegando più chiaramente la conferma alla sessione che stai effettivamente aprendo.
Le linee guida NIST correnti tengono conto proprio del rischio di authentication fatigue, mentre CISA raccomanda, quando FIDO/WebAuthn non è disponibile, di considerare implementazioni più robuste come il number matching rispetto alle semplici approvazioni push. Le indicazioni CISA sull’autenticazione multifattoriale
La regola per l’utente è ancora più semplice: se ricevi una richiesta di autenticazione che non hai provocato tu, non approvarla.
Chiavi di sicurezza FIDO2 e WebAuthn
Con FIDO2/WebAuthn cambia il meccanismo.
Invece di chiederti di leggere un codice da un dispositivo e copiarlo dentro una pagina, il browser e l’autenticatore partecipano a un protocollo crittografico collegato al servizio corretto.
La chiave privata resta sotto il controllo dell’autenticatore; il servizio conserva la parte pubblica necessaria a verificare la risposta.
Uno dei vantaggi principali è il binding al dominio del servizio. Una pagina di phishing su un dominio differente non può semplicemente chiederti un codice valido e riutilizzarlo sul sito reale come accade con un OTP inserito manualmente.
NIST cita WebAuthn come esempio di tecnologia che può fornire phishing resistance attraverso il legame con il nome del verifier. CISA indica FIDO/WebAuthn come riferimento ampiamente disponibile per l’autenticazione resistente al phishing. Specifiche di autenticazione FIDO
Le chiavi possono essere dispositivi fisici esterni, ma lo stesso ecosistema tecnologico comprende anche autenticatori integrati nei computer e negli smartphone.
Biometria: quando rappresenta davvero un secondo fattore
“Uso l’impronta, quindi ho la 2FA” è una conclusione troppo rapida.
La biometria descrive come dimostri una caratteristica personale, ma bisogna capire cosa sta realmente succedendo nel processo di autenticazione.
Su molti dispositivi Face ID, riconoscimento del volto o impronta non vengono inviati al sito come una sorta di “password biometrica”. La verifica avviene localmente e può servire per autorizzare l’utilizzo di una credenziale crittografica custodita dal dispositivo.
Questa architettura è molto diversa dall’immaginare un database remoto che confronta semplicemente la tua impronta.
NIST sottolinea infatti che la caratteristica biometrica non è considerata un autenticatore autonomo e la utilizza in combinazione con un autenticatore fisico.
Per l’utente conta soprattutto una cosa: quando un servizio parla genericamente di “biometria”, non dedurre il livello di sicurezza dal nome della funzione. Conta il protocollo con cui quella biometria autorizza l’accesso.
Quale metodo 2FA è più sicuro?
Non esiste una classifica universale indipendente dallo scenario, perché disponibilità, recovery, dispositivo e livello di rischio cambiano da un account all’altro.
Possiamo però distinguere chiaramente la resistenza al phishing, che è uno dei criteri più importanti per gli account esposti ad attacchi mirati.
| MetodoMetodo | Phishing-resistant | Limite principale | Valutazione pratica |
|---|---|---|---|
| SMS / chiamata | No | phishing, SIM swap, rete telefonica | utile se non esistono alternative migliori |
| TOTP da app | No | phishing in tempo reale | buona baseline molto diffusa |
| Push semplice | Non necessariamente | MFA fatigue e approvazioni errate | dipende dall’implementazione |
| Push con verifica contestuale / number matching | Non equivale automaticamente a FIDO | resta dipendente dal protocollo | preferibile al push cieco |
| FIDO2 / WebAuthn | Sì, se implementato correttamente | disponibilità e recovery | scelta forte per account sensibili |
| Passkey | Progettata per esserlo | recovery e compatibilità del servizio | spesso la scelta più interessante dove disponibile |
Questa tabella non significa che un metodo “No” sia inutile.
Password + TOTP rimane generalmente una difesa molto più sensata della sola password. Il punto è un altro: non bisogna confondere l’aggiunta di un secondo fattore con l’eliminazione di tutte le classi di attacco.
Perché un codice OTP può ancora essere rubato con il phishing
Immagina di ricevere un’email che imita perfettamente il tuo provider.
Apri il link, raggiungi una pagina falsa e inserisci password e codice TOTP.
Dietro quella pagina, l’aggressore può tentare di aprire contemporaneamente il sito vero e inoltrare le credenziali appena ricevute.
L’OTP scade rapidamente, ma in questo caso l’attaccante non ha bisogno di conservarlo per giorni: deve utilizzarlo mentre è ancora valido.
Per questo NIST afferma che gli autenticatori che richiedono l’inserimento manuale dell’output, compresi OTP e alcuni metodi out-of-band, non sono considerati phishing-resistant, perché l’output non è necessariamente legato alla specifica sessione che stai autenticando.
La protezione più forte contro questo tipo di relay nasce quando il protocollo stesso riconosce il servizio legittimo, invece di affidarsi soltanto alla capacità dell’utente di distinguere la pagina vera da quella falsa.
Se vuoi approfondire le tecniche con cui vengono costruite pagine e messaggi fraudolenti, nella guida su come riconoscere il phishing e cosa fare dopo un clic sospetto trovi il problema analizzato dal lato dell’attacco.
Cosa significa realmente phishing-resistant
“Resistente al phishing” non significa che una tecnologia impedisce ogni forma di truffa, furto del dispositivo o compromissione dell’endpoint.
Significa più precisamente che il protocollo di autenticazione è progettato per impedire che un falso servizio ottenga un segreto o un output valido e lo riutilizzi verso il vero servizio, senza dipendere dalla capacità dell’utente di accorgersi dell’inganno.
NIST descrive questa proprietà come phishing resistance e indica WebAuthn come esempio di protocollo che può ottenerla tramite il binding al nome del verifier.
FIDO utilizza crittografia a chiave pubblica per associare le credenziali al servizio per cui sono state create. La documentazione FIDO sulle specifiche di autenticazione
È una differenza strutturale rispetto a un codice che puoi leggere e digitare liberamente in qualunque form sembri credibile.
2FA e passkey: sono la stessa cosa?
No.
L’autenticazione a due fattori descrive una proprietà del processo di autenticazione: vengono verificati due fattori distinti.
Una passkey è invece una credenziale crittografica basata sull’ecosistema FIDO/WebAuthn.
Le due cose possono incontrarsi, ma non sono sinonimi.
Una passkey può essere utilizzata in un account che mantiene anche password e altri metodi di verifica, oppure può diventare il principale sistema di accesso senza la classica sequenza “password, poi codice”.
Dal punto di vista dell’utente la passkey viene spesso autorizzata con PIN, impronta o riconoscimento del volto del dispositivo. Dietro questa interazione c’è però una coppia di chiavi crittografiche e non un codice segreto da copiare nel sito.
È proprio questa differenza che rende FIDO interessante contro il phishing.
FIDO Alliance descrive le passkey come credenziali basate su crittografia a chiave pubblica progettate per offrire autenticazione resistente al phishing. FIDO Alliance sulle passkey
Se vuoi capire nel dettaglio cosa viene salvato sul dispositivo, cosa conosce il server e cosa accade durante il login, abbiamo dedicato una guida specifica a cosa sono le passkey e come funzionano.
La scelta editoriale importante è quindi questa: non pensare alle passkey come a un semplice codice 2FA più moderno. È un modello di autenticazione differente.
Come attivare la 2FA senza rischiare di perdere l’accesso
Attivare l’autenticazione a due fattori senza preparare il recupero può trasformare una misura di sicurezza in un problema operativo.
Prima di confermare l’attivazione, verifica quali metodi supporta il servizio e quali procedure utilizza quando perdi l’autenticatore.
Quando puoi scegliere, partirei dal metodo più robusto compatibile con il tuo account e i tuoi dispositivi. Se sono disponibili passkey o FIDO/WebAuthn e il recovery è adeguato, meritano una valutazione prioritaria. Se non lo sono, un’app TOTP è spesso una soluzione pratica. Se l’unica alternativa alla password è SMS, utilizzerei comunque il secondo fattore invece di rinunciarvi.
Poi configura il recupero.
I codici di backup non devono essere lasciati nello stesso posto in cui una compromissione renderebbe inutile la protezione. Se il servizio consente di registrare più autenticatori, può essere sensato predisporre un secondo metodo indipendente.
NIST raccomanda ai servizi di favorire la disponibilità di più modalità di autenticazione e prevede procedure specifiche di account recovery; per i recovery code salvati indica anche la conservazione offline in modo sicuro. Linee guida NIST su binding e recupero degli autenticatori
Un’impostazione ben progettata deve rispondere a due domande contemporaneamente:
come impedisco a un estraneo di entrare?
e
come dimostro di essere io quando perdo il dispositivo?
Ignorare la seconda significa spostare il rischio dall’account takeover al lockout.
Cosa fare se perdi il telefono o il secondo fattore
La prima cosa da evitare è improvvisare quando il dispositivo è già perso.
Se hai predisposto correttamente il recovery, usa un secondo autenticatore registrato, una chiave di sicurezza di backup o uno dei codici di recupero previsti dal servizio.
Una volta rientrato nell’account, revoca o rimuovi l’autenticatore che non controlli più, soprattutto se il telefono è stato perso o rubato, e registra il sostituto seguendo la procedura ufficiale della piattaforma.
Se non possiedi alcun metodo alternativo, dovrai utilizzare il recupero account messo a disposizione dal provider. La procedura può richiedere verifiche ulteriori e non è identica per tutti i servizi.
Diffida invece di chi ti chiede di comunicare password, codici OTP o recovery code fuori dal flusso ufficiale. Un codice di recupero è una credenziale estremamente sensibile: chi riesce a utilizzarlo può aggirare proprio il fattore che stai cercando di ripristinare.
Un altro dettaglio da non trascurare riguarda il cambio di smartphone. Non aspettare di cancellare o cedere il vecchio dispositivo per verificare che l’autenticatore sia disponibile sul nuovo. La migrazione dovrebbe essere conclusa e testata prima di perdere definitivamente l’accesso al dispositivo precedente.
Su quali account conviene attivare subito la 2FA
Non tutti gli account hanno lo stesso impatto, quindi partirei da quelli che possono diventare la chiave per comprometterne altri.
L’email viene prima di molti servizi secondari perché spesso riceve link di reset, notifiche e messaggi di recupero. Subito dopo vengono password manager, account cloud, profili con privilegi amministrativi, strumenti di lavoro, social utilizzati professionalmente e servizi che gestiscono informazioni economiche o personali sensibili.
Per un sito web vale lo stesso principio.
L’account amministratore non controlla soltanto alcuni contenuti: può modificare utenti, plugin, impostazioni e parti rilevanti dell’infrastruttura applicativa.
Per WordPress abbiamo mantenuto volutamente separato l’intento operativo: nella guida dedicata trovi come implementare l’autenticazione a due fattori su WordPress, mentre l’approccio più ampio alla protezione del CMS è sviluppato nella nostra guida alla sicurezza WordPress.
La separazione è utile: qui il problema è scegliere e capire l’autenticazione; nel tutorial WordPress il problema è implementarla correttamente sul CMS.
Limiti ed errori comuni della 2FA
L’autenticazione a due fattori riduce il rischio legato alla compromissione di un singolo elemento, ma non deve diventare una falsa sensazione di invulnerabilità.
Pensare che qualsiasi 2FA impedisca il phishing
È probabilmente l’errore più importante.
SMS e TOTP possono impedire a chi possiede soltanto la tua password di accedere direttamente all’account. Non impediscono però per definizione che tu consegni volontariamente password e codice a un sito fraudolento.
Per account particolarmente esposti, il criterio da aggiungere è quindi la resistenza al phishing del protocollo, non soltanto la presenza di un secondo passaggio.
Preferire SMS quando è disponibile un metodo più robusto
SMS può essere meglio della sola password, ma non dovrebbe diventare automaticamente la prima scelta quando il provider mette a disposizione alternative più forti.
NIST considera l’autenticazione out-of-band tramite rete telefonica una modalità soggetta a restrizioni; CISA invita a pianificare il passaggio verso FIDO/WebAuthn quando possibile. La gerarchia MFA indicata da CISA
La decisione corretta non è quindi “SMS è inutile”, ma “non fermarti a SMS se puoi adottare una protezione migliore senza compromettere il recovery”.
Approvare automaticamente le notifiche push
Una richiesta push è una richiesta di accesso.
Se non stai tentando di autenticarti in quel momento, non esiste una buona ragione per approvarla. Molte richieste consecutive sono semmai un segnale da trattare con attenzione.
Dove possibile, preferisci meccanismi che associano in modo più chiaro l’approvazione alla sessione che hai iniziato, per esempio verificando il contesto o un valore visualizzato durante l’accesso.
Trascurare recovery e backup
Un sistema molto robusto con un recovery debole può perdere buona parte del vantaggio.
Se l’account permette di bypassare una passkey attraverso un processo di recupero facilmente abusabile, l’attaccante potrebbe concentrarsi proprio sul canale più debole.
FIDO Alliance richiama esplicitamente l’importanza del recovery nel percorso verso autenticazioni realmente resistenti al phishing: la sicurezza del login e quella del recupero non possono essere valutate come due problemi indipendenti. FIDO sul rapporto tra passkey e account recovery
Il recovery non è quindi il piano B della sicurezza. Fa parte del sistema di autenticazione complessivo.
Credere che due password siano due fattori
Una password seguita da un PIN remoto non diventa automaticamente 2FA solo perché vengono inseriti due valori.
Se entrambi sono semplicemente segreti memorizzati dall’utente e verificati come fattori di conoscenza, manca la diversità che caratterizza l’autenticazione multifattoriale.
Lo stesso errore si verifica quando si definisce “fattore” qualsiasi QR code o link incontrato durante la configurazione. Un QR code può servire per associare un autenticatore o trasferire informazioni: il fatto che compaia in una procedura non lo rende una categoria di autenticazione.
Conclusione
L’autenticazione a due fattori è una delle misure più utili quando vuoi evitare che una password compromessa sia sufficiente ad aprire un account. La parte veramente importante, però, inizia dopo aver deciso di attivarla.
Non tutte le 2FA proteggono dalle stesse minacce.
Se puoi scegliere, valuta il metodo in questo ordine logico: prima la resistenza agli attacchi che ti interessano, poi la facilità con cui puoi recuperare l’account, quindi la comodità quotidiana.
SMS può ancora essere preferibile alla sola password quando non esistono alternative. TOTP rappresenta una soluzione pratica e diffusa, ma resta suscettibile al phishing in tempo reale. FIDO2, WebAuthn e le passkey cambiano invece il modello perché possono legare crittograficamente l’autenticazione al servizio corretto.
La configurazione migliore non è quindi quella che aggiunge semplicemente “un codice in più”. È quella in cui i fattori sono realmente distinti, il protocollo è adeguato al rischio e il recupero dell’account è stato progettato prima di averne bisogno.
Se stai proteggendo un sito WordPress, il passo successivo non è ripetere tutta questa teoria nel pannello di amministrazione: è scegliere come applicarla agli account del CMS. Puoi partire dalla guida specifica sulla 2FA per WordPress; se invece devi intervenire su configurazione, sicurezza e manutenzione del sito nel suo insieme, trovi anche il nostro servizio di assistenza WordPress.