Cronologia delle modifiche — PrestaWard Authenticator

0.0.16

• Il pannello è organizzato in schede: Riepilogo (modalità, copertura della registrazione, errori e blocchi delle ultime 24 ore e, al massimo, una riga di avviso), Dipendenti e registrazione, Politica, Statistiche e registro delle attività, e Impostazioni. Il pannello di assistenza ha una scheda dedicata, Assistenza, sempre l’ultima; lo stato di Integrity appare sotto tutte le schede e l’intestazione mostra il logo di GO ON Agency. Ogni scheda salva solo le proprie impostazioni.
• Correzione: una richiesta che non supera il PrestaWard Captcha verrà ora conteggiata ai fini del blocco dell’account amministratore preso di mira. In precedenza, le richieste senza token Captcha venivano conteggiate come errori di password e un bot poteva bloccare un account con poche richieste. Quando PrestaWard Captcha protegge l’accesso al Back Office e rifiuta la richiesta, l’errore conta solo per il limite per IP. Senza PrestaWard Captcha (o in modalità Osservazione), non cambia nulla.
• Novità: codici via e-mail come secondo fattore di autenticazione opzionale. Nelle impostazioni e-mail si seleziona «Secondo fattore (più debole)» e poi lo si abilita per ogni profilo dipendente. I dipendenti con questi profili confermano la loro casella di posta una volta sola, con un codice inviato via e-mail, e poi possono accedere con i codici via e-mail: otto cifre, salvati solo come hash con chiave, validi per cinque minuti, monouso e con un limite di invii, proprio come gli attuali codici di recupero. Le impostazioni e la pagina del dipendente avvisano che sono meno sicure di un’app di autenticazione: chiunque riesca a leggere la casella di posta può accedere. La funzione «Solo recupero» funziona esattamente come prima.
• Novità: registrazione guidata del primo fattore. Quando un dipendente deve registrarsi (o si trova nel periodo di grazia), «La mia autenticazione» lo guida passo passo: scansiona il codice QR, inserisci il codice e una pagina finale di conferma con i codici di recupero (scarica, copia o stampa). Il pulsante «Vai al Back Office» funziona solo dopo aver scaricato, copiato o stampato i codici. Le chiavi di accesso e i codici via e-mail, se attivati per il dipendente, vengono mostrati in «Altri modi per proteggere il tuo account».
• La mia autenticazione diventa una panoramica chiara: una barra di stato (stato, metodi, codici di recupero e dispositivi attendibili), una scheda compatta per ogni metodo (app di autenticazione, chiavi di accesso e codici via e-mail) con un’unica azione a scomparsa, una scheda dei codici di recupero, i dispositivi attendibili a scomparsa e, alla fine, una «zona di pericolo» a scomparsa. La rimozione dell’autenticazione a più fattori (MFA) ora spiega cosa viene eliminato e cosa succede dopo, e mantiene un pulsante rosso, la password, un codice attuale e una conferma esplicita. Continua ad agire solo sul dipendente che ha effettuato l’accesso e rimane nel registro degli accessi con catena di integrità.
• Privacy: «Attività recente» non mostra più gli indirizzi completi. Le e-mail appaiono come j***@d***.com e gli indirizzi IP mantengono solo la loro rete /24 (IPv4) o i primi tre gruppi (IPv6), proprio come nelle Statistiche. Il registro degli accessi con stringa di integrità conserva i valori esatti e rimane la fonte di riferimento.
• Novità: Statistiche. Una nuova sezione mostra gli ultimi 30 giorni sotto forma di piccole tendenze giornaliere (accessi, secondi fattori di autenticazione verificati, errori di password, errori di secondo fattore, blocchi, recuperi effettuati e nuovi dispositivi attendibili), insieme alla copertura delle registrazioni dei dipendenti che devono registrarsi (per profilo) e ai metodi in uso. Mostra solo i conteggi relativi al tuo registro degli accessi e non mostra indirizzi IP né e-mail.
• Chiavi di accesso (passkeys: Touch ID, Face ID, Windows Hello e chiavi di sicurezza) come secondo fattore: il codice è incluso, ma sono disattivate di default e richiedono un indirizzo HTTPS nel Back Office. Un amministratore le attiva nelle impostazioni, e ogni dipendente le aggiunge in “La mia autenticazione” inserendo la password e il codice attuale.
• Corregge il problema per cui la connessione con Integrity si interrompeva nel Back Office «tutti i negozi»: l’identità dell’installazione veniva salvata solo per il primo negozio, la sincronizzazione in background la leggeva vuota, dava errore con «Invalid RSA public key» e il negozio connesso passava a «registrazione in sospeso». L’identità ora viene letta come un’unità dall’ambito globale (o dal negozio che la conserva) in qualsiasi contesto; l’aggiornamento trasferisce all’ambito globale un’identità salvata in un negozio senza rigenerarla e, se non è possibile leggerla, lo stato di Integrity rimane com’era e l’ultimo errore viene registrato come errore locale.
• Correzione: l’installazione da console (prestashop:module install) creava le impostazioni PWA_* solo per il primo negozio, mentre il Back Office «tutti i negozi» legge quelle globali. L’installazione ora crea le impostazioni globali e l’aggiornamento copia quelle mancanti dal primo negozio senza sovrascrivere alcun valore esistente.
• Novità: barra dei filtri comune nel registro degli accessi. I selettori sono distribuiti su una griglia di larghezza uniforme, la barra di ricerca e il pulsante «Filtra» si trovano sulla stessa riga e le azioni secondarie sono allineate a destra.
• Le e-mail del modulo mostrano il logo del tuo negozio nell’intestazione (con il nome del negozio come testo alternativo) e un piè di pagina standard con il logo di GO ON Agency e la firma «PrestaWard by GO ON Agency», senza link né indirizzi di contatto. Il logo nel piè di pagina è un file del modulo stesso, fornito dal tuo negozio.
• Aspetto unificato del pannello nei quattro moduli PrestaWard: intestazioni di sezione, schede dei moduli con bordi neutri e blocchi a scomparsa comuni, statistiche su un’unica riga e un logo GO ON Agency più grande nell’intestazione. Il pulsante principale assume ora un colore a tinta unita del marchio, senza sfumature.
• Corregge il fatto che, in PrestaShop 9, il tema di amministrazione mostrasse le schede sottolineate come link e i titoli delle sezioni in maiuscolo. Gli stili comuni lo neutralizzano solo all’interno del pannello di PrestaWard, quindi PrestaShop 1.7 e 8 hanno lo stesso aspetto di prima.
• Risolve il problema per cui, in PrestaShop 1.7, il foglio di stile del modulo veniva ignorato quando veniva registrato con il numero di versione nell’URL. Ora il file viene verificato e registrato senza parametri, così il nuovo aspetto appare nelle versioni 1.7, 8 e 9.
• Correzione: in PrestaShop 9, il ripristino del secondo fattore di un altro dipendente e la sincronizzazione con Integrity verificavano il token di sicurezza con un metodo che PrestaShop 9 non utilizza, e potevano quindi essere rifiutati. Ora la convalida avviene tramite il servizio di PrestaShop 9; in PrestaShop 1.7 e 8 la verifica rimane invariata.
• Quando non è possibile aggiornare la connessione con Integrity in quel momento, il pannello mostra un unico messaggio: la connessione salvata è ancora valida e verrà riprovata automaticamente. Le etichette di tutte le schede sono tradotte nelle nove lingue.
• L'aggiornamento crea le impostazioni globali mancanti, esegue la fase relativa allo schema (colonna del profilo per i codici via e-mail e le tabelle delle chiavi di accesso) e mantiene disattivati i codici via e-mail e le chiavi di accesso finché un amministratore non li attiva. Non cambia nulla in un’installazione esistente finché un amministratore non attiva un’opzione.

0.0.15

• Novità: ripristino del secondo fattore di autenticazione di un dipendente dall’amministrazione MFA. Se qualcuno smarrisce il cellulare e i codici di recupero, l’amministratore non ha più bisogno di accedere tramite console. Il ripristino elimina l’autenticatore e i codici di recupero del dipendente, chiude i suoi dispositivi attendibili e le sessioni aperte, e il dipendente dovrà effettuare nuovamente l’accesso al prossimo login. Richiede la password dell’amministratore, non puoi usarla su te stesso e un superamministratore può essere ripristinato solo da un altro superamministratore. Ogni ripristino, e ogni tentativo rifiutato, viene registrato nel log degli accessi, e puoi avvisare il dipendente via e-mail.
• Novità: periodo di tolleranza prima dell’applicazione forzata. Nelle impostazioni del profilo puoi impostare da 3 a 14 giorni prima che la funzione Forza blocchi i dipendenti che non si sono ancora registrati. Accedono normalmente e vedono su ogni pagina del Back Office un avviso con la data a partire dalla quale l’autenticazione a due fattori sarà obbligatoria; chi si è già registrato continua a richiedere il proprio codice. Il pannello mostra la scadenza di ogni profilo e quanti dipendenti devono ancora registrarsi. I profili senza periodo di tolleranza funzionano come nelle versioni precedenti.
• Novità: «Attività recente» nel pannello riassume in frasi semplici gli ultimi 30 giorni del registro degli accessi: accessi da un IP o un browser che quel dipendente non aveva mai usato prima, tentativi falliti ripetuti, blocchi, codici di recupero utilizzati e ripristini da parte dell’amministratore. Usa solo il tuo registro, senza geolocalizzazione né servizi esterni.
• L'utilizzo di un codice di recupero personale o inviato via e-mail viene ora registrato nel registro degli accessi come «Codice di recupero utilizzato».
• L'aggiornamento aggiunge due colonne alle politiche del profilo (senza periodo di grazia predefinito) e registra l'hook che mostra l'avviso relativo al periodo di grazia.
• Il pannello di assistenza e diagnostica si trova proprio prima della sezione Integrity, come negli altri moduli PrestaWard, e nel contesto «tutti i negozi» non scompare più: indica che bisogna selezionare un negozio.
• I fogli di stile vengono caricati con la versione del modulo, quindi il nuovo aspetto appare dopo l’aggiornamento senza bisogno di svuotare la cache del browser.
• Sincronizza con Integrity ogni volta che apri il pannello, con una richiesta in background che non rallenta mai la pagina e al massimo una volta al minuto per ogni negozio.

0.0.14

• Aggiornamento di sicurezza consigliato: rafforza l’autenticazione con il secondo fattore nel Back Office, in modo che le pagine e le azioni protette siano accessibili solo dopo aver completato tale procedura.
• Estende la verifica MFA ai percorsi del Back Office di PrestaShop dalla versione 1.7.7 alla 9 che non utilizzano il template classico, come le esportazioni e le richieste AJAX.
• Limita i tentativi in tutti i controlli del codice di “La mia autenticazione”, anche per ogni dipendente da IP diversi, e richiede una sessione verificata per le modifiche sensibili all’account.
• Corregge un ciclo infinito di reindirizzamenti in PrestaShop 9 quando si apre «La mia autenticazione» con il secondo fattore di autenticazione in sospeso.
• I dipendenti con profili creati dopo l’installazione possono ora accedere a «La mia autenticazione».
• Corregge l’installazione e i tentativi di Integrity su PHP 7.1 e 7.2.
• Rinnova la politica MFA firmata prima che scada e avvisa nel pannello di controllo se è scaduta.
• Aggiunge un accesso di emergenza via console, monouso, per sospendere temporaneamente l’obbligo di MFA se nessuno riesce ad accedere. È l’ultima risorsa: richiede l’accesso al server e la chiave di emergenza; la sospensione dura un’ora e viene registrata. I dipendenti continuano a recuperare l’accesso con i loro codici personali o tramite il recupero opzionale via e-mail.
• Traduce tutti gli eventi del registro degli accessi nelle nove lingue.

0.0.13

• Corregge la compilazione del container del Back Office nelle versioni legacy senza request_stack.
• Mantiene l'autenticazione a più fattori (MFA) e il limite di tentativi in PrestaShop 9; se manca il contesto richiesto, nega l'accesso.
• Aggiunge un rapporto diagnostico manuale limitato: scaricalo e allegalo alla tua richiesta di assistenza indicando il problema e i passaggi per riprodurlo. Non invia dati automaticamente.
• Interfaccia completa in nove lingue, con testi e guide tradotti.

0.0.12

• Corregge il controller della prova di registrazione in PrestaShop 9 e mostra la causa reale quando Integrity fallisce.
• Aggiorna il design standard del Back Office e rimuove il verificatore di aggiornamenti integrato nell’edizione Addons.

0.0.11

• Patch di sicurezza: blocca i tentativi automatici di registrazione quando cambia la chiave di registrazione del negozio e mostra un avviso chiaro nel Back Office.

0.0.10

• Heartbeat automatico senza cron tramite un sensore locale non bloccante e comunicazione autenticata da server a server con Integrity API.
• Credenziali sigillate per negozio, politica MFA firmata e ultimo stato valido senza chiamate remote durante l'accesso.
• Blocco atomico, intervallo di sei ore e attesa dopo gli errori per evitare duplicati.
• Ciclo di vita e aggiornamento verificati su PrestaShop 1.7, 8 e 9.

0.0.9

• Connessione sicura con Integrity per negozio, credenziali protette e sincronizzazione dal Back Office.
• La politica remota firmata può solo rafforzare la politica MFA locale e non interferisce mai con il processo di accesso.
• Configurazione riorganizzata in quattro schede: MFA e avvisi, Politiche sui profili dei dipendenti, Tentativi e blocchi, e Rete e IP.
• Le politiche per profilo e negozio vengono spostate in una sezione a parte per distinguerle dalla politica generale.
• Viene rimossa dalla configurazione la fonte ridondante degli aggiornamenti: il canale ufficiale viene impostato dal modulo.
• Ogni campo di configurazione include un collegamento diretto alla relativa spiegazione nella guida.

0.0.8

• Epoca di sicurezza per dipendente per invalidare sessioni, sfide e dispositivi precedenti.
• Invalidazione configurabile dopo qualsiasi modifica della password, solo in caso di recupero o modifica amministrativa, oppure mai.
• Impostazioni «Eredita», «Obbligatorio», «Opzionale» e Disattivato per profilo e negozio.
• I superamministratori devono sempre operare in modalità Forza e con la risoluzione multistore, secondo la politica più rigorosa.
• Chiave di emergenza monouso e recupero esclusivamente tramite console, senza bypass web permanente.
• Recupero opzionale via e-mail durante una sfida MFA, con codice a otto cifre, HMAC, scadenza di cinque minuti e limite di invii.
• Registri concatenati tramite HMAC, diagnostica dell’integrità, conservazione da 30 a 730 giorni ed esportazione JSON firmata.
• Migrazione idempotente 0.0.8 e aggiornamento convalidato dalla versione 0.0.7 su PrestaShop 1.7, 8 e 9.

0.0.7

• «Postura di sicurezza» suddivisa in «MFA e avvisi», «Tentativi e blocchi» e «Rete e IP», con salvataggio atomico.
• Navigazione tra le schede accessibile tramite tastiera, persistenza della selezione e apertura automatica del pannello in caso di errori di convalida.
• Paginazione effettiva dei record nel database con 25, 50 o 100 righe per pagina.
• Filtri dei record per intervallo di date, dipendente o e-mail, evento, risultato e IP.
• Intestazione di «La mia autenticazione» riprogettata con miglior contrasto, gerarchia, adattamento per dispositivi mobili e accessi aziendali.
• Il test di posta verifica il trasporto e i destinatari senza richiedere che gli avvisi operativi siano attivi.
• Diagnosi visibile del traffico di PrestaShop, distinguendo i server di acquisizione da quelli SMTP effettivi.
• Diagnosi degli errori compatibile con i file di log SwiftMessage e MailerMessage di PrestaShop 1.7, 8 e 9.
• Rimosso il prefisso duplicato del negozio negli oggetti delle e-mail e rafforzato il link alternativo al Back Office.
• Invio aziendale convalidato tramite Exchange Online nelle tre versioni compatibili.
• Pannello degli aggiornamenti uniformato con Snapshot tramite PrestaWard Update Manifest v1, stato, criticità e SHA-256.
• Migrazione idempotente 0.0.7 e aggiornamento convalidato dalla versione 0.0.6 su PrestaShop 1.7, 8 e 9.

0.0.6

• Protezione transazionale contro la forza bruta su password e MFA per IP e identità.
• Compatibilità con IPv4, IPv6, CIDR, proxy affidabili, lista dei permessi e lista dei blocchi.
• Avvisi di blocco limitati per impedire tempeste di email provocate.
• Quarantena del server senza menu, collegamenti rapidi né contenuti del Back Office.
• «La mia autenticazione» riprogettata in quattro passaggi, con etichette accessibili, recupero esportabile e revoca individuale.
• Messaggi equivalenti e tradotti in PrestaShop 1.7, 8 e 9, con il risultato per destinatario.
• Verificatore rafforzato: HTTPS aziendale, senza reindirizzamenti, TLS, limite del corpo e manifesto v1 rigoroso.
• Migrazione 0.0.6, aggiornamento dalla versione 0.0.5 e matrici complete nelle tre versioni compatibili.

0.0.5

• Accesso in più fasi: PrestaShop verifica prima la password e poi richiede il codice TOTP o il recupero.
• Sessione autenticata in quarantena, collegata al dipendente e limitata a «La mia autenticazione» fino al completamento dell'autenticazione a più fattori (MFA).
• Blocco dell'accesso laterale tramite controller diretti e richieste AJAX/XHR.
• Registrazione obbligatoria per dipendenti e superamministratori senza TOTP confermato.
• Dispositivi attendibili corretti in PrestaShop 9 e collegati al dipendente e al browser.
• Secondo fattore riprogettato in spagnolo con il sistema visivo PrestaWard.
• Guida approfondita con schermate reali del secondo fattore in PrestaShop 1.7, 8 e 9.
• Matrice pulita completa: e-mail, TOTP, anti-replay, recupero, affidabilità e quarantena.

0.0.4

• Registrazione obbligatoria in «La mia autenticazione» per gli account senza TOTP quando la modalità è impostata su Forza.
• Il secondo passaggio di accesso viene visualizzato solo dopo aver verificato la password.
• I superamministratori sono inclusi nello stesso flusso di autenticazione personale.
• Modulo MFA di accesso riprogettato e tradotto in spagnolo.
• Errore 500 dell'e-mail di prova risolto.
• Self-service MFA separato per ogni dipendente.
• Politica, inventario, posta e log riservati al superamministratore.
• Permessi moderni e legacy ricostruiti in modo idempotente.
• Diagnosi accurata dei destinatari, della configurazione SMTP e del trasporto.
• IP reale unificato nei log, limitazione della frequenza, e-mail e dispositivi attendibili.
• Eventi e testi del Back Office tradotti in spagnolo.
• Intestazioni e design in linea con la famiglia PrestaWard.
• Assistenza aziendale ripristinata su hola@go-onagency.es.
• Aggiornamento 0.0.4 e matrice pulita su PrestaShop 1.7, 8 e 9.

0.0.3

• Geometria visiva unificata con PrestaWard Snapshot.
• Dispositivi attendibili revocabili con token casuali a 256 bit memorizzati come hash.
• I cookie Secure, HttpOnly e SameSite=Lax sono limitati al Back Office.
• Avvisi equivalenti nelle integrazioni legacy e Symfony.
• Branding, link ai prodotti, guida, assistenza e email di prova.
• Convalida del limite di rate in PrestaShop 1.7, 8 e 9.

0.0.2

• Registrazione TOTP protetta da password e QR locale.
• Codici di recupero monouso memorizzati come HMAC.
• Protezione atomica contro il replay TOTP.
• Limitazione della frequenza per account e IP.
• Integrazioni specifiche per il login legacy e PrestaShop 9 Symfony.
• Rotazione dell’autenticatore e disattivazione dell’autenticazione a più fattori (MFA) protette da password e fattore.

0.0.1

• Scaffold sicuro disattivato di default.
• Tabelle MFA, TOTP, dashboard, audit, log, avvisi e traduzioni iniziali.