Sicurezza dell'account — autenticazione in due passaggi e accesso di emergenza

Il pannello Castreon avvia e ferma i canali, quindi l'account di amministratore va protetto come l'accesso al server. In breve: una password lunga, l'autenticazione in due passaggi attiva e i codici di recupero custoditi al sicuro.

Disponibile da Castreon 1.6.0, in tutti i piani.

Password

• Le nuove password hanno almeno 15 caratteri — oppure 12 se l'autenticazione in due passaggi è attiva. Non servono cifre o simboli: conta la lunghezza (come nelle raccomandazioni NIST del 2025).
• Le password comuni o apparse in fughe di dati, il nome dell'account e «castreon» vengono rifiutati. Il modulo mostra subito cosa manca; Cambia password si attiva solo con una password valida.
• Le password esistenti restano valide. Un account con una password generata da un altro amministratore (o reimpostata dalla console) ne sceglie una nuova al primo accesso.

Autenticazione in due passaggi

Il mio account → Autenticazione in due passaggi:

1. Scansiona il codice QR con l'app di autenticazione (Google Authenticator, Microsoft Authenticator, 1Password, Bitwarden …) oppure scrivi il codice mostrato sotto. Il codice QR viene creato nel browser — il segreto non va da nessuna parte.
2. Scrivi il codice di 6 cifre dell'app, per confermare che app e server sono d'accordo.
3. Ricevi 10 codici di recupero. Salvali subito — Scarica (.txt), copiali nel gestore di password o stampali — non sullo stesso telefono. Vengono mostrati una sola volta.

Da quel momento ogni accesso chiede il codice dell'app. Un codice già usato non funziona una seconda volta.

Codici di recupero

• Se non hai il telefono a portata di mano, scrivi un codice di recupero al posto del codice dell'app. Ognuno funziona una sola volta; dopo l'accesso vedi quanti ne restano.
• Nuovi codici (con la password) ne crea altri 10 — i vecchi smettono di funzionare.
• Ogni utilizzo compare in Audit.

Le organizzazioni che vogliono la 2FA per tutti gli amministratori la richiedono da Impostazioni → Accesso → Richiedi la 2FA a tutti gli amministratori. La pagina mostra quanti amministratori hanno già la 2FA e chi no; prima di salvare li nomina di nuovo e chiede conferma. Un amministratore senza 2FA vede allora solo Il mio account finché non la attiva; operatori e utenti in sola lettura non sono interessati. La regola si può attivare solo da un account che ha già la 2FA. Nello stesso punto si sceglie la durata di un accesso (12 ore di default, al massimo 720 = 30 giorni), dopo la quale il pannello chiede di nuovo password e codice. Tramite API: PUT /api/v1/settings con security.totp_required_for_admins e security.session_hours.

Ho perso l'accesso

• Un altro amministratore può generarti una nuova password: Utenti → la tua riga → Genera (la password è temporanea — la cambi al primo accesso). Sul proprio account non funziona: la propria password si cambia da Il mio account.
• Hai perso il telefono: accedi con un codice di recupero, poi riattiva la 2FA con il nuovo telefono.
• Sei l'unico amministratore (o nessuno riesce più ad accedere): accesso di emergenza dalla console del server, come root:

sudo /opt/castreon/bin/castreon -list-users
sudo /opt/castreon/bin/castreon -reset-password admin

La password si digita due volte senza che compaia sullo schermo (oppure -generate ne crea una e la mostra una sola volta). Con -disable-2fa si spegne anche la 2FA (telefono e codici persi). Prima della modifica si fa una copia del database; le sessioni dell'account vengono chiuse e tutto compare in Audit («console del server»). Se sul server girano più servizi Castreon, scegline uno con -config <percorso>.

L'ultimo amministratore attivo non può essere disattivato, retrocesso o eliminato — il pannello non resta mai senza qualcuno che possa amministrarlo.