Casi d’uso · team tecnici
La 2FA degli account di infrastruttura, per i team tecnici
Account root del cloud, registrar, DNS, organizzazione GitHub: rendi i codici 2FA degli account critici accessibili a chi è reperibile, dal web, dall’API o da un agente, con un registro di ogni accesso.
Gli account più sensibili di un team tecnico sono anche quelli che si usano meno: l’account root del fornitore cloud, il registrar, il DNS, il proprietario dell’organizzazione GitHub. La loro 2FA viene spesso configurata una volta sola, sul telefono di una sola persona, e dimenticata fino all’incidente.
Cosa si inceppa senza una cassaforte condivisa
- Un incidente alle 3 di notte richiede l’account root, e il seed è sul telefono di qualcuno che dorme.
- Il dominio sta per scadere, e l’account del registrar è protetto dal telefono di un ex socio.
- Il seed è stato incollato in un wiki o in una variabile d’ambiente «per emergenza», e nessuno sa più chi l’ha copiato.
Come lo risolve Share Auth
Chi è reperibile ha il codice, non il seed. I membri di reperibilità sono lettori: ottengono il codice corrente senza poter copiare ciò che lo genera. I seed restano cifrati nella cassaforte.
Ogni accesso lascia una traccia. Il registro degli accessi dice chi ha ottenuto il codice dell’account root, quando e da quale indirizzo: quanto basta per ricostruire chi ha fatto cosa durante un incidente.
Con lo strumento adatto. Il sito per un accesso occasionale, l’API per uno script, il connettore MCP per un agente IA, Slack o Discord per il canale di reperibilità, limitato dalle restrizioni per canale ai soli account utili.
Token che servono solo a questo. Un token API può essere limitato alla lettura dei codici, per una durata da 1 a 90 giorni, e revocato in qualsiasi momento.
Per approfondire
Domande frequenti
Sì, tramite l’API, con un token limitato alla lettura dei codici. Non può modificare nulla, scade dopo la durata scelta e ogni codice ottenuto compare nel registro degli accessi, a nome della persona a cui appartiene il token.
Il meno possibile. Ma il giorno in cui serve, il team di reperibilità deve poterlo usare senza cercare chi ha il telefono. Share Auth rende possibile questo accesso e lo traccia, senza moltiplicare le copie del seed.
Il connettore MCP fornisce loro il codice di un account, mai il suo seed. Tieni attiva nel tuo client la conferma umana per ogni codice richiesto.