Accesso senza password per i discenti: meno reimpostazioni, più sicurezza

Chi accede al tuo LMS una volta all’anno per un aggiornamento di formazione obbligatoria non ricorderà mai la propria password. Così clicca su «password dimenticata», aspetta un’email, inventa una nuova password che dimenticherà di nuovo oppure rinuncia e apre un ticket. L’accesso senza password elimina del tutto la password. Questa guida spiega come funziona, dove si trovano davvero i compromessi di sicurezza e quando conviene aggiungere anche il single sign-on SAML.

Perché le password non funzionano per i discenti occasionali

Le password funzionano al meglio nei sistemi che si usano ogni giorno. Una piattaforma di formazione è spesso l’opposto: si accede quando si è iscritti, quando arriva un promemoria o quando un certificato sta per scadere.

Questo crea una serie prevedibile di problemi:

• Password dimenticate. Con mesi tra un accesso e l’altro, molti discenti iniziano con una reimpostazione, spesso proprio nel giorno in cui la formazione è in scadenza.
• Riutilizzo. Chi non riesce a ricordare un’altra password ne riutilizza una presa da un altro sito. Se quell’altro sito subisce una violazione, la stessa email e la stessa password possono essere provate sul tuo LMS.
• Scorciatoie. Regole rigide sulle password portano a password scritte su foglietti adesivi o a variazioni prevedibili, come aggiungere un numero ogni volta.
• Carico sull’assistenza. Ogni blocco e ogni reimpostazione è un ticket per il tuo help desk o il tuo team L&D.

C’è anche un punto più sottile. La maggior parte dei sistemi con password consente di reimpostarla via email, il che significa che la casella di posta controlla già l’account. La password è la parte che le persone dimenticano, non quella che le protegge. L’accesso senza password rende semplicemente esplicito questo fatto.

Come funziona l’accesso senza password

Codici monouso via email

1. Il discente inserisce il proprio indirizzo email.
2. L’LMS genera un breve codice casuale e glielo invia via email.
3. Il discente digita il codice e l’LMS lo verifica.

Un codice ben progettato funziona una sola volta, scade in pochi minuti e smette di funzionare dopo pochi tentativi errati. Non c’è nulla da ricordare, nulla di riutilizzato da un altro sito e nessuna password che possa trapelare.

Alcuni sistemi inviano via email un link di accesso anziché un codice. I codici sono comodi quando qualcuno legge la posta sullo smartphone ma accede da un computer di lavoro, perché può semplicemente digitare il codice.

Account Google, Microsoft o LinkedIn

Con i pulsanti «Accedi con», l’LMS affida l’accesso al provider usando protocolli standard come OAuth 2.0 e OpenID Connect. Il provider verifica chi è la persona, compresa l’eventuale verifica in due passaggi sul suo account, e comunica all’LMS chi è e qual è il suo indirizzo email verificato. L’LMS non vede mai la sua password.

Questo va bene per il personale che già accede ogni giorno a Microsoft 365 o Google Workspace: un clic ed è dentro.

I compromessi di sicurezza, con onestà

L’accesso senza password non è magia. Sposta la fiducia altrove, e devi sapere dove.

Alcuni aspetti specifici che vale la pena capire:

• L’account email conta più di tutto. Chiunque possa leggere la posta di un discente può accedere come quel discente. L’autenticazione a più fattori sulle caselle di lavoro fa più per la sicurezza dell’LMS di qualsiasi regola sulle password.
• Scadenza e tentativi limitati impediscono di indovinare. Un codice a sei cifre ha circa un milione di valori possibili, quindi con tre tentativi chi prova a indovinare ha solo qualche possibilità su un milione, e ogni codice dura pochi minuti. I limiti su quante volte si possono richiedere i codici rallentano ulteriormente le cose.
• I codici possono comunque essere oggetto di phishing. Una falsa pagina di accesso può chiedere un codice e usarlo subito. Insegna alle persone a inserire i codici solo sull’indirizzo reale del tuo LMS e che nessuno, assistenza compresa, glielo chiederà mai.
• Le caselle condivise indeboliscono i tuoi registri. Se più persone possono leggere la stessa casella, ognuna può accedere come il suo titolare. Ogni discente ha bisogno del proprio indirizzo perché i registri di formazione abbiano un significato.
• Chi se ne va va rimosso ovunque. Un account Google o LinkedIn personale non scompare quando qualcuno lascia l’azienda. Sospendilo o archivialo nell’LMS come parte dell’offboarding, non solo nella tua directory.
• Il recapito delle email fa parte del sistema. I codici che finiscono nello spam o arrivano in ritardo causano accessi falliti. Chiedi all’IT di lasciar passare le email dell’LMS attraverso i filtri di posta.

Pianifica il recupero prima di averne bisogno

Con l’accesso senza password i ticket «password dimenticata» in gran parte scompaiono. La domanda tipica all’assistenza diventa «non ho ricevuto il codice» e la risposta è quasi sempre controllare la cartella spam, confermare l’indirizzo e richiedere un nuovo codice.

Gli amministratori richiedono più attenzione. Se ti affidi al single sign-on e il tuo identity provider ha un’interruzione, o un’impostazione viene modificata per errore, ti serve una via d’accesso che non dipenda da ciò che si è rotto. Buone pratiche:

• Tieni almeno due amministratori, così che se una persona perde l’accesso l’organizzazione non resti bloccata.
• Assicurati che gli amministratori abbiano un percorso di recupero che non dipenda dal tuo identity provider.
• Prova quel percorso di recupero una volta, con calma, prima di averne bisogno in una brutta giornata.
• Se limiti gli amministratori agli intervalli IP dell’ufficio, verifica come accederanno gli amministratori da remoto.

Quando aggiungere l’SSO SAML

I codici via email e l’accesso social vanno bene per la maggior parte dei discenti. Conviene aggiungere il single sign-on SAML quando:

• Il tuo personale è già gestito in Microsoft Entra ID, Okta o Google Workspace.
• Vuoi che le policy di accesso e di autenticazione a più fattori del tuo identity provider si applichino anche alla formazione.
• Vuoi che le persone perdano l’accesso non appena vengono disattivate nella tua directory.
• Le verifiche di sicurezza o i questionari dei clienti richiedono il single sign-on.

Non è la risposta completa se molti discenti sono fuori dalla tua directory, come collaboratori esterni, volontari, clienti o personale di altre organizzazioni. In quel caso usa l’SSO per il tuo personale e mantieni i codici via email per tutti gli altri. Ne parliamo più in dettaglio in single sign-on per il tuo LMS.

Come lo fa Acadenix

Acadenix non ha alcuna password. Le persone accedono in uno di questi modi:

• Codici via email. Le persone inseriscono la propria email e ricevono un codice a sei cifre. Funziona una sola volta, per cinque minuti, e smette di funzionare dopo tre tentativi errati. Se richiedi codici troppo spesso ti viene chiesto di attendere.
• Google, Microsoft e LinkedIn. Ogni metodo si attiva o si disattiva in Settings → Authentication (impostazioni → autenticazione) e può essere limitato a determinati domini email verificati. Prima che una modifica venga salvata, vedi quante persone e sessioni interessa.
• Le tue app di accesso. Le organizzazioni possono usare la propria app Google, Microsoft o LinkedIn. Con la tua app Microsoft possono usarla solo gli account del tuo tenant.
• SSO SAML con Gold. Collega Microsoft Entra ID, Okta o Google Workspace. Gli account discente possono essere creati al primo accesso, ma solo per gli indirizzi sui domini email della tua organizzazione. La prima volta che qualcuno accede tramite SAML gli viene inviato via email un codice per confermare il collegamento, una sola volta per persona. Gli altri metodi che hai attivato restano come alternativa. Vedi piani e prezzi.

Per gli amministratori ci sono ulteriori misure di protezione. Gli amministratori possono essere limitati ai tuoi intervalli IP senza influire sui discenti e le sessioni inattive vengono chiuse. Se il tuo accesso abituale smette di funzionare, un amministratore può comunque entrare con un codice di recupero inviato via email, e questo percorso non può essere disattivato. Sospendere l’account di qualcuno gli impedisce subito di accedere e Email History (cronologia email) mostra quali email sono state inviate o non sono riuscite negli ultimi 30 giorni, senza conservare i contenuti dei messaggi né i codici. Trovi maggiori dettagli nella nostra pagina sulla sicurezza.

Punti chiave

• Per i discenti occasionali, le password creano reimpostazioni, riutilizzo e ticket senza aggiungere molta protezione.
• I codici via email e l’accesso con account di lavoro eliminano la password; la casella di posta o l’account del provider diventa la chiave, quindi proteggila con l’autenticazione a più fattori.
• I codici monouso che scadono in fretta e consentono pochi tentativi rendono impraticabile indovinarli, ma le persone devono comunque sapere di non condividerli mai.
• Pianifica il recupero degli amministratori e l’offboarding prima di attivare i metodi.
• Aggiungi l’SSO SAML quando il tuo personale vive in un identity provider centrale e mantieni i codici via email per tutti gli altri.

Se le password sono la principale fonte dei ticket di assistenza sulla formazione, scopri come funziona l’accesso senza password con le tue persone. Richiedi una prova e configura i metodi di accesso più adatti alla tua organizzazione.