Come funziona l'accesso senza password?

Vallaury non utilizza una password propria. Non c'è dunque nulla da ricordare, da riutilizzare su altri siti o da sottrarre in caso di violazione. L'identità dell'utente viene verificata ogni volta con uno di tre metodi, a scelta.

1. Codice via email

Si inserisce la propria email scolastica e si riceve un codice temporaneo, che va digitato nella schermata di accesso. Il codice vale una sola volta e per pochi minuti: dopo l'uso, o allo scadere del tempo, non serve più a niente. È il metodo più semplice e funziona su qualsiasi dispositivo, perché richiede soltanto di poter leggere la posta.

Se il codice non arriva, controlla la cartella dello spam, verifica di avere scritto l'indirizzo per intero e attendi un minuto prima di chiederne un altro.

2. Account Google

Chi preferisce può entrare con il proprio account Google, purché l'indirizzo corrisponda a quello della scuola. A Vallaury arrivano soltanto l'identità, l'email e il nome: nessun altro dato dell'account Google viene letto.

3. Passkey

La passkey permette di entrare con l'impronta digitale, il riconoscimento del volto o il blocco schermo del telefono o del computer, senza digitare nulla. La chiave resta sul dispositivo e non può essere copiata o riutilizzata da un sito falso, il che la rende il metodo più resistente al furto di credenziali. Va configurata una volta dal profilo e può essere usata sui dispositivi in cui è stata registrata.

Cambiare metodo e gestire i dispositivi

Si può scegliere il metodo più comodo e cambiarlo in qualsiasi momento dal profilo. Dal profilo si vedono anche i dispositivi collegati e si possono disconnettere, per esempio quando si perde un telefono o si è usato un computer non proprio.

Sicurezza

Il sistema richiede una conferma aggiuntiva solo quando serve, per esempio in caso di accesso insolito o di azioni delicate come la cancellazione dei dati. Le azioni sensibili sono annotate in un registro. Altre informazioni sono in Come sono protetti gli account e i contenuti.

Quanto dura l'accesso

Dopo l'ingresso il dispositivo resta collegato: la sessione dura fino a 180 giorni dall'ultimo accesso e si rinnova ogni volta che l'app cambia la chiave di sessione, così telefoni e app installate restano collegati. La chiave di sessione è un codice casuale che cambia di continuo: chi ne copiasse uno vecchio non ottiene nulla, e il suo riuso chiude la sessione. Quando si esce, il dispositivo dimentica subito la persona: pagine in memoria, chiave dei widget, notifiche e ultima schermata.

Dispositivi propri e condivisi

Sul proprio telefono o computer si può toccare «Questo è il mio dispositivo»: da quel momento le azioni importanti, come scrivere a tutta la scuola, chiedono soltanto un codice via email e ogni volta si riceve un'email per dire se non si è stati noi. Su un dispositivo condiviso conviene non toccarlo: si può fare tutto ugualmente con un codice.

Protezione adattiva

Ogni accesso e ogni azione importante sono confrontati con le abitudini della persona (dispositivo, rete, paese, orario, portata dell'azione). Se tutto è normale non viene chiesto nulla. Se qualcosa è diverso, la conferma è proporzionata al rischio: un codice via email, la passkey o l'approvazione da un altro dispositivo. Nei casi più dubbi l'azione è trattenuta per alcune ore o negata.

«Non sono stato io»

Ogni accesso insolito e ogni azione importante sono notificati per email, con un pulsante «Non sono stato io» che chiude tutte le sessioni, annulla le azioni in sospeso e sospende i poteri dell'account.

Perdita del dispositivo o dell'accesso

Se si perde l'accesso, il recupero è possibile con i codici monouso di recupero oppure di persona, dopo un'attesa di 72 ore e la verifica dell'identità. Per chi ha perso il telefono, dal profilo (da un altro dispositivo) si possono disconnettere i dispositivi collegati.

Se qualcosa non funziona

Le verifiche da eseguire, in ordine, sono in Non riesco a entrare. Che faccio?. Chi può entrare è spiegato in Chi può entrare.