Настройване на двуфакторна автентикация за WordPress

С двуфакторно удостоверяване (2FA) при влизане Ви е необходимо още нещо освен паролата: обикновено шестцифрен код от приложение на Вашия телефон. Така човек, който знае паролата Ви, все още не може да влезе в администрацията на Вашия сайт. WordPress няма вградена такава функция. Добавяте я чрез разширение. Тук ще прочетете как става това и какво да направите, ако загубите телефона си.

Кое разширение?

Има много разширения за двуфакторно удостоверяване, а много разширения за сигурност също включват тази функция. Едно простo разширение е Two Factor, създадено от сътрудници на самия WordPress. По-долу го използваме като пример; другите разширения работят по подобен начин. При избора обърнете внимание на:

• поддръжка на приложение за удостоверяване (кодове по стандарта TOTP);
• резервни кодове за случай, че загубите телефона си;
• дали можете да направите двуфакторното удостоверяване задължително за администраторите. Two Factor не може да прави това само: при него всеки потребител го включва в собствения си профил;
• дали разширението все още се обновява и е тествано с Вашата версия на WordPress.

Използвайте само едно. Ако вече имате разширение за сигурност с двуфакторно удостоверяване, включете функцията в него.

Настройване с Two Factor

1. Инсталирайте и активирайте разширението чрез Разширения > Добавяне на разширение.
2. Отидете в Потребители > Профил и превъртете до раздела за двуфакторно удостоверяване.
3. Изберете приложение за удостоверяване. Сканирайте QR кода с приложението на телефона си и въведете кода за проверка.
4. Създайте резервни кодове. Това са десет кода, всеки от които можете да използвате еднократно. Съхранявайте ги в мениджъра си за пароли или на хартия, не само на телефона си.
5. Изберете приложението като метод по подразбиране и натиснете Обновяване на профила.
6. Излезте и влезте отново, за да проверите дали работи.

Помолете всеки друг администратор и редактор да направи същото в собствения си профил. Един сайт е толкова защитен, колкото е защитен най-слабият администраторски акаунт.

Загубен или нов телефон

• Нов телефон: прехвърлете приложението, преди да изтриете стария телефон, или настройте приложението отново в профила си.
• Загубен телефон: влезте с един от резервните си кодове и след това настройте приложението отново. Създайте и нови резервни кодове.
• Нямате повече резервни кодове: друг администратор може да изключи двуфакторното удостоверяване за Вашия акаунт в Потребители. Ако сте единственият администратор, временно изключете разширението. Как става това, е описано в стъпка 3 на Не мога да вляза в WordPress: какво да направя? Влезте, настройте приложението отново и включете разширението пак.

Passkeys

С passkey влизате с пръстов отпечатък, лицето си или ключ за сигурност. Passkey работи само на истинския сайт, така че фалшив сайт не може да го прихване. Самото Two Factor не поддържа passkeys; за тях съществува отделно допълнително разширение, а други разширения ги имат вградени. Повече за passkeys ще прочетете в Мениджър за пароли и passkeys: как да влизате безопасно.

За какво още да внимавате

• Паролите за приложения (в Потребители > Профил) са предназначени за приложения и интеграции и могат да заобиколят втората стъпка. Създавайте ги само при необходимост и ги отменяйте, когато вече не използвате интеграцията.
• Двуфакторното удостоверяване не замества добрата парола. Използвайте дълга, уникална парола от мениджър за пароли.
• Ограничете и самата страница за вход: вижте Защита на wp-login.php на WordPress и Допълнителна защита на WordPress: права, wp-config и .htaccess.

И около Вашия сайт

Нарушител, който поеме контрола над хостинг панела или пощенската Ви кутия, няма нужда от паролата Ви за WordPress. Затова включете двуфакторно удостоверяване и за:

• Моят WebOké: Двуфакторно удостоверяване в Моят WebOké и настройване на приложение за удостоверяване;
• DirectAdmin: Настройване на Two-Step Authentication;
• Вашата пощенска кутия и Вашия мениджър за пароли.

Допълнителна информация

• Безопасно влизане (Veilig Internetten, нидерландско правителство, на нидерландски)
• Brute force атаки (developer.wordpress.org, на английски)

Искате да научите повече? Запишете се в безплатния курс по WordPress, урок 7.3 Влизане: пароли, двуфакторно удостоверяване и brute force.