Configurar a verificação em dois passos para o WordPress

Com a verificação em dois passos (2FA), ao iniciar sessão precisa de mais alguma coisa além da sua palavra-passe: normalmente um código de seis dígitos gerado por uma aplicação no seu telemóvel. Assim, alguém que tenha a sua palavra-passe continua sem conseguir aceder à gestão do seu site. O WordPress não tem esta função integrada. Pode adicioná-la com um plugin. Aqui pode ler como o fazer e o que fazer se perder o seu telemóvel.

Que plugin escolher?

Existem muitos plugins para a verificação em dois passos, e muitos plugins de segurança também a incluem. Um plugin simples é o Two Factor, criado por colaboradores do próprio WordPress. É esse que usamos abaixo como exemplo; outros plugins funcionam de forma semelhante. Ao escolher, verifique:

• se suporta uma aplicação de autenticação (códigos segundo a norma TOTP);
• se oferece códigos de recuperação para o caso de perder o telemóvel;
• se permite tornar a verificação em dois passos obrigatória para administradores. O Two Factor não o faz por si só: cada utilizador ativa-a no seu próprio perfil;
• se o plugin continua a ser atualizado e foi testado com a sua versão do WordPress.

Utilize apenas um. Se já tem um plugin de segurança com verificação em dois passos, ative-a nesse plugin.

Configurar com o Two Factor

1. Instale e ative o plugin através de Plugins > Adicionar plugin.
2. Aceda a Utilizadores > Perfil e desloque-se até à secção da verificação em dois passos.
3. Escolha a aplicação de autenticação. Leia o código QR com a aplicação no seu telemóvel e introduza o código para confirmação.
4. Crie códigos de recuperação. São dez códigos que pode utilizar uma única vez cada. Guarde-os no seu gestor de palavras-passe ou em papel, e não apenas no seu telemóvel.
5. Defina a aplicação como método predefinido e clique em Atualizar perfil.
6. Termine a sessão e volte a iniciá-la para confirmar que funciona.

Peça a cada um dos outros administradores e editores que faça o mesmo no seu próprio perfil. Um site é tão seguro quanto a conta de administrador mais fraca.

Telemóvel perdido ou telemóvel novo

• Telemóvel novo: transfira a aplicação antes de apagar o telemóvel antigo, ou volte a configurar a aplicação no seu perfil.
• Telemóvel perdido: inicie sessão com um dos seus códigos de recuperação e, em seguida, volte a configurar a aplicação. Crie também novos códigos de recuperação.
• Já não tem códigos de recuperação: outro administrador pode desativar a verificação em dois passos da sua conta em Utilizadores. Se for o único administrador, desative temporariamente o plugin. A forma de o fazer está descrita no passo 3 de Não consigo iniciar sessão no WordPress: o que fazer? Inicie sessão, volte a configurar a aplicação e reative o plugin.

Passkeys

Com uma passkey, inicia sessão com a sua impressão digital, o seu rosto ou uma chave de segurança. Uma passkey só funciona no site verdadeiro, pelo que um site falso não a consegue intercetar. O Two Factor não suporta passkeys por si só; para isso existe um plugin complementar separado, e outros plugins já as têm integradas. Pode saber mais sobre passkeys em Gestor de palavras-passe e passkeys: como iniciar sessão em segurança.

Outros pontos a ter em atenção

• As palavras-passe de aplicação (em Utilizadores > Perfil) destinam-se a aplicações e integrações e podem contornar o segundo passo. Crie-as apenas quando for necessário e revogue-as quando deixar de utilizar a integração.
• A verificação em dois passos não substitui uma boa palavra-passe. Utilize uma palavra-passe longa e única, gerada por um gestor de palavras-passe.
• Proteja também a própria página de início de sessão: consulte Proteger o wp-login.php do WordPress e Reforçar a segurança do WordPress: permissões, wp-config e .htaccess.

Também à volta do seu site

Um intruso que se apodere do seu painel de alojamento ou da sua caixa de correio não precisa da sua palavra-passe do WordPress. Por isso, ative também a verificação em dois passos em:

• O meu WebOké: Configurar a verificação em dois passos no O meu WebOké e uma aplicação de autenticação;
• DirectAdmin: Configurar a Two-Step Authentication;
• a sua caixa de correio e o seu gestor de palavras-passe.

Leitura adicional

• Iniciar sessão em segurança (Veilig Internetten, governo dos Países Baixos, em neerlandês)
• Ataques de força bruta (developer.wordpress.org, em inglês)

Quer aprender mais? Siga o curso gratuito de WordPress, lição 7.3 Iniciar sessão: palavras-passe, verificação em dois passos e força bruta.