Domande comuni, risposte chiare.

Custom Auth Suite™ è un layer di autenticazione per WordPress. Aiuta a organizzare login, registrazione, recupero password, verifica email, percorsi protetti, configurazione guidata e diagnostica di supporto. Non è un membership plugin completo, non è uno shop e non è una piattaforma esaustiva di gestione utenti.

No. Le funzioni presenti nella versione Free restano disponibili senza scadenza. Le funzioni Advanced e Premium richiedono invece il pacchetto commerciale corrispondente e una licenza attiva.

Parti da Free se ti servono autenticazione brandizzata, pagine Auth e CAS Doctor. Scegli Advanced per Polylang/i18n, reCAPTCHA Enterprise, Contact Form 7 Math Check, personalizzazione asset e import/export impostazioni. Scegli Premium quando ti servono WebAuthn / Passkeys, device intelligence e strumenti avanzati di debug/esportazione log.

CAS non è posizionato come semplice pacchetto di metodi 2FA. Alcune funzioni CAS toccano la stessa area, come Passkeys, flussi di autenticazione protetti e protezione anti-bot, ma lo scopo principale è più ampio: CAS organizza l’esperienza di autenticazione WordPress, incluse pagine Auth, configurazione guidata, coerenza delle route, diagnostica, report pronti per il supporto e funzioni commerciali consapevoli della licenza.

I plugin focalizzati su 2FA o MFA competono spesso su metodi di autenticazione, policy per ruolo, opzioni OTP, dispositivi fidati, regole di enforcement e accesso orientato alla compliance. CAS non dovrebbe essere valutato solo dal numero di metodi 2FA disponibili. CAS è pensato come layer di esperienza per l’autenticazione: login e registrazione brandizzati, coerenza del recupero password, CAS Doctor, handoff al supporto, percorsi protetti, messaggi amministrativi privacy-aware, licensing commerciale e, in Premium, capacità passwordless.

No. CAS non sostituisce firewall, malware scanner, hardening server o suite di sicurezza complete. CAS si concentra sui flussi di autenticazione, sull’accesso protetto, sull’esperienza login lato utente, su alcune protezioni anti-bot e sulla diagnostica collegata al setup CAS. Puoi continuare a usare un plugin di sicurezza dedicato o un WAF quando il sito richiede una protezione più ampia.

No. CAS non è una piattaforma di monetizzazione membership. Non prova a sostituire sistemi pensati per abbonamenti, contenuti a pagamento, directory membri, corsi o restrizioni contenuto complesse. CAS può proteggere percorsi e migliorare l’autenticazione, ma se il bisogno principale è vendere membership o gestire contenuti a pagamento può servire comunque un plugin membership dedicato.

Spesso sì, ma evita di far gestire la stessa responsabilità a due strumenti diversi. Per esempio, se un altro plugin forza già la 2FA, CAS non dovrebbe essere configurato per competere sullo stesso passaggio di login. Mantieni un solo owner per ogni layer critico: firewall/sicurezza, 2FA/MFA, pagine Auth CAS, CAS Doctor, esclusioni cache e diagnostica di supporto. Dopo aver attivato più strumenti di sicurezza, testa sempre login, recupero password e percorsi protetti.

CAS può creare o ricollegare le pagine WordPress necessarie per login, registrazione, recupero password e conferma reset. Questo riduce gli errori di configurazione perché ogni pagina richiede il template CAS e la route corretta.

CAS mantiene la navigazione minimale. La pagina Login può restare visibile, mentre registrazione e recupero password restano raggiungibili dal flusso di autenticazione. In questo modo il menu pubblico non si riempie di pagine tecniche.

Sì. Puoi usare percorsi personalizzati in Percorsi e Template. Se in seguito lo slug cambia e CAS rileva un disallineamento, puoi usare Fix Now per tornare ai default CAS oppure aggiornare manualmente il percorso per mantenere lo slug personalizzato.

CAS può lavorare con pagine Auth tradotte. Il selettore lingua deve restare visibile anche quando le pagine Auth tecniche sono nascoste dalla normale navigazione. I pacchetti Advanced e Premium permettono una mappatura language-aware più evoluta.

No. È consigliata, ma non obbligatoria. Se è vuota, CAS può usare la homepage come fallback. Se invece l’utente stava provando ad accedere a una pagina protetta, CAS rispetta comunque quella destinazione protetta dopo il login.

CAS Doctor controlla l’ambiente CAS, riassume lo stato di readiness, evidenzia contesto su route/cache/supporto e aiuta a preparare un report diagnostico più pulito. È focalizzato su setup e supporto CAS, non sull’ottimizzazione generica di WordPress.

No. Il Doctor legge lo stato corrente, mostra indicazioni e può generare report. Non modifica silenziosamente la configurazione.

Il Doctor Report è progettato per essere redatto. Non dovrebbe includere password, chiavi licenza complete, token raw, cookie, nonce, private key o authorization header. Serve a fornire contesto utile senza esporre dati sensibili.

Safe Mode è un layer di recupero. Quando è attivo, CAS bypassa i redirect custom CAS e permette di usare il login nativo WordPress per recuperare l’accesso. I percorsi protetti non vengono esposti: gli utenti non loggati vengono inviati a wp-login.php con redirect_to.

Escludi dalla cache pubblica login CAS, registrazione, recupero password, conferma reset e percorsi protetti. Fai attenzione anche all’ottimizzazione JavaScript aggressiva quando usi reCAPTCHA, Passkeys o popup CAS.

La verifica email conferma che l’indirizzo registrato appartenga all’utente. CAS può gestire verifica, resend e welcome message secondo i template configurati.

CAS prepara il messaggio, ma la consegna dipende da WordPress e dal provider/SMTP configurato. Controlla plugin email, log del provider, connessione OAuth, reputazione del mittente e permessi di invio dell’hosting.

Sì. CAS include la personalizzazione delle email core, con subject/body template, preview/test, variabili e contenuti per lingua dove configurati.

Il proprietario del sito configura progetto Google Cloud / reCAPTCHA Enterprise e relative chiavi. CAS può usare le chiavi configurate per proteggere flussi selezionati, ma non crea il progetto Google, non attiva billing e non emette chiavi Google.

Inserisci il tag CAS Math Check nel form Contact Form 7: [cas_math* cas_math]. Se Contact Form 7 non è attivo, CAS mantiene la funzione disattivata in modo sicuro.

I Percorsi Protetti sono URL che devono essere disponibili solo dopo autenticazione. CAS controlla l’accesso e reindirizza gli utenti non loggati al flusso di login configurato, senza rendere pubblico il contenuto protetto.

No. Con WebAuthn / Passkeys, i dati biometrici o di sblocco dispositivo restano nel sistema operativo, browser, password manager o security key. CAS salva solo le informazioni tecniche della credenziale necessarie alla verifica, non impronte o volti.

La passkey vive nel credential manager usato durante la creazione, come Google Password Manager, iCloud Keychain, browser, sistema operativo o security key. Se un browser non la trova, accedi con password, disattiva la passkey solo per quel dispositivo e riattivala dallo stesso browser.

Servono pacchetto Premium, licenza Premium effettiva, HTTPS e un ambiente PHP/runtime compatibile. RP ID e Origin dovrebbero corrispondere al dominio reale servito da WordPress.

Il pacchetto installato definisce quale codice è fisicamente presente. La licenza definisce il diritto commerciale. L’effective runtime plan è l’intersezione sicura tra pacchetto, licenza e requisiti tecnici.

La copertura dominio dipende dal piano acquistato e dagli eventuali add-on extra-domain. Una licenza può registrare un dominio primario e domini aggiuntivi coperti quando la policy lo consente.

La consegna dei pacchetti commerciali e i futuri controlli aggiornamento possono comunicare con i servizi Custom Auth Suite™ per verificare stato licenza, dominio collegato, pacchetto, versione e idoneità. Quando la consegna è disponibile, possono essere usati token temporanei di download o aggiornamento.

Sono contenuti JSON sicuri mostrati in aree amministrative CAS selezionate. Possono includere note di compatibilità, promemoria supporto, tutorial, rinnovi o comunicazioni prodotto. CAS non esegue JavaScript remoto arbitrario e non esegue HTML remoto arbitrario per queste card.

No. Messaggi amministrativi remoti e analytics di interazione sono separati. I messaggi possono essere consegnati come contenuto amministrativo utile, mentre analytics privacy-safe come impression, click CTA e dismiss dovrebbero richiedere opt-in.

Il report offre al supporto un punto di partenza più pulito: route, ambiente, cache guidance, cambi recenti e diagnostica redatta. Riduce domande ripetitive ed evita ticket generici del tipo “non funziona”.

No. Accesso al prodotto e copertura del supporto tecnico sono collegati ma separati. I ticket tecnici possono richiedere un entitlement di supporto attivo, un’estensione supporto, un intervento one-shot o revisione manuale in base al caso.

Quando disponibile, i log operativi CAS sono salvati in wp-content/uploads/cas-logs/. Possono essere esportati dal backend CAS per troubleshooting. I log sono separati dal Doctor Report e non devono contenere segreti.