Autenticazione a due fattori (MFA)

Secondo fattore opzionale per singolo utente. Usa lo standard TOTP (RFC 6238): funziona con Google Authenticator, Microsoft Authenticator, Authy e app equivalenti.

Chi deve attivarlo

• Utenti interni (intranet, futuro LDAP/AD): MFA di solito disattivato — l'accesso è già protetto dalla rete aziendale.
• Accesso esterno (spunta in anagrafica utente): MFA obbligatorio al primo accesso completo; genera anche i codici di recupero monouso (salvarli subito: non si rivendono).
• In verifica MFA puoi usare il codice TOTP a 6 cifre oppure un codice di recupero; troppi errori bloccano l'account come per la password.

Impersonazione (solo SuperAdmin)

Da Gestione utenti o dalla scheda dettaglio, il SuperAdmin può entrare in sessione come un altro utente attivo (non se stessi, non altri SuperAdmin, non se già in impersonazione). Compare un banner sotto la barra superiore; Esci impersonazione ripristina il SuperAdmin in HQ. Audit: IMPERSONATE_START / IMPERSONATE_STOP; ogni azione successiva in audit mostra Username … (impersonato) e descrizione [Impersonato da …] con id del SuperAdmin in new_values. In Gestione ruoli il permesso non compare (né si salva) su ruoli diversi da SuperAdmin.

Password (policy / NIS)

• Complessità da PasswordPolicy (min. 8, maiuscole/minuscole/numero/speciale); scadenza e lockout dopo tentativi falliti.
• In modifica utente: nuova + conferma; spunta Cambio password obbligatorio.
• Storico: non si possono riusare le ultime 3 password (HistoryRetentionCount).
• Password dimenticata (login → link): email all’indirizzo dell’account con link monouso (hash in DB, TTL 30 min, rate-limit). Messaggio identico se l’account non esiste (anti-enumeration). Audit PASSWORD_RESET_REQUEST / PASSWORD_RESET_COMPLETE.

Perimetro sede (utenti / uffici)

Elenco utenti e associazioni: solo membri della sede attiva (HQ SuperAdmin: tutti). Ruolo SuperAdmin assegnabile solo da SuperAdmin. Ruoli di sistema non modificabili da Amministratore. Creazione nuovi uffici e cancellazione audit retention: solo SuperAdmin/HQ.

Uffici associati

In elenco utenti la griglia è raggruppata per Ruolo. Trascina Ufficio associato o Stato sull’area in cima per cambiare gruppo; il filtro a imbuto resta sull’intestazione di ogni colonna. Colonna Ufficio associato (più sedi separate da virgola; «sup» = supervisore). Con permesso sistema.utenti.edit: seleziona più utenti → Associa uffici → scegli uno o più uffici attivi (aggiunge membership, non rimuove quelle esistenti). Flag supervisore e rimozioni: Sistema → Uffici tab Membri. Audit: UPDATE su UfficioUtente.

Territorio di competenza

Nella scheda utente, tab Territorio: seleziona le province (raggruppate per regione) su cui opera. Speculare alle tipologie pratiche sull’ufficio. Catalogo seed 110 province italiane; audit su UPDATE.

Amministratore — abilitare MFA

1. Apri Sistema → Gestione utenti → Modifica (permesso sistema.utenti.edit).
2. Spunta MFA (Google Authenticator) e salva.
3. In scheda utente lo stato MFA diventa «Richiesto — in attesa configurazione» finché l'utente non completa il primo accesso.
4. Per disattivare o resettare: togli la spunta MFA e salva (cancella la configurazione TOTP sull'utente).

Utente — primo accesso con MFA

1. Installa sul telefono Google Authenticator (Android/iOS) o un'app TOTP compatibile.
2. Accedi a RecuperoNext con username e password come sempre.
3. Compare la schermata di configurazione con un codice QR: in Google Authenticator tocca + → Scansiona codice QR.
4. In alternativa inserisci manualmente la chiave segreta mostrata sotto al QR (stesso risultato).
5. Digita il codice a 6 cifre generato dall'app e conferma: da questo momento l'accesso è attivo.

Accessi successivi

1. Username e password sulla pagina di login (invariata).
2. Schermata Codice authenticator: inserisci il codice a 6 cifre corrente dall'app (si rinnova ogni ~30 secondi).