Accedi al pannello di amministrazione del tuo sito e vedi decine di tentativi di accesso falliti da IP diversi. I bot di forza bruta non dormono mai: provano password 24 ore su 24, 7 giorni su 7, e la classica combinazione «nome utente + password» ha smesso di essere un lucchetto affidabile molto tempo fa. Basta una password trapelata o indovinata e il sito non è più tuo.

Esiste una soluzione, ed è gratuita. L'autenticazione a due fattori tramite Google Authenticator aggiunge una seconda linea di difesa: anche se la password viene compromessa, un malintenzionato non potrà accedere senza un codice monouso dal tuo telefono. Oggi ti mostro come attivare questa protezione su WordPress in 10 minuti, passo dopo passo, con screenshot di ogni fase.

💡 Panoramica rapida:

• Installa il plugin Google Authenticator dal repository di WordPress.org.
• Configura la chiave segreta o scansiona un codice QR nell'app sul tuo smartphone.
• Attiva la verifica a due fattori per il tuo utente e per chiunque abbia bisogno di una protezione avanzata.
• Al prossimo accesso, il sistema richiederà un codice a 6 cifre dall'app.

1. Installazione del plugin Google Authenticator

Il plugin Google Authenticator, gratuito e open source, si trova nel repository ufficiale di WordPress.org. Al momento in cui scrivo, la versione corrente è la 0.55, testata fino a PHP 8.5. Il plugin è attivamente mantenuto: l'ultimo aggiornamento ha aggiunto la compatibilità con le versioni moderne di PHP e la recensione più recente su WordPress.org è datata aprile 2026.

Per installarlo, vai a Bacheca di WordPress → Plugin → Aggiungi nuovo.

Nella barra di ricerca, digita google authenticator. Il primo risultato è quello che ti serve: un plugin con quello stesso scudo verde sull'icona, autore indicato come Ivan (l'attuale maintainer; originariamente il plugin fu creato da Henrik Schack, che ha passato il progetto alla comunità).

Clicca «Installa ora», attendi il decompattamento e clicca Attiva.

Il plugin non ha una voce propria nella barra laterale della bacheca. Tutte le impostazioni sono legate al profilo di uno specifico utente, una scelta deliberata: ogni utente del sito attiva la 2FA per il proprio account separatamente.

2. Configurazione delle impostazioni di autenticazione a due fattori

Vai a Utenti → Il tuo profilo e scorri fino alla sezione Impostazioni Google Authenticator. Ecco cosa vedrai:

Analizziamo ogni campo.

Descrizione. Questo testo apparirà nell'app Google Authenticator accanto al codice. Se hai più siti e servizi collegati nell'app, una descrizione chiara ti evita confusione. Il nome del sito è sufficiente, ad esempio MyBlog o ThinkingTeapot.

Modalità rilassata. Per impostazione predefinita, il codice a 6 cifre ha una validità di un minuto. La Modalità rilassata estende la finestra a quattro minuti in entrambe le direzioni, utile se gli orologi del server e del telefono a volte divergono. Nella mia esperienza, una differenza di un paio di secondi non è rara; questa modalità elimina il problema senza ridurre in modo critico la sicurezza.

Segreto. Necessario se vuoi aggiungere l'account all'app manualmente, senza scansionare un codice QR. Per usare la chiave: apri Google Authenticator sul telefono → Menu → Aggiungi account → Inserisci chiave. Ma c'è un modo più semplice.

Codice QR. La strada consigliata e più veloce. Clicca Mostra/Nascondi codice QR:

Ora prendi il telefono.

3. Collegamento dello smartphone tramite codice QR

Apri Google Authenticator sul telefono (Android o iPhone, l'app è gratuita su Google Play e App Store). Tocca + o Configura account:

Seleziona Scansiona un codice a barre e inquadra con la fotocamera il codice QR sullo schermo. Il riconoscimento richiede un secondo o due.

Fatto: il sito compare nell'elenco degli account collegati dell'app, i codici monouso vengono generati ogni 30 secondi. Non resta che attivare la verifica lato WordPress.

4. Attivazione e prima verifica

Torna alle impostazioni del tuo profilo. Spunta la casella Attivo, è la casella che abilita la richiesta obbligatoria del codice al momento dell'accesso. Finché non è spuntata, la 2FA non funziona, non importa quanti codici QR scansioni.

Password per app. Questa opzione crea una password lunga separata per l'accesso tramite XML-RPC, un protocollo obsoleto che le integrazioni moderne non usano praticamente mai. La REST API di WordPress ha completamente sostituito XML-RPC e le app mobile funzionano da tempo tramite Password per applicazioni (una funzionalità core da WordPress 5.6). Se non sai esattamente perché ti serve XML-RPC, lascia disabilitata l'opzione Password per app. È un buco inutile.

Il tocco finale: il pulsante Aggiorna profilo in fondo alla pagina. Senza cliccarlo, nessuna impostazione verrà salvata.

Ora la parte interessante, la verifica. Esci dal tuo account e apri di nuovo la pagina di accesso:

Il modulo di accesso standard ora include un campo Codice Google Authenticator. Inserisci nome utente e password, apri l'app sul telefono, copia le 6 cifre e sei nel pannello di amministrazione. Niente SMS, niente codici email, nessun ritardo.

📹 Video: collegare Google Authenticator a WordPress in 3 minuti

Se preferisci guardare piuttosto che leggere, ecco un breve video con una dimostrazione dal vivo dell'intero processo, dall'installazione del plugin al primo accesso con 2FA:

⁉️🤔 Domande frequenti

Cosa fare se si perde il telefono e la 2FA è attiva?

Accedi al server via FTP o SSH ed elimina la cartella del plugin, wp-content/plugins/google-authenticator. Fatto questo, l'accesso con nome utente e password sarà ripristinato. Subito dopo aver effettuato l'accesso, reinstalla il plugin e collega un nuovo telefono. Per il futuro: annota la chiave segreta su carta e conservala in un luogo sicuro, è il tuo accesso di emergenza. Se non hai accesso FTP, contatta il tuo provider di hosting: il supporto sa come disabilitare i plugin tramite il file manager o WP-CLI (wp plugin deactivate google-authenticator).

Perché il codice dell'app non viene accettato durante l'accesso?

Il motivo è quasi sempre lo stesso: desincronizzazione dell'orario. Google Authenticator usa TOTP, Time-based One-Time Password, dove il codice è legato all'ora esatta. Gli orologi del server e del telefono devono coincidere entro 30 secondi. Su dispositivi Android, il problema si risolve con l'app ClockSync. La seconda opzione è attivare la Modalità rilassata nelle impostazioni del plugin: estende la finestra consentita a quattro minuti.

Si può usare un solo telefono per più siti WordPress?

Sì. Nell'app Google Authenticator puoi aggiungere un numero illimitato di account. Ogni sito ha la propria riga con un codice a 6 cifre separato, non si sovrappongono né entrano in conflitto. La Descrizione nelle impostazioni serve proprio a non confondere i progetti.

Google Authenticator non può fare backup. Esistono alternative?

Sì, ed è un miglioramento sensato. Authy, un'app gratuita con sincronizzazione cloud: cambi telefono, ripristini l'accesso a tutti gli account con una password. Anche 1Password e LastPass hanno generatori TOTP integrati. E per chi ha bisogno di protezione hardware, c'è YubiKey, una chiave fisica che supporta lo standard FIDO U2F. Non genera codici ma conferma l'accesso con un tocco ed è impossibile da falsificare da remoto.

L'autenticazione a due fattori serve se ho un sito piccolo?

Sì. I bot di forza bruta non si curano delle dimensioni del sito, scansionano internet per intervalli di IP e attaccano tutto indiscriminatamente. Un sito piccolo senza 2FA viene violato non meno frequentemente di uno grande, solo che il proprietario se ne accorge più tardi. Installare Google Authenticator richiede 10 minuti. Costa meno che ripristinare un sito da un backup.

Autenticazione a due fattori: cosa installare su WordPress nel 2026

Google Authenticator per WordPress è una soluzione minimalista, affidabile e gratuita. Risolve esattamente un compito: aggiunge un codice TOTP al login standard. Nessuna impostazione superflua, compatibilità con le versioni moderne di PHP, codice open source su WordPress.org. Per un blog personale, il sito di una piccola azienda o un portfolio, è la scelta ideale.

Se il sito accetta pagamenti, memorizza dati utente o semplicemente non può permettersi tempi di inattività, valuta plugin più ricchi di funzionalità come WP 2FA o miniOrange. Questi aggiungono codici di backup, criteri per la 2FA obbligatoria per determinati ruoli e supporto per più metodi di autenticazione simultaneamente. Ma per il 90% dei siti WordPress, ciò che offre Google Authenticator è più che sufficiente.

Installa il plugin oggi. Dieci minuti e i bot di forza bruta non sono più i benvenuti qui.