{"id":19219,"date":"2026-08-10T11:21:51","date_gmt":"2026-08-10T09:21:51","guid":{"rendered":"https:\/\/xlogic.org\/blog\/?p=19219"},"modified":"2026-08-10T11:21:51","modified_gmt":"2026-08-10T09:21:51","slug":"passkey-wordpress-nel-2026","status":"publish","type":"post","link":"https:\/\/xlogic.org\/blog\/passkey-wordpress-nel-2026.html\/","title":{"rendered":"Passkey WordPress nel 2026: Guida Definitiva per Proteggere wp-admin Senza Password"},"content":{"rendered":"<p><strong>Passkey WordPress nel 2026<\/strong> significa poter proteggere l&#8217;accesso a wp-admin utilizzando tecnologie moderne come WebAuthn, Touch ID, Face ID, Windows Hello e chiavi di sicurezza hardware, riducendo la dipendenza dalle tradizionali password.<\/p>\n<p>Le passkey sono progettate per offrire un&#8217;autenticazione pi\u00f9 semplice e resistente al phishing. Google le descrive come un&#8217;alternativa pi\u00f9 sicura e semplice alle password, utilizzabile tramite impronta digitale, riconoscimento facciale, PIN o blocco schermo del dispositivo.<\/p>\n<p>Su WordPress il supporto alle passkey pu\u00f2 essere implementato tramite plugin compatibili con WebAuthn.<\/p>\n<p>In questa guida vediamo come funzionano, quali vantaggi offrono e come utilizzarle correttamente per aumentare la sicurezza di WordPress.<\/p>\n<hr \/>\n<h2>Cosa sono le passkey?<\/h2>\n<p>Una <strong>passkey<\/strong> \u00e8 una credenziale digitale utilizzata per autenticarsi a un sito o a un&#8217;applicazione senza dover digitare la tradizionale password.<\/p>\n<p>Al posto della password, l&#8217;utente pu\u00f2 confermare la propria identit\u00e0 utilizzando per esempio:<\/p>\n<ul>\n<li>Touch ID;<\/li>\n<li>Face ID;<\/li>\n<li>Windows Hello;<\/li>\n<li>PIN del dispositivo;<\/li>\n<li>impronta digitale;<\/li>\n<li>chiave hardware compatibile;<\/li>\n<li>sistema di sblocco dello smartphone.<\/li>\n<\/ul>\n<p>Google definisce le passkey un&#8217;alternativa pi\u00f9 sicura e semplice alle password perch\u00e9 permettono di autenticarsi utilizzando i sistemi gi\u00e0 presenti sul dispositivo.<\/p>\n<p>A differenza di una password, una passkey non viene normalmente memorizzata come una stringa segreta che l&#8217;utente deve ricordare e digitare.<\/p>\n<hr \/>\n<h2>Come funziona una passkey?<\/h2>\n<p>Le passkey utilizzano la crittografia a chiave pubblica.<\/p>\n<p>Durante la registrazione vengono create due componenti:<\/p>\n<p><strong>Chiave privata<\/strong><\/p>\n<p>Rimane protetta sul dispositivo o nel sistema utilizzato per gestire le passkey.<\/p>\n<p><strong>Chiave pubblica<\/strong><\/p>\n<p>Viene associata all&#8217;account sul servizio Web.<\/p>\n<p>Quando l&#8217;utente effettua il login, il sito invia una richiesta crittografica.<\/p>\n<p>Il dispositivo utilizza la chiave privata per dimostrare di possedere la credenziale corretta senza trasmettere la chiave privata al server.<\/p>\n<p>Questo elimina uno dei problemi principali delle password tradizionali: un segreto condiviso che pu\u00f2 essere rubato e riutilizzato.<\/p>\n<hr \/>\n<h2>Che cos&#8217;\u00e8 WebAuthn?<\/h2>\n<p><strong>WebAuthn<\/strong>, Web Authentication, \u00e8 uno standard Web utilizzato per implementare autenticazioni moderne tramite credenziali crittografiche.<\/p>\n<p>Permette ai browser e ai siti di utilizzare autenticazioni basate su:<\/p>\n<ul>\n<li>passkey;<\/li>\n<li>chiavi hardware;<\/li>\n<li>biometria;<\/li>\n<li>sistemi di sicurezza integrati nel dispositivo.<\/li>\n<\/ul>\n<p>Nel repository ufficiale dei plugin WordPress sono disponibili soluzioni che utilizzano WebAuthn per aggiungere questo tipo di autenticazione a WordPress.<\/p>\n<p>Tra queste troviamo plugin in grado di supportare:<\/p>\n<ul>\n<li>Windows Hello;<\/li>\n<li>Touch ID;<\/li>\n<li>YubiKey;<\/li>\n<li>altre security key compatibili.<\/li>\n<\/ul>\n<hr \/>\n<h2>WordPress supporta nativamente le passkey?<\/h2>\n<p>Al momento le normali installazioni WordPress non offrono automaticamente un pulsante Passkey all&#8217;interno della schermata standard di login.<\/p>\n<p>Il supporto pu\u00f2 essere aggiunto attraverso plugin dedicati a WebAuthn o all&#8217;autenticazione passwordless.<\/p>\n<p>Per esempio, il plugin <strong>WebAuthn Provider for Two Factor<\/strong> disponibile su WordPress.org aggiunge supporto a WebAuthn e passkey integrandosi con il plugin Two Factor.<\/p>\n<p>Supporta sistemi come:<\/p>\n<ul>\n<li>Windows Hello;<\/li>\n<li>Touch ID;<\/li>\n<li>YubiKey;<\/li>\n<li>security key compatibili.<\/li>\n<\/ul>\n<p>\u00c8 quindi importante distinguere tra le funzionalit\u00e0 native del Core WordPress e quelle aggiunte attraverso plugin.<\/p>\n<hr \/>\n<h2>Passkey WordPress nel 2026: perch\u00e9 sono importanti<\/h2>\n<p>WordPress \u00e8 il sistema CMS pi\u00f9 diffuso del Web e, proprio per questo, le pagine di login rappresentano un bersaglio frequente per tentativi automatizzati.<\/p>\n<p>Gli attacchi possono includere:<\/p>\n<ul>\n<li>brute force;<\/li>\n<li>credential stuffing;<\/li>\n<li>phishing;<\/li>\n<li>furto delle password;<\/li>\n<li>malware;<\/li>\n<li>riutilizzo di credenziali compromesse.<\/li>\n<\/ul>\n<p>WordPress definisce un brute force come un attacco in cui vengono provate ripetutamente combinazioni di username e password fino a trovare quella corretta.<\/p>\n<p>Le passkey modificano radicalmente questo modello perch\u00e9 il login non dipende pi\u00f9 necessariamente da una password digitabile.<\/p>\n<p>Per approfondire la situazione delle vulnerabilit\u00e0 recenti puoi leggere anche il report Xlogic sulla <a href=\"https:\/\/xlogic.org\/blog\/sicurezza-wordpress-vulnerabilita-giugno-2026.html\/\">sicurezza WordPress e le vulnerabilit\u00e0 del 2026<\/a>.<\/p>\n<hr \/>\n<h2>Passkey e password: quali sono le differenze?<\/h2>\n<p>Una password \u00e8 un&#8217;informazione conosciuta dall&#8217;utente.<\/p>\n<p>Pu\u00f2 essere:<\/p>\n<ul>\n<li>indovinata;<\/li>\n<li>rubata;<\/li>\n<li>intercettata;<\/li>\n<li>riutilizzata;<\/li>\n<li>inserita in un sito di phishing.<\/li>\n<\/ul>\n<p>Una passkey utilizza invece una coppia di chiavi crittografiche e richiede la partecipazione del dispositivo sul quale \u00e8 stata registrata o sincronizzata.<\/p>\n<table>\n<thead>\n<tr>\n<th>Caratteristica<\/th>\n<th align=\"right\">Password<\/th>\n<th align=\"right\">Passkey<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Deve essere ricordata<\/td>\n<td align=\"right\">S\u00ec<\/td>\n<td align=\"right\">No<\/td>\n<\/tr>\n<tr>\n<td>Pu\u00f2 essere digitata<\/td>\n<td align=\"right\">S\u00ec<\/td>\n<td align=\"right\">No<\/td>\n<\/tr>\n<tr>\n<td>Riutilizzabile su siti diversi<\/td>\n<td align=\"right\">Possibile<\/td>\n<td align=\"right\">No<\/td>\n<\/tr>\n<tr>\n<td>Resistenza al phishing<\/td>\n<td align=\"right\">Limitata<\/td>\n<td align=\"right\">Elevata<\/td>\n<\/tr>\n<tr>\n<td>Utilizza crittografia asimmetrica<\/td>\n<td align=\"right\">No<\/td>\n<td align=\"right\">S\u00ec<\/td>\n<\/tr>\n<tr>\n<td>Pu\u00f2 usare biometria<\/td>\n<td align=\"right\">No<\/td>\n<td align=\"right\">S\u00ec<\/td>\n<\/tr>\n<tr>\n<td>Pu\u00f2 essere protetta dal dispositivo<\/td>\n<td align=\"right\">No<\/td>\n<td align=\"right\">S\u00ec<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<hr \/>\n<h2>Perch\u00e9 le passkey sono resistenti al phishing?<\/h2>\n<p>Uno dei vantaggi pi\u00f9 interessanti di WebAuthn \u00e8 il legame tra la credenziale e il sito per il quale \u00e8 stata registrata.<\/p>\n<p>Consideriamo un esempio.<\/p>\n<p>La passkey viene creata per:<\/p>\n<p><code>https:\/\/example.com<\/code><\/p>\n<p>Un attaccante realizza un sito di phishing:<\/p>\n<p><code>https:\/\/examp1e.com<\/code><\/p>\n<p>La somiglianza visiva pu\u00f2 ingannare una persona.<\/p>\n<p>La credenziale WebAuthn, per\u00f2, non \u00e8 semplicemente una password che pu\u00f2 essere digitata nel sito falso.<\/p>\n<p>Questo rende molto pi\u00f9 difficile utilizzare una pagina di phishing tradizionale per sottrarre la credenziale di autenticazione.<\/p>\n<hr \/>\n<h2>Passkey e 2FA sono la stessa cosa?<\/h2>\n<p>Non necessariamente.<\/p>\n<p>La <strong>2FA<\/strong>, autenticazione a due fattori, utilizza due fattori distinti per verificare l&#8217;identit\u00e0 dell&#8217;utente.<\/p>\n<p>I fattori vengono generalmente classificati come:<\/p>\n<ul>\n<li>qualcosa che conosci;<\/li>\n<li>qualcosa che possiedi;<\/li>\n<li>qualcosa che sei.<\/li>\n<\/ul>\n<p>Un esempio tradizionale \u00e8:<\/p>\n<p><strong>Password + codice TOTP<\/strong><\/p>\n<p>La passkey pu\u00f2 invece sostituire completamente la password in una configurazione passwordless oppure essere utilizzata come parte di un sistema multifattore.<\/p>\n<p>La configurazione dipende dal plugin e dal sistema utilizzato.<\/p>\n<p>WordPress raccomanda l&#8217;autenticazione a due fattori come ulteriore livello di sicurezza oltre a una password forte.<\/p>\n<hr \/>\n<h2>Passkey vs password + TOTP<\/h2>\n<p>Il classico sistema TOTP funziona normalmente cos\u00ec:<\/p>\n<ol>\n<li>inserisci username;<\/li>\n<li>inserisci password;<\/li>\n<li>apri l&#8217;app autenticatore;<\/li>\n<li>leggi il codice;<\/li>\n<li>inserisci il codice sul sito.<\/li>\n<\/ol>\n<p>Con una passkey l&#8217;esperienza pu\u00f2 invece essere:<\/p>\n<ol>\n<li>seleziona l&#8217;account;<\/li>\n<li>conferma con Touch ID, Face ID o Windows Hello;<\/li>\n<li>accesso completato.<\/li>\n<\/ol>\n<table>\n<thead>\n<tr>\n<th>Metodo<\/th>\n<th align=\"right\">Password<\/th>\n<th align=\"right\">Secondo passaggio<\/th>\n<th align=\"right\">Resistenza phishing<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Password<\/td>\n<td align=\"right\">S\u00ec<\/td>\n<td align=\"right\">No<\/td>\n<td align=\"right\">Bassa<\/td>\n<\/tr>\n<tr>\n<td>Password + SMS<\/td>\n<td align=\"right\">S\u00ec<\/td>\n<td align=\"right\">S\u00ec<\/td>\n<td align=\"right\">Media<\/td>\n<\/tr>\n<tr>\n<td>Password + TOTP<\/td>\n<td align=\"right\">S\u00ec<\/td>\n<td align=\"right\">S\u00ec<\/td>\n<td align=\"right\">Buona<\/td>\n<\/tr>\n<tr>\n<td>Passkey<\/td>\n<td align=\"right\">No<\/td>\n<td align=\"right\">Integrato<\/td>\n<td align=\"right\">Elevata<\/td>\n<\/tr>\n<tr>\n<td>Security key WebAuthn<\/td>\n<td align=\"right\">Dipende<\/td>\n<td align=\"right\">Integrato<\/td>\n<td align=\"right\">Elevata<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<hr \/>\n<h2>Touch ID e WordPress<\/h2>\n<p>Su dispositivi Apple compatibili, una passkey pu\u00f2 essere confermata attraverso <strong>Touch ID<\/strong>.<\/p>\n<p>L&#8217;utente pu\u00f2 quindi utilizzare l&#8217;impronta digitale per autorizzare l&#8217;impiego della credenziale.<\/p>\n<p>Questo non significa che WordPress riceva l&#8217;impronta digitale.<\/p>\n<p>La verifica biometrica avviene sul dispositivo.<\/p>\n<p>Il sito riceve invece la prova crittografica necessaria all&#8217;autenticazione.<\/p>\n<hr \/>\n<h2>Face ID e WordPress<\/h2>\n<p>Lo stesso principio vale per <strong>Face ID<\/strong>.<\/p>\n<p>Il riconoscimento facciale viene utilizzato dal dispositivo per autorizzare l&#8217;accesso alla passkey.<\/p>\n<p>I dati biometrici non devono essere inviati al sito WordPress.<\/p>\n<p>Questo permette di separare la verifica dell&#8217;utente dalla gestione della credenziale sul server.<\/p>\n<hr \/>\n<h2>Windows Hello e WordPress<\/h2>\n<p>Windows Hello permette agli utenti Windows di autenticarsi attraverso:<\/p>\n<ul>\n<li>riconoscimento facciale;<\/li>\n<li>impronta digitale;<\/li>\n<li>PIN;<\/li>\n<li>altri sistemi compatibili.<\/li>\n<\/ul>\n<p>Plugin WordPress basati su WebAuthn possono utilizzare Windows Hello come autenticatore.<\/p>\n<p>Questo pu\u00f2 essere particolarmente utile in aziende dove gli utenti lavorano principalmente su PC Windows.<\/p>\n<hr \/>\n<h2>YubiKey e chiavi di sicurezza hardware<\/h2>\n<p>Una passkey pu\u00f2 anche essere memorizzata o gestita attraverso una <strong>security key hardware<\/strong> compatibile con FIDO2\/WebAuthn.<\/p>\n<p>Un esempio molto conosciuto \u00e8 YubiKey.<\/p>\n<p>Queste chiavi possono collegarsi attraverso:<\/p>\n<ul>\n<li>USB-A;<\/li>\n<li>USB-C;<\/li>\n<li>NFC;<\/li>\n<li>altre interfacce supportate dal modello.<\/li>\n<\/ul>\n<p>Sono particolarmente interessanti per:<\/p>\n<ul>\n<li>amministratori WordPress;<\/li>\n<li>webmaster;<\/li>\n<li>sviluppatori;<\/li>\n<li>account con privilegi elevati;<\/li>\n<li>infrastrutture aziendali.<\/li>\n<\/ul>\n<p>Una security key fisica aggiunge un ulteriore livello di separazione tra la credenziale e il computer utilizzato.<\/p>\n<hr \/>\n<h2>Come aggiungere le passkey a WordPress<\/h2>\n<p>La procedura dipende dal plugin scelto.<\/p>\n<p>In generale il processo \u00e8 questo:<\/p>\n<ol>\n<li>esegui un backup del sito;<\/li>\n<li>verifica che WordPress e PHP siano aggiornati;<\/li>\n<li>controlla che HTTPS sia attivo;<\/li>\n<li>installa un plugin WebAuthn affidabile;<\/li>\n<li>attiva il plugin;<\/li>\n<li>apri il profilo utente;<\/li>\n<li>registra un autenticatore;<\/li>\n<li>assegna un nome alla passkey;<\/li>\n<li>effettua un test;<\/li>\n<li>registra almeno un metodo di recupero alternativo.<\/li>\n<\/ol>\n<p>\u00c8 fondamentale <strong>non disattivare immediatamente tutti i metodi di login alternativi<\/strong> prima di aver verificato che la passkey funzioni correttamente.<\/p>\n<hr \/>\n<h2>HTTPS \u00e8 necessario per le passkey?<\/h2>\n<p>WebAuthn utilizza un contesto Web sicuro.<\/p>\n<p>Per un normale sito pubblico questo significa utilizzare HTTPS.<\/p>\n<p>WordPress raccomanda fortemente HTTPS anche per proteggere login e visitatori.<\/p>\n<p>Un sito WordPress moderno dovrebbe quindi utilizzare:<\/p>\n<p><code>https:\/\/<\/code><\/p>\n<p>e non:<\/p>\n<p><code>http:\/\/<\/code><\/p>\n<p>I piani <a href=\"https:\/\/xlogic.org\/hosting-wordpress\/\">Hosting WordPress Xlogic<\/a> includono certificati SSL e infrastruttura pensata per l&#8217;esecuzione di WordPress.<\/p>\n<hr \/>\n<h2>Quali plugin WordPress supportano WebAuthn?<\/h2>\n<p>Sul repository WordPress.org sono disponibili diverse soluzioni.<\/p>\n<p>Una delle opzioni \u00e8 <strong>WebAuthn Provider for Two Factor<\/strong>, che aggiunge passkey e WebAuthn al plugin Two Factor.<\/p>\n<p>Supporta:<\/p>\n<ul>\n<li>Windows Hello;<\/li>\n<li>Touch ID;<\/li>\n<li>YubiKey;<\/li>\n<li>altri authenticator WebAuthn.<\/li>\n<\/ul>\n<p>Un&#8217;altra soluzione disponibile nel repository \u00e8 <strong>WP-WebAuthn<\/strong>, che consente di autenticarsi utilizzando passkey, security key, fingerprint scanner e altri dispositivi compatibili.<\/p>\n<p>Prima di installare qualsiasi plugin di sicurezza \u00e8 comunque importante controllare:<\/p>\n<ul>\n<li>data dell&#8217;ultimo aggiornamento;<\/li>\n<li>compatibilit\u00e0 con la propria versione WordPress;<\/li>\n<li>numero di installazioni;<\/li>\n<li>changelog;<\/li>\n<li>supporto;<\/li>\n<li>vulnerabilit\u00e0 note.<\/li>\n<\/ul>\n<p>Il plugin utilizzato per proteggere il login diventa infatti una componente critica del sito.<\/p>\n<hr \/>\n<h2>Non installare un plugin soltanto perch\u00e9 promette \u201cpasswordless\u201d<\/h2>\n<p>La parola passwordless non garantisce automaticamente una buona implementazione.<\/p>\n<p>Prima di adottare un plugin verifica che utilizzi standard riconosciuti come:<\/p>\n<ul>\n<li>WebAuthn;<\/li>\n<li>FIDO2.<\/li>\n<\/ul>\n<p>Evita soluzioni che trasformano semplicemente il login in un link inviato via email quando il tuo obiettivo \u00e8 ottenere la resistenza al phishing offerta dalle passkey.<\/p>\n<p>Passwordless e passkey non sono necessariamente sinonimi.<\/p>\n<hr \/>\n<h2>Registrare almeno due authenticator<\/h2>\n<p>Per gli account amministrativi \u00e8 consigliabile evitare di dipendere da un solo dispositivo.<\/p>\n<p>Puoi registrare, per esempio:<\/p>\n<p><strong>Authenticator principale<\/strong><\/p>\n<p>MacBook con Touch ID.<\/p>\n<p><strong>Authenticator secondario<\/strong><\/p>\n<p>Security key USB conservata in un luogo sicuro.<\/p>\n<p>Oppure:<\/p>\n<p><strong>Principale<\/strong><\/p>\n<p>Windows Hello.<\/p>\n<p><strong>Backup<\/strong><\/p>\n<p>Smartphone o hardware key.<\/p>\n<p>In caso di perdita, guasto o sostituzione del dispositivo principale, rimane disponibile un secondo metodo di autenticazione.<\/p>\n<hr \/>\n<h2>Cosa succede se perdo il telefono?<\/h2>\n<p>La risposta dipende da come viene gestita la passkey.<\/p>\n<p>Alcuni ecosistemi permettono di sincronizzare le passkey attraverso l&#8217;account del dispositivo.<\/p>\n<p>Altri sistemi utilizzano credenziali legate a specifico hardware.<\/p>\n<p>Per WordPress \u00e8 quindi importante predisporre sempre un piano di recupero.<\/p>\n<p>Possibili soluzioni:<\/p>\n<ul>\n<li>seconda passkey;<\/li>\n<li>security key;<\/li>\n<li>codici di recupero;<\/li>\n<li>account amministratore secondario protetto;<\/li>\n<li>procedura di recupero prevista dal plugin.<\/li>\n<\/ul>\n<p>Non bisogna scoprire il piano di recupero soltanto dopo aver perso il dispositivo.<\/p>\n<hr \/>\n<h2>Non lasciare account amministratori inutilizzati<\/h2>\n<p>Le passkey non risolvono un altro problema frequente: account WordPress dimenticati.<\/p>\n<p>Controlla periodicamente:<\/p>\n<p><strong>Utenti \u2192 Tutti gli utenti<\/strong><\/p>\n<p>e verifica:<\/p>\n<ul>\n<li>amministratori;<\/li>\n<li>editor;<\/li>\n<li>collaboratori;<\/li>\n<li>vecchi sviluppatori;<\/li>\n<li>account di agenzie;<\/li>\n<li>utenti temporanei.<\/li>\n<\/ul>\n<p>Se un account non serve pi\u00f9, rimuovilo o riducine i privilegi.<\/p>\n<p>Il principio da seguire \u00e8 il <strong>least privilege<\/strong>: ogni utente dovrebbe avere solamente i permessi necessari.<\/p>\n<hr \/>\n<h2>Proteggi soprattutto gli amministratori<\/h2>\n<p>Non tutti gli account WordPress presentano lo stesso rischio.<\/p>\n<p>Un amministratore compromesso pu\u00f2 generalmente:<\/p>\n<ul>\n<li>installare plugin;<\/li>\n<li>modificare temi;<\/li>\n<li>creare utenti;<\/li>\n<li>modificare contenuti;<\/li>\n<li>cambiare impostazioni;<\/li>\n<li>aggiungere codice;<\/li>\n<li>compromettere l&#8217;intero sito.<\/li>\n<\/ul>\n<p>Per questo gli account amministrativi dovrebbero ricevere le protezioni pi\u00f9 elevate.<\/p>\n<p>WordPress sottolinea che un attaccante che ottiene l&#8217;accesso a un account amministratore pu\u00f2 potenzialmente installare script dannosi e compromettere il server.<\/p>\n<hr \/>\n<h2>Passkey e WooCommerce<\/h2>\n<p>Le passkey possono essere interessanti anche per siti WooCommerce.<\/p>\n<p>Esistono per\u00f2 due scenari differenti.<\/p>\n<h3>Amministratori e gestori<\/h3>\n<p>Sono gli account prioritari.<\/p>\n<p>Proteggerli significa ridurre il rischio di accessi non autorizzati al backend.<\/p>\n<h3>Clienti<\/h3>\n<p>L&#8217;accesso passwordless pu\u00f2 migliorare l&#8217;esperienza utente, ma richiede un&#8217;implementazione compatibile con:<\/p>\n<ul>\n<li>checkout;<\/li>\n<li>area cliente;<\/li>\n<li>plugin membership;<\/li>\n<li>plugin social login;<\/li>\n<li>caching;<\/li>\n<li>personalizzazioni WooCommerce.<\/li>\n<\/ul>\n<p>Prima di abilitarlo a tutti i clienti \u00e8 consigliabile testare l&#8217;intero flusso.<\/p>\n<hr \/>\n<h2>Passkey e siti WordPress multiutente<\/h2>\n<p>Su siti con molti utenti \u00e8 utile definire una policy.<\/p>\n<p>Per esempio:<\/p>\n<p><strong>Amministratori<\/strong><\/p>\n<p>Passkey o WebAuthn obbligatorio.<\/p>\n<p><strong>Editor<\/strong><\/p>\n<p>Passkey o 2FA fortemente raccomandata.<\/p>\n<p><strong>Autori<\/strong><\/p>\n<p>2FA.<\/p>\n<p><strong>Clienti<\/strong><\/p>\n<p>Passkey opzionale.<\/p>\n<p>La policy effettiva dipende naturalmente dal rischio associato al progetto.<\/p>\n<hr \/>\n<h2>Passkey e Application Password di WordPress sono la stessa cosa?<\/h2>\n<p>No.<\/p>\n<p>\u00c8 una distinzione molto importante.<\/p>\n<p>Le <strong>Application Passwords<\/strong> di WordPress sono credenziali create per consentire a software esterni di autenticarsi programmaticamente.<\/p>\n<p>Possono essere utilizzate per:<\/p>\n<ul>\n<li>API;<\/li>\n<li>applicazioni;<\/li>\n<li>integrazioni;<\/li>\n<li>script.<\/li>\n<\/ul>\n<p>Non sono progettate come metodo di login passkey per una persona.<\/p>\n<p>Una Application Password \u00e8 inoltre revocabile singolarmente senza cambiare la password principale dell&#8217;utente.<\/p>\n<p>Quindi:<\/p>\n<p><strong>Passkey \u2192 autenticazione interattiva dell&#8217;utente<\/strong><\/p>\n<p><strong>Application Password \u2192 autenticazione di applicazioni e integrazioni<\/strong><\/p>\n<p>Non devono essere confuse.<\/p>\n<hr \/>\n<h2>Passkey e WordPress 7.0<\/h2>\n<p>WordPress 7.0 rappresenta una delle evoluzioni pi\u00f9 importanti del CMS del 2026.<\/p>\n<p>Xlogic ha dedicato un approfondimento alle <a href=\"https:\/\/xlogic.org\/blog\/wordpress-7-0-la-rivoluzione-della-collaborazione-e-qui.html\/\">novit\u00e0 di WordPress 7.0<\/a>.<\/p>\n<p>Le passkey non devono per\u00f2 essere confuse con le funzionalit\u00e0 AI o collaborative introdotte nell&#8217;evoluzione del Core.<\/p>\n<p>Sono una tecnologia di autenticazione basata su standard Web e vengono oggi integrate in WordPress principalmente attraverso plugin dedicati.<\/p>\n<hr \/>\n<h2>Le passkey eliminano tutti gli attacchi a WordPress?<\/h2>\n<p>No.<\/p>\n<p>Proteggere l&#8217;autenticazione non significa proteggere automaticamente l&#8217;intero CMS.<\/p>\n<p>Un sito pu\u00f2 essere compromesso anche attraverso:<\/p>\n<ul>\n<li>plugin vulnerabili;<\/li>\n<li>temi vulnerabili;<\/li>\n<li>PHP obsoleto;<\/li>\n<li>malware;<\/li>\n<li>server compromesso;<\/li>\n<li>credenziali FTP rubate;<\/li>\n<li>vulnerabilit\u00e0 applicative;<\/li>\n<li>supply chain attack.<\/li>\n<\/ul>\n<p>Un esempio concreto dell&#8217;importanza degli aggiornamenti \u00e8 documentato nell&#8217;approfondimento Xlogic sulla <a href=\"https:\/\/xlogic.org\/blog\/cve-2026-3098-siti-wordpress-a-rischio-falla-invisibile.html\/\">CVE-2026-3098 e Smart Slider 3<\/a>.<\/p>\n<p>La sicurezza WordPress deve quindi essere affrontata su pi\u00f9 livelli.<\/p>\n<hr \/>\n<h2>Hosting e sicurezza WordPress<\/h2>\n<p>Anche un sistema di autenticazione forte deve essere accompagnato da un&#8217;infrastruttura adeguata.<\/p>\n<p>Tra gli elementi importanti troviamo:<\/p>\n<ul>\n<li>isolamento degli account;<\/li>\n<li>firewall;<\/li>\n<li>antimalware;<\/li>\n<li>backup;<\/li>\n<li>aggiornamenti;<\/li>\n<li>HTTPS;<\/li>\n<li>monitoraggio;<\/li>\n<li>versioni PHP supportate.<\/li>\n<\/ul>\n<p>I servizi <a href=\"https:\/\/xlogic.org\/hosting-wordpress\/\">Hosting WordPress Xlogic<\/a> utilizzano tecnologie orientate a prestazioni e sicurezza come:<\/p>\n<ul>\n<li>LiteSpeed Enterprise;<\/li>\n<li>CloudLinux;<\/li>\n<li>Imunify360;<\/li>\n<li>JetBackup;<\/li>\n<li>SSD NVMe;<\/li>\n<li>certificati SSL.<\/li>\n<\/ul>\n<p>L&#8217;hosting non sostituisce una passkey, cos\u00ec come una passkey non sostituisce la sicurezza del server.<\/p>\n<p>Sono livelli differenti della stessa strategia.<\/p>\n<hr \/>\n<h2>Checklist sicurezza wp-admin nel 2026<\/h2>\n<p>Per proteggere l&#8217;accesso amministrativo di WordPress controlla questi punti:<\/p>\n<ol>\n<li>WordPress aggiornato;<\/li>\n<li>plugin aggiornati;<\/li>\n<li>tema aggiornato;<\/li>\n<li>HTTPS attivo;<\/li>\n<li>account amministrativi limitati;<\/li>\n<li>account inutilizzati rimossi;<\/li>\n<li>passkey o WebAuthn per gli amministratori;<\/li>\n<li>almeno due authenticator registrati;<\/li>\n<li>metodo di recupero verificato;<\/li>\n<li>2FA disponibile come fallback quando appropriato;<\/li>\n<li>password uniche per gli account che la utilizzano;<\/li>\n<li>nessuna password condivisa;<\/li>\n<li>Application Password controllate;<\/li>\n<li>backup automatici;<\/li>\n<li>firewall e antimalware;<\/li>\n<li>PHP aggiornato;<\/li>\n<li>log degli accessi controllati;<\/li>\n<li>plugin di sicurezza scelti con attenzione.<\/li>\n<\/ol>\n<hr \/>\n<h2>Passkey WordPress nel 2026: configurazione consigliata<\/h2>\n<p>Per un sito aziendale imposterei una strategia del genere:<\/p>\n<h3>Amministratore principale<\/h3>\n<ul>\n<li>passkey;<\/li>\n<li>Touch ID \/ Windows Hello;<\/li>\n<li>seconda security key;<\/li>\n<li>metodo di recupero offline.<\/li>\n<\/ul>\n<h3>Secondo amministratore<\/h3>\n<ul>\n<li>credenziali separate;<\/li>\n<li>passkey separata;<\/li>\n<li>nessuna condivisione account.<\/li>\n<\/ul>\n<h3>Hosting<\/h3>\n<ul>\n<li>HTTPS;<\/li>\n<li>firewall;<\/li>\n<li>antimalware;<\/li>\n<li>backup;<\/li>\n<li>PHP aggiornato.<\/li>\n<\/ul>\n<h3>WordPress<\/h3>\n<ul>\n<li>aggiornamenti;<\/li>\n<li>minimo numero necessario di plugin;<\/li>\n<li>controllo periodico degli utenti;<\/li>\n<li>rimozione degli account inutilizzati.<\/li>\n<\/ul>\n<p>Questa configurazione riduce la dipendenza da un singolo punto di sicurezza.<\/p>\n<hr \/>\n<h1>Domande frequenti sulle passkey WordPress<\/h1>\n<h2>Cosa sono le passkey WordPress?<\/h2>\n<p>Le passkey WordPress sono credenziali WebAuthn che permettono di autenticarsi a WordPress utilizzando dispositivi come Touch ID, Windows Hello o security key senza dipendere necessariamente dalla tradizionale password.<\/p>\n<h2>WordPress supporta le passkey?<\/h2>\n<p>Il supporto pu\u00f2 essere aggiunto tramite plugin compatibili con WebAuthn e passkey.<\/p>\n<p>Nel repository ufficiale WordPress.org sono disponibili plugin dedicati a questa funzione.<\/p>\n<h2>Posso usare Touch ID per entrare in WordPress?<\/h2>\n<p>S\u00ec, con una configurazione WordPress e un plugin WebAuthn compatibili \u00e8 possibile utilizzare Touch ID come autenticatore.<\/p>\n<h2>Posso usare Face ID?<\/h2>\n<p>Le passkey possono essere utilizzate con sistemi biometrici compatibili messi a disposizione dal dispositivo e dal browser.<\/p>\n<p>La disponibilit\u00e0 effettiva dipende dall&#8217;ambiente utilizzato.<\/p>\n<h2>Posso utilizzare Windows Hello?<\/h2>\n<p>S\u00ec.<\/p>\n<p>Plugin WordPress WebAuthn compatibili supportano Windows Hello tra gli authenticator disponibili.<\/p>\n<h2>Una YubiKey funziona con WordPress?<\/h2>\n<p>Pu\u00f2 funzionare se il plugin utilizzato supporta WebAuthn\/FIDO2 e la security key scelta \u00e8 compatibile.<\/p>\n<h2>Le passkey sono pi\u00f9 sicure delle password?<\/h2>\n<p>Le passkey eliminano diversi problemi tipici delle password, come riutilizzo e phishing tradizionale, e utilizzano credenziali crittografiche legate al servizio.<\/p>\n<p>Non proteggono comunque WordPress da vulnerabilit\u00e0 presenti in plugin, temi o infrastruttura.<\/p>\n<h2>Passkey e 2FA sono la stessa cosa?<\/h2>\n<p>No.<\/p>\n<p>Una passkey pu\u00f2 essere utilizzata come autenticazione passwordless o all&#8217;interno di sistemi multifattore, a seconda dell&#8217;implementazione.<\/p>\n<h2>Se perdo il dispositivo perdo WordPress?<\/h2>\n<p>Non necessariamente, se hai predisposto correttamente metodi di recupero o registrato pi\u00f9 authenticator.<\/p>\n<p>Per questo gli amministratori dovrebbero evitare di dipendere da un singolo dispositivo.<\/p>\n<h2>Application Password \u00e8 una passkey?<\/h2>\n<p>No.<\/p>\n<p>Le Application Password di WordPress sono credenziali destinate principalmente all&#8217;accesso programmatico da applicazioni e integrazioni.<\/p>\n<p>Non sono passkey WebAuthn.<\/p>\n<hr \/>\n<h2>Conclusioni<\/h2>\n<p>Le <strong>passkey WordPress nel 2026<\/strong> rappresentano una delle evoluzioni pi\u00f9 interessanti nella protezione dell&#8217;accesso a wp-admin.<\/p>\n<p>Eliminando o riducendo la dipendenza dalla password tradizionale, WebAuthn permette di utilizzare sistemi come:<\/p>\n<ul>\n<li>Touch ID;<\/li>\n<li>Face ID;<\/li>\n<li>Windows Hello;<\/li>\n<li>security key;<\/li>\n<li>autenticazione biometrica.<\/li>\n<\/ul>\n<p>La tecnologia \u00e8 particolarmente interessante per account amministrativi e siti aziendali, dove il furto delle credenziali pu\u00f2 avere conseguenze importanti.<\/p>\n<p>Le passkey non devono per\u00f2 essere considerate una soluzione completa alla sicurezza WordPress.<\/p>\n<p>La strategia corretta combina:<\/p>\n<p><strong>Passkey \u2192 2FA \u2192 HTTPS \u2192 Aggiornamenti \u2192 Sicurezza Hosting \u2192 Backup \u2192 Monitoraggio<\/strong><\/p>\n<p>Proteggere wp-admin \u00e8 soltanto uno dei livelli necessari.<\/p>\n<p>Ma eliminare una delle principali debolezze dell&#8217;autenticazione tradizionale, la password riutilizzabile e facilmente sottraibile tramite phishing, rappresenta un passo importante verso un WordPress pi\u00f9 sicuro.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Passkey WordPress nel 2026 significa poter proteggere l&#8217;accesso a wp-admin utilizzando tecnologie moderne come WebAuthn, Touch ID, Face ID, Windows Hello e chiavi di sicurezza hardware, riducendo la dipendenza dalle tradizionali password. Le passkey sono progettate per offrire un&#8217;autenticazione pi\u00f9 semplice e resistente al phishing. Google le descrive come un&#8217;alternativa pi\u00f9 sicura e semplice alle [&hellip;]<\/p>\n","protected":false},"author":4,"featured_media":19222,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_lmt_disableupdate":"no","_lmt_disable":"","footnotes":""},"categories":[5],"tags":[],"class_list":["post-19219","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"modified_by":"Team tecnico Xlogic","_links":{"self":[{"href":"https:\/\/xlogic.org\/blog\/wp-json\/wp\/v2\/posts\/19219","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/xlogic.org\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/xlogic.org\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/xlogic.org\/blog\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/xlogic.org\/blog\/wp-json\/wp\/v2\/comments?post=19219"}],"version-history":[{"count":0,"href":"https:\/\/xlogic.org\/blog\/wp-json\/wp\/v2\/posts\/19219\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/xlogic.org\/blog\/wp-json\/wp\/v2\/media\/19222"}],"wp:attachment":[{"href":"https:\/\/xlogic.org\/blog\/wp-json\/wp\/v2\/media?parent=19219"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/xlogic.org\/blog\/wp-json\/wp\/v2\/categories?post=19219"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/xlogic.org\/blog\/wp-json\/wp\/v2\/tags?post=19219"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}