Come modificare la soglia di blocco account per gli account locali in Windows

La soglia di blocco account sui dispositivi Windows limita i tentativi di accesso non riusciti e impedisce gli accessi non autorizzati. Capire come funziona questo meccanismo permette ai team IT di rafforzare la security posture dell’organizzazione e di proteggere i dati sensibili da accessi non autorizzati. Questa guida spiega come proteggere gli account locali con le soglie di blocco account e prevenire gli attacchi di forza bruta sui tuoi dispositivi Windows.

Come configurare le impostazioni di blocco account per gli account locali in Windows 10

Puoi modificare la soglia di blocco account per gli account locali usando l’Editor Criteri di gruppo locali oppure il Prompt dei comandi.

Metodo 1: modificare la soglia di blocco con l’Editor Criteri di gruppo

Situazione d’uso: la configurazione tramite Editor Criteri di gruppo è ideale per una distribuzione su tutta l’organizzazione.

Prerequisiti: perché questo metodo funzioni, gli utenti devono avere:

• Windows 10 Pro, Enterprise o Education (⚠️ IMPORTANTE: questo metodo non funziona con Windows 10 Home.)
• accesso come amministratore al computer

💡 NOTA: è buona norma eseguire un backup delle impostazioni di sistema esistenti prima di apportare modifiche, per evitare possibili problemi.

Per usare questo metodo, segui questi passaggi:

1. Assicurati di avere accesso come amministratore al computer.
2. Esegui un backup delle impostazioni di sistema esistenti per evitare possibili problemi.
3. Premi Win + R per aprire la finestra Esegui, quindi digita “gpedit.msc”. Premi Invio per aprire l’Editor Criteri di gruppo locali.
4. Vai su Configurazione del computer > Impostazioni di Windows > Impostazioni sicurezza > Criteri account > Criterio di blocco account.
5. Fai clic su Criterio di blocco account per aprire un nuovo riquadro sulla destra.
6. Fai doppio clic su “Soglia di blocco account”.
7. Per impostazione predefinita il valore è 0, ma puoi inserire qualsiasi numero compreso tra 0 e 999 per indicare quanti tentativi di accesso non validi può fare un utente prima che l’account venga bloccato.
8. Dopo aver impostato il valore di soglia desiderato, si aprirà una finestra per confermare la durata predefinita del blocco e il periodo di reimpostazione del contatore. Entrambi sono impostati su 30 minuti per impostazione predefinita, ma puoi modificarli con i valori che preferisci.
9. Quando hai finito, fai clic su “OK”.

Metodo 2: configurare il criterio di blocco per gli account locali con il Prompt dei comandi

Situazioni d’uso: usa il Prompt dei comandi per i dispositivi che non hanno accesso all’Editor Criteri di gruppo e per interventi rapidi basati su script. Questo metodo funziona su tutte le versioni di Windows.

Prerequisiti: ti serve un accesso di livello amministratore per aprire un prompt dei comandi con privilegi elevati.

Per modificare la soglia di blocco con il Prompt dei comandi, procedi così:

1. Verifica di avere un accesso di livello amministratore per aprire un prompt dei comandi con privilegi elevati.
2. Esegui un backup delle impostazioni di sistema esistenti per evitare possibili problemi.
3. Imposta la soglia con il comando seguente:
   
   net accounts /lockoutthreshold:<value>[/codebox]
   Devi sostituire <value> con il numero di tentativi non riusciti che vuoi consentire.
4. Per verificare le modifiche apportate, puoi eseguire questo comando, che mostra le impostazioni correnti del criterio di blocco account:
   net accounts[/code box]
5. A questo punto puoi chiudere il prompt dei comandi oppure modificare i 30 minuti predefiniti per la durata del blocco e per il periodo di reimpostazione del contatore.

Che cos’è la soglia di blocco account in Windows

La soglia di blocco account determina il numero di tentativi di accesso non riusciti consentiti prima che un account locale venga bloccato temporaneamente. Al raggiungimento del limite, l’account diventa inaccessibile per un periodo definito oppure finché non viene sbloccato manualmente, a seconda delle altre policy di sicurezza.
Configurare nel modo migliore le impostazioni di blocco account di Windows aiuta gli esperti di sicurezza IT a prevenire gli attacchi di forza bruta, in cui utenti non autorizzati provano ripetutamente password diverse finché non riescono ad accedere. Modificare la soglia di blocco account può aiutare a prevenire anche altri tipi di attacchi informatici, come il credential stuffing.
💡 Suggerimento: è utile anche regolare per quanto tempo gli account restano bloccati dopo i tentativi non riusciti: consulta Come modificare la durata del blocco account per gli account locali per istruzioni dettagliate.

Trova il giusto equilibrio tra sicurezza e usabilità con la soglia di blocco corretta. Guarda Come modificare la soglia di blocco account in Windows.

Perché modificare la soglia di blocco account

Anche se i sistemi Windows hanno impostazioni predefinite per la soglia di blocco account, i professionisti e le organizzazioni – soprattutto quelli che devono garantire la conformità IT agli standard normativi – possono avere la necessità di configurare il criterio di blocco per gli account locali.

Risoluzione dei problemi più comuni legati alla soglia di blocco account

Il criterio non viene applicato correttamente

Assicurati di avere privilegi di amministratore quando usi l’Editor Criteri di gruppo locali. Al termine delle modifiche nell’Editor Criteri di gruppo, apri il Prompt dei comandi ed esegui:

gpupdate /force[/code box]

Questo comando aggiorna tutti i criteri di gruppo e garantisce l’applicazione delle modifiche.

Le modifiche non si riflettono sugli account locali

Se il dispositivo fa parte di una rete, il criterio di blocco account si applica agli account locali e non a quelli di dominio. Puoi anche controllare le impostazioni per verificare se un altro criterio di gruppo applicato sovrascrive l’impostazione locale.

Ripristinare le impostazioni predefinite della soglia di blocco account

Se gli utenti vengono bloccati spesso sui loro dispositivi, potrebbe essere necessario modificare il numero di tentativi consentiti o ripristinare tutte le impostazioni di blocco account ai valori predefiniti. Se devi ripristinare le impostazioni predefinite, torna nell’Editor Criteri di gruppo locali e reimposta il valore su “0”. Un altro modo per ripristinare le impostazioni predefinite è inserire questo script nel Prompt dei comandi o in PowerShell:

net accounts /lockoutthreshold:0[/code block]

Best practice per i criteri di blocco account di Windows

Trova un equilibrio tra usabilità e sicurezza

Soglie di blocco troppo severe possono creare disagi agli utenti legittimi e aumentare il volume di ticket all’Helpdesk. D’altra parte, i blocchi degli account contribuiscono a rafforzare la sicurezza degli endpoint impedendo accessi non autorizzati ai dispositivi Windows.

Adatta la configurazione del blocco degli account locali alle tue esigenze

Microsoft consiglia una soglia di blocco account di 10 tentativi non riusciti, per ridurre i blocchi accidentali e i ticket all’help desk. Detto questo, un intervallo di 3-5 tentativi non riusciti può essere più indicato per gli ambienti ad alta sicurezza, perché scoraggia gli attacchi di forza bruta senza causare un numero eccessivo di blocchi accidentali.

Comunica le policy in modo chiaro agli utenti finali

I team IT devono informare gli utenti finali sulle soglie di blocco account per ridurre i tentativi non riusciti. Quando gli utenti conoscono le soglie, si riduce il numero di ticket all’help desk aperti per blocchi accidentali e i tecnici possono dedicarsi a problemi più urgenti.

Come proteggere gli account locali con le soglie di blocco account

Modificare la soglia di blocco account aiuta a proteggere gli account locali di Windows e a scoraggiare gli attacchi di forza bruta. Una configurazione errata, però, può creare disagi agli utenti, che rischiano di non poter più accedere ai loro dispositivi a causa di blocchi frequenti. Per questo i professionisti IT devono rivedere e aggiornare regolarmente questa policy, così da proteggere i dispositivi endpoint Windows e ridurre al minimo i tempi di inattività.