Konfiguracja weryfikacji dwuetapowej w WordPressie

Dzięki uwierzytelnianiu dwuetapowemu (2FA) podczas logowania potrzebują Państwo oprócz hasła czegoś jeszcze: zazwyczaj sześciocyfrowego kodu z aplikacji w telefonie. Osoba, która zna Państwa hasło, nadal nie dostanie się do panelu administracyjnego strony. WordPress nie ma tej funkcji wbudowanej. Dodaje się ją za pomocą wtyczki. Poniżej opisujemy, jak to zrobić i co zrobić w przypadku utraty telefonu.

Jaka wtyczka?

Istnieje wiele wtyczek do uwierzytelniania dwuetapowego, a wiele wtyczek zabezpieczających również ma tę funkcję. Prostą wtyczką jest Two Factor, stworzona przez współtwórców samego WordPressa. Używamy jej poniżej jako przykładu; inne wtyczki działają podobnie. Przy wyborze prosimy zwrócić uwagę na:

• obsługę aplikacji uwierzytelniającej (kody zgodne ze standardem TOTP);
• kody zapasowe na wypadek utraty telefonu;
• możliwość wymuszenia uwierzytelniania dwuetapowego dla administratorów. Two Factor sama tego nie umożliwia: tam każdy użytkownik włącza tę funkcję we własnym profilu;
• to, czy wtyczka jest nadal aktualizowana i przetestowana z Państwa wersją WordPressa.

Prosimy używać tylko jednej wtyczki. Jeśli mają już Państwo wtyczkę zabezpieczającą z uwierzytelnianiem dwuetapowym, prosimy włączyć je właśnie w niej.

Konfiguracja z Two Factor

1. Prosimy zainstalować i włączyć wtyczkę w menu Wtyczki > Dodaj wtyczkę.
2. Prosimy przejść do Użytkownicy > Profil i przewinąć do sekcji uwierzytelniania dwuetapowego.
3. Prosimy wybrać aplikację uwierzytelniającą. Prosimy zeskanować kod QR aplikacją w telefonie i wpisać kod w celu weryfikacji.
4. Prosimy wygenerować kody zapasowe. To dziesięć kodów, z których każdy można użyć tylko raz. Prosimy przechowywać je w menedżerze haseł lub na papierze, a nie wyłącznie w telefonie.
5. Prosimy ustawić aplikację jako metodę domyślną i kliknąć Zaktualizuj profil.
6. Prosimy wylogować się i zalogować ponownie, aby sprawdzić, czy wszystko działa.

Prosimy poprosić każdego innego administratora i redaktora o wykonanie tych samych kroków we własnym profilu. Strona jest tak bezpieczna, jak najsłabsze konto administratora.

Utrata telefonu lub nowy telefon

• Nowy telefon: prosimy przenieść aplikację przed wyczyszczeniem starego telefonu albo ponownie skonfigurować aplikację w swoim profilu.
• Utrata telefonu: prosimy zalogować się jednym z kodów zapasowych, a następnie ponownie skonfigurować aplikację. Prosimy również wygenerować nowe kody zapasowe.
• Brak kodów zapasowych: inny administrator może wyłączyć uwierzytelnianie dwuetapowe na Państwa koncie w sekcji Użytkownicy. Jeśli są Państwo jedynym administratorem, prosimy tymczasowo wyłączyć wtyczkę. Sposób opisano w kroku 3 artykułu Nie mogę zalogować się do WordPressa: co teraz? Następnie prosimy się zalogować, ponownie skonfigurować aplikację i włączyć wtyczkę z powrotem.

Passkeys

Za pomocą passkey logują się Państwo odciskiem palca, rozpoznawaniem twarzy lub kluczem bezpieczeństwa. Passkey działa wyłącznie na prawdziwej stronie, więc fałszywa strona nie może go przechwycić. Sama wtyczka Two Factor nie obsługuje passkeys; służy do tego osobna wtyczka uzupełniająca, a inne wtyczki mają tę funkcję wbudowaną. Więcej o passkeys przeczytają Państwo w artykule Menedżer haseł i passkeys: jak bezpiecznie zorganizować logowanie.

Na co jeszcze zwrócić uwagę

• Hasła aplikacji (w sekcji Użytkownicy > Profil) są przeznaczone dla aplikacji i integracji i mogą omijać drugi etap weryfikacji. Prosimy tworzyć je tylko wtedy, gdy jest to konieczne, i unieważniać je, gdy integracja nie jest już używana.
• Uwierzytelnianie dwuetapowe nie zastępuje dobrego hasła. Prosimy używać długiego, unikalnego hasła z menedżera haseł.
• Prosimy ograniczyć również dostęp do samej strony logowania: zob. Zabezpieczanie wp-login.php w WordPressie oraz Dodatkowe zabezpieczenie WordPressa: uprawnienia, wp-config i .htaccess.

Również wokół Państwa strony

Włamywacz, który przejmie Państwa panel hostingowy lub skrzynkę pocztową, nie potrzebuje hasła do WordPressa. Dlatego prosimy włączyć uwierzytelnianie dwuetapowe także w:

• Moje WebOké: Uwierzytelnianie dwuetapowe w Moje WebOké i konfiguracja aplikacji uwierzytelniającej;
• DirectAdmin: Konfiguracja Two-Step Authentication;
• Państwa skrzynce pocztowej i menedżerze haseł.

Dalsza lektura

• Bezpieczne logowanie (Veilig Internetten, rząd Holandii, w języku niderlandzkim)
• Ataki brute force (developer.wordpress.org, w języku angielskim)

Chcą Państwo dowiedzieć się więcej? Zapraszamy na bezpłatny kurs WordPressa, lekcja 7.3 Logowanie: hasła, uwierzytelnianie dwuetapowe i ataki brute force.