Dalla versione 3.2 di Joomla! è stata implementata una nuova funzionalità, che assicura maggiore sicurezza al sito, l'autenticazione a due fattori o verifica in due passaggi.

Attraverso l'aggiunta di questa nuova funzionalità (che può essere utilizzata o meno) l'accesso al pannello di controllo di un sito Joomla! avviene non solo tramite i classici username e password, ma anche attraverso l'inserimento di una chiave segreta che viene fornita sul proprio smartphone tramite un'applicazione apposita, Google Authenticator. Questa chiave segreta viene generata ogni 30 secondi.

Se un malintenzionato dovesse venire in possesso dei nostri dati di accesso (come utente e password) non potrà in ogni caso accedere all'area amministrativa del sito perché dovrà inserire un codice ulteriore che viene fornito esclusivamente sul nostro smartphone.

Vediamo più nel dettaglio questa funzionalità.

Una volta conclusa l'installazione, accedendo nel pannello di controllo del sito, compare questo messaggio post-installazione, che ci segnala la disponibilità della funzione di verifica in due passaggi e la possibilità di abilitarla.

Cliccando su Abilita la verifica in due passaggi possiamo impostare questa funzionalità per il Super User.

Si accede in automatico alla gestione dell'utente Super User. Sul menù troviamo la funzione Verifica in due passaggi. Selezioniamo quindi il metodo Google Authenticator.

Ci ritroviamo nella pagina di impostazioni e attivazione di Google Authenticator sul nostro sito.

Passo 1. Il primo passaggio è quello di scaricare sul proprio smartphone l'APP ufficiale Google Authenticator (per Android, iOS e BlackBerry) o un'applicazione  compatibile.

Passo 2. Inseriamo all'interno dell'applicazione i dati che ci vengono forniti in questa pagina al passo 2 (account e chiave). In alternativa, come viene segnalato, è possibile scansionare il codice QR fornito in Google Authenticator.

Per farlo, accedendo all'applicazione Google Authenticator installata sul nostro smartphone, dobbiamo selezionare Configura account. Ci ritroviamo così in una pagina simile.

Selezionando Inserisci la chiave fornita accediamo alla seguente schermata, dove inseriamo il nome account e la chiave che troviamo nel Passo 2.

Passo 3. Sul proprio smartphone, l'applicazione Google Authenticator ci fornisce a questo punto un codice, che durerà per 30 secondi, per poi generare un altro codice.

Occorre inserire questo codice nel campo Codice di sicurezza e poi salvare la modifica dell'account (andando in alto su Salva e chiudi).

A questo punto, se effettuiamo il logout, ritroviamo nel pannello di accesso al sito un campo ulteriore rispetto all'username e la password: si tratta della chiave segreta che Google Authenticator ci fornisce tramite il nostro smartphone (sullo smartphone ci comparirà la schermata vista sopra, con un codice che si rinnova ogni 30 secondi).

Se inseriamo una chiave segreta errata non sarà possibile accedere all'area amministrativa del sito.

Segnaliamo che è possibile anche non utilizzare questa funzionalità oppure decidere di farlo in un secondo tempo. 

Se decidessimo di farlo in un secondo tempo, occorre abilitare il plugin Two Factor Authentication - Google Authenticator (da Gestione plugin) e poi accedere all'account del Super User seguendo i passaggi visti sopra.

Una volta attivata questa funzionalità ci vengono fornite anche una serie di password di emergenza, che possono essere fondamentali se abbiamo problemi di accesso allo smartphone. Ogni password di emergenza può essere utilizzata una sola volta.

È molto importante segnarsi in luogo sicuro queste password, in modo da utilizzarle in casi di estrema necessità.