Secondo fattore di autenticazione (MFA)

Il secondo fattore di autenticazione è un'opzione del piano Premium, attivata da Omniscol su richiesta. Il suo istituto sceglie poi i ruoli interessati e i secondi fattori di autenticazione che accetta.

Attivare il secondo fattore di autenticazione

In Amministrazione → Parametri, sezione Sicurezza, il pulsante Configura della riga Secondo fattore di autenticazione (MFA) apre la configurazione:

• Ruoli interessati — i ruoli i cui account devono dimostrare un secondo fattore di autenticazione: Amministratore, Personale, Professore. Se non è scelto alcun ruolo, l'opzione è inattiva. Gli studenti non hanno mai un secondo fattore di autenticazione da dimostrare.
• Secondi fattori di autenticazione accettati — ciò che un account può registrare: Passkey, App di autenticazione o Codice via e-mail. Almeno uno.
• Riconoscere il browser — propone, al momento di dimostrare il secondo fattore di autenticazione, di non richiederlo più su questo browser per il numero di giorni che lei stabilisce, da 1 a 90. La password continua a essere richiesta.

Accanto al pulsante, un'etichetta indica se l'opzione è attiva e per quali ruoli.

Non appena l'opzione è salvata, la sessione di un account di un ruolo scelto, aperta senza secondo fattore di autenticazione, si interrompe alla sua azione successiva: la persona si riconnette e registra il proprio. Le applicazioni che aveva autorizzato prima, per esempio un assistente collegato tramite MCP, vanno autorizzate di nuovo.

All'accesso

Dopo la password, un account di un ruolo scelto passa per un secondo passaggio.

Primo accesso: registrare un secondo fattore di autenticazione

Al primo accesso, l'account registra un secondo fattore di autenticazione, tra quelli che l'istituto accetta:

• Passkey — il pulsante Creare una passkey registra una passkey sul dispositivo; l'impronta digitale, il volto o il codice di blocco del dispositivo confermano poi ogni accesso;
• App di autenticazione — la persona scansiona un QR code con un'app di autenticazione del suo telefono, poi inserisce il codice a sei cifre che questa mostra;
• Codice via e-mail — il pulsante Ricevere un codice via e-mail invia un codice a sei cifre, valido dieci minuti, all'indirizzo e-mail dell'account. Un account senza indirizzo e-mail non può sceglierlo.

Un account registra un solo secondo fattore di autenticazione, e lo conserva se l'istituto smette in seguito di accettare questo tipo.

Gli amministratori ricevono in più dieci codici di riserva, mostrati una sola volta. Ciascuno sostituisce il secondo fattore di autenticazione per un accesso, se il dispositivo è perso: li conservi in un luogo sicuro.

Accessi successivi

Ogni accesso richiede poi il secondo fattore di autenticazione registrato: la passkey, il codice dell'app o il codice inviato via e-mail, che parte automaticamente. Un amministratore può anche inserire un codice di riserva.

Se l'istituto lo consente, una casella permette di non richiederlo più su questo browser per il numero di giorni stabilito. Un altro browser lo richiede sempre, come un accesso che segue la sua reimpostazione.

Con il SSO

Dopo un accesso tramite il fornitore di identità (OIDC / SSO), lo stesso passaggio compare sulla pagina di accesso: il secondo fattore di autenticazione si aggiunge al SSO.

Reimpostare un secondo fattore di autenticazione

Un account che ha perso il suo secondo fattore di autenticazione — telefono cambiato, passkey eliminata — ne registra uno nuovo dopo una reimpostazione:

• per un account: il pulsante Reimpostare il secondo fattore di autenticazione della sua riga espansa, accanto a Password, nell'elenco del suo ruolo: Amministratori, Professori o Membri del personale;
• per tutti gli account: Reimpostare il secondo fattore di tutti gli account, in fondo alla configurazione del secondo fattore di autenticazione.

La reimpostazione di tutti gli account, come quella di un account amministratore, richiede di confermare la sua identità. L'account registra un nuovo secondo fattore di autenticazione al suo accesso successivo, e i browser riconosciuti vengono dimenticati. Le sue sessioni già aperte proseguono: per interromperle, disattivi l'account.

Un amministratore che ha perso il suo secondo fattore di autenticazione si connette con un codice di riserva, oppure un altro amministratore lo reimposta. Il supporto Omniscol può reimpostare quello dell'ultimo amministratore.

Da sapere

• Il codice via e-mail è il secondo fattore di autenticazione più debole: la reimpostazione della password passa dalla stessa casella. Per una protezione più forte, accetti solo la passkey e l'app di autenticazione.
• Una passkey è legata all'indirizzo dell'istituto su cui è stata creata: da un altro indirizzo, non funziona.