Authentication Manager (3.3.2)
Basta un account admin compromesso e il tuo server può essere distrutto in pochi secondi. Verificare l’identità dei membri ogni volta che devono accedere a un ruolo sensibile diventa quindi indispensabile. Authentification Manager colma questa vera lacuna di Discord.
❓ Il problema
Un account admin viene compromesso. In pochi secondi: ban di massa, canali eliminati, dati esposti. E anche se la 2FA di Discord è attivata, un token rubato da un malware o da una pagina di phishing basta ad aggirare questa protezione: l’attaccante è già connesso e la 2FA non gli viene mai richiesta.
Discord non offre alcun meccanismo per verificare chi si nasconde davvero dietro un ruolo con permessi sensibili. Chiunque abbia accesso all’account può agire con pieni poteri, senza che nulla glielo impedisca.
Anche un solo canale eliminato a causa dell’hack di un account admin è già troppo.
🔐 La soluzione: l’Authentication Manager
Con l’Authentication Manager (AM), i ruoli con permessi sensibili non vengono più assegnati in modo permanente, ma solo dopo un livello aggiuntivo di autenticazione. In combinazione con sessioni temporanee che scadono automaticamente, la finestra di esposizione si riduce drasticamente: i ruoli vengono rimossi automaticamente alla fine della sessione.
Anche se un attaccante ruba un account Discord, non può usare i permessi distruttivi del server: il ruolo semplicemente non c’è, e ottenerlo richiede un’autenticazione che non possiede.
✨ Cosa include
🛡️ 4 metodi di autenticazione
| Metodo | Descrizione | Grado |
|---|---|---|
| Codice PIN semplice | Inserimento classico da 4 a 12 cifre | Da E a D |
| Codice PIN rinforzato | Tastierino numerico con disposizione casuale, da 6 a 12 cifre | Da C a B |
| OTP (2FA) | Codice temporaneo a 6 cifre tramite Google Authenticator, Authy, 1Password... | A |
| Passkey (WebAuthn) | Impronta digitale, riconoscimento facciale o chiave fisica (YubiKey) | S |
🔑 Gradi di sicurezza
Ogni metodo corrisponde a un grado (da E a S). Scegli il grado minimo richiesto per ogni ruolo: per un accesso interno può bastare un PIN, mentre un ruolo admin richiederà una passkey.
⏱️ Sessioni temporanee
I ruoli non sono più permanenti. Ogni autenticazione apre una sessione di durata limitata (configurabile fino a 8 ore). Alla scadenza, il ruolo viene rimosso automaticamente.
⚙️ Sistema di gestori
Concedi permessi admin a un membro senza che possa toccare il sistema di autenticazione. I gestori devono a loro volta autenticarsi e possono gestire solo i ruoli inferiori al loro limite, il che impedisce la creazione di backdoor e l’escalation dei privilegi.
📋 Log di controllo e sessioni
Ogni autenticazione, assegnazione di ruolo e azione viene registrata direttamente nel bot. A differenza dei log di Discord, nessuno può eliminarli: nemmeno un admin compromesso può cancellare le proprie tracce.
🚫 Protezione anti brute-force
5 tentativi falliti: blocco di un’ora. 10 tentativi falliti: reimpostazione completa dell’account.
Per l’elenco completo delle novità della 3.3.2, consulta il changelog.