Configurarea verificării în doi pași pentru WordPress

Cu verificarea în doi pași (2FA), la autentificare aveți nevoie, pe lângă parolă, de încă ceva: de obicei un cod de șase cifre dintr-o aplicație de pe telefonul dumneavoastră. Cineva care vă cunoaște parola tot nu poate intra în administrarea site-ului. WordPress nu are această funcție integrată. O adăugați cu ajutorul unui modul. Aici aflați cum se face și ce trebuie să faceți dacă v-ați pierdut telefonul.

Ce modul alegeți?

Există multe module pentru verificarea în doi pași, iar multe module de securitate o includ și ele. Unul simplu este Two Factor, creat de contributori la WordPress însuși. Îl folosim mai jos ca exemplu; alte module funcționează asemănător. La alegere, urmăriți:

• suportul pentru o aplicație de autentificare (coduri conform standardului TOTP);
• coduri de rezervă pentru situația în care v-ați pierdut telefonul;
• dacă puteți face verificarea în doi pași obligatorie pentru administratori. Two Factor nu poate face acest lucru singur: acolo fiecare utilizator o activează în propriul profil;
• ca modulul să fie încă actualizat și testat cu versiunea dumneavoastră de WordPress.

Folosiți unul singur. Dacă aveți deja un modul de securitate cu verificare în doi pași, activați-o acolo.

Configurarea cu Two Factor

1. Instalați și activați modulul prin Module > Adaugă modul.
2. Mergeți la Utilizatori > Profil și derulați până la secțiunea pentru verificarea în doi pași.
3. Alegeți aplicația de autentificare. Scanați codul QR cu aplicația de pe telefon și introduceți codul pentru verificare.
4. Generați coduri de rezervă. Acestea sunt zece coduri, fiecare utilizabil o singură dată. Păstrați-le în managerul de parole sau pe hârtie, nu doar pe telefon.
5. Alegeți aplicația ca metodă implicită și faceți clic pe Actualizează profilul.
6. Deconectați-vă și autentificați-vă din nou pentru a verifica dacă funcționează.

Rugați fiecare alt administrator și editor să facă același lucru în propriul profil. Un site este la fel de sigur ca cel mai slab cont de administrator.

Telefon pierdut sau telefon nou

• Telefon nou: transferați aplicația înainte de a șterge vechiul telefon sau configurați din nou aplicația în profilul dumneavoastră.
• Telefon pierdut: autentificați-vă cu unul dintre codurile de rezervă și apoi configurați din nou aplicația. Generați și coduri de rezervă noi.
• Nu mai aveți coduri de rezervă: un alt administrator poate dezactiva verificarea în doi pași la contul dumneavoastră din Utilizatori. Dacă sunteți singurul administrator, dezactivați temporar modulul. Cum se face, aflați la pasul 3 din Nu mă pot autentifica în WordPress: ce fac acum? Autentificați-vă, configurați din nou aplicația și reactivați modulul.

Passkeys

Cu un passkey vă autentificați cu amprenta, cu fața sau cu o cheie de securitate. Un passkey funcționează doar pe site-ul real, astfel încât un site fals nu îl poate intercepta. Two Factor nu are passkeys; pentru acestea există un modul suplimentar separat, iar alte module le au integrate. Mai multe despre passkeys aflați în Manager de parole și passkeys: cum vă securizați autentificarea.

La ce mai trebuie să fiți atenți

• Parolele de aplicație (la Utilizatori > Profil) sunt destinate aplicațiilor și integrărilor și pot ocoli al doilea pas. Creați-le doar când este necesar și revocați-le când nu mai folosiți integrarea.
• Verificarea în doi pași nu înlocuiește o parolă bună. Folosiți o parolă lungă și unică dintr-un manager de parole.
• Restricționați și pagina de autentificare însăși: consultați Securizarea wp-login.php din WordPress și Securizarea suplimentară a WordPress: permisiuni, wp-config și .htaccess.

Și în jurul site-ului dumneavoastră

Un atacator care preia panoul de găzduire sau căsuța de e-mail nu are nevoie de parola dumneavoastră de WordPress. De aceea, activați verificarea în doi pași și pentru:

• Contul meu WebOké: Verificarea în doi pași în Contul meu WebOké și configurarea unei aplicații de autentificare;
• DirectAdmin: Configurarea Two-Step Authentication;
• căsuța de e-mail și managerul de parole.

Lectură suplimentară

• Autentificare sigură (Veilig Internetten, guvernul olandez, în limba neerlandeză)
• Atacuri brute force (developer.wordpress.org, în limba engleză)

Doriți să aflați mai multe? Urmați cursul gratuit de WordPress, lecția 7.3 Autentificarea: parole, verificare în doi pași și brute force.