Что такое двухфакторная аутентификация?
Двухфакторная аутентификация добавляет вторую проверку при входе в WordPress. Одного украденного пароля уже не должно хватить, чтобы попасть в админку. В этом весь смысл.
Двухфакторная аутентификация, или 2FA, сочетает разные подтверждения: то, что вы знаете, например пароль, с тем, что у вас есть, например приложением-аутентификатором или ключом безопасности. Либо использует биометрические данные, например отпечаток пальца. Обычно вы вводите пароль WordPress, а затем проходите вторую проверку. Еще один пароль запоминать не придется.
Можете встретить и название «MFA для администратора WordPress». При входе в админку MFA и 2FA означают практически одно и то же: 2FA - это вариант многофакторной аутентификации с двумя факторами.
Что означает статус 2FA в WordPress?
Статус 2FA обычно показывает, настроил ли пользователь WordPress вторую проверку входа через плагин. «Доступно» может означать лишь наличие функции, а «Включено» - что пользователь уже настроил ее для своего аккаунта. Названия отличаются. Поэтому загляните в пояснения плагина, а не считайте всех пользователей защищенными по умолчанию.
Зачем это администраторам
Администратор может устанавливать плагины, менять настройки и создавать пользователей. Отдать такой аккаунт - значит отдать весь сайт. Без второй проверки иногда хватает пароля, засветившегося на другом сервисе, или убедительной поддельной страницы входа.
Я руковожу небольшим агентством в Эстонии: мы занимаемся безопасностью и обслуживанием WordPress для бизнеса по всему ЕС. Мой подход - сначала защитить администраторов, потом всех, кто меняет контент, товары, бронирования или заказы. В статье про защиту входа в WordPress разобраны другие меры, которые я советую использовать вместе с 2FA.
Какой способ 2FA выбрать?
В самом WordPress встроенной 2FA нет. Ее добавляют плагином, и набор способов зависит от конкретного плагина. Я бы расставил их так:
- Ключ безопасности или ключ доступа (passkey): самый надежный вариант из этого списка при правильной поддержке. Проверьте совместимость: поддержка физического ключа еще не означает, что любой вариант passkey тоже заработает. Правда, носить отдельное устройство некоторым командам покажется лишней морокой.
- Приложение-аутентификатор: мой обычный выбор для малого бизнеса. Коды TOTP меняются каждые 30 секунд и не зависят от доставки писем или СМС. Подойдут, например, Aegis, 2FAS, Google Authenticator и Microsoft Authenticator.
- Код по электронной почте: удобно, но защита зависит от самого почтового ящика. Кто контролирует почту, тот сможет получить и код.
- СМС: лучше одного пароля, но слабее остальных вариантов здесь. При подмене SIM-карты злоумышленник может перенести ваш номер на свое устройство.
Бесплатный плагин Two Factor, который поддерживают участники сообщества WordPress.org, работает с TOTP, почтой, резервными кодами и ключами безопасности FIDO U2F. Еще можно рассмотреть Wordfence Login Security и WP 2FA. Bearmor Security тоже предлагает бесплатную 2FA по почте для администраторов. Если нужна помощь с выбором и настройкой, у нас есть бесплатная двухфакторная аутентификация WordPress.
Настройка 2FA для администратора WordPress по шагам
Для приложения-аутентификатора выберите плагин с поддержкой TOTP. Экраны будут разными, но порядок примерно такой:
- Сделайте бэкап сайта. Убедитесь, что можете войти в аккаунт хостинга и открыть файловый менеджер или подключиться по SFTP. Если вход сломается, понадобится другой путь.
- Установите и активируйте плагин. Через раздел «Плагины» в WordPress. Сама активация еще не включает 2FA для вашего аккаунта.
- Найдите настройки 2FA своего аккаунта. Они могут быть в профиле или на странице настроек плагина. Выберите вход через приложение-аутентификатор.
- Отсканируйте QR-код. Добавьте его через приложение-аутентификатор. Подпишите запись названием сайта, иначе потом легко перепутать аккаунты.
- Подтвердите код. Введите шестизначный код из приложения в нужное поле. Если срок его действия вот-вот закончится, дождитесь следующего.
- Сохраните коды восстановления. Создайте их, если плагин это поддерживает. Уберите в менеджер паролей либо распечатайте и храните в недоступном для посторонних месте. Только на телефоне - не вариант.
- Проверьте новый вход. Не закрывайте текущий сеанс. Откройте приватное окно браузера и войдите заново. Убедитесь, что пароль и код работают, и только потом закрывайте старый сеанс.
- Повторите для остальных пользователей. Начните с администраторов, редакторов и менеджеров магазина. Проверьте их доступ до того, как сделаете 2FA обязательной.
Пусть человек не узнает о непроверенном требовании входа в тот момент, когда ему срочно нужно поправить карточку товара.
Подключите остальных и проверьте статус каждого
Защита вашего аккаунта не защищает другого администратора. Выдайте каждому отдельный логин, помогите закончить настройку, затем проверьте статус 2FA у всех. Никаких общих администраторских аккаунтов. С ними сложнее и выяснять, кто что сделал, и восстанавливать доступ.
Если плагин умеет требовать 2FA для отдельных ролей, включите это после проверки входа и сохранения кодов восстановления всеми пользователями. Если нет - добавьте настройку в список действий для новых сотрудников и проверяйте аккаунты при кадровых изменениях. Человек ушел? Уберите доступ. Наличие 2FA не повод хранить старый аккаунт.
Потеряли телефон? Начните с кодов восстановления
Если потеряете телефон сохраненные коды - ваш первый вариант. Используйте один, подключите новый аутентификатор и если нужно, обновите коды восстановления. Использованный резервный код обычно повторно не работает.
Кодов нет? Другой администратор, которому вы доверяете, возможно, сможет сбросить вашу 2FA через плагин. Если такой возможности нет, администратор с доступом к серверу может через SFTP или файловый менеджер хостинга переименовать папку нужного плагина внутри wp-content/plugins. Обычно это отключает плагин целиком, включая защиту 2FA для остальных пользователей.
Это временный способ вернуть доступ, а не решение проблемы. Следуйте инструкции плагина по восстановлению: сбросьте настройки своего аккаунта, верните папке прежнее имя и снова включите защиту. Потом проверьте, осталось ли требование обязательной 2FA. И заранее выясните, у кого есть доступ к хостингу.
Короткие вопросы напоследок
Защищает ли 2FA подключения через API?
Автоматически - нет. Пароли приложений WordPress дают доступ через API без интерактивного запроса 2FA. После настройки проверьте пароли приложений WordPress и ключи доступа, а неиспользуемые отзовите. С XML-RPC тоже все зависит от плагина: прежде чем что-то отключать, выясните, используете ли вы его и что именно защищает ваш плагин.
Можно ли попасть на сайт при включенной 2FA?
Да. Украденный активный сеанс или cookie могут избавить злоумышленника от нового входа. Уязвимые плагины и слабые пароли от хостинга - отдельные проблемы. Обновляйте софт, защищайте доступ к хостингу и ограничивайте попытки входа. Наша защита входа WordPress помогает ограничить повторные попытки подбора пароля. Она дополняет 2FA, а не заменяет ее.
Что первым делом проверить сегодня?
Откройте список пользователей и проверьте статус 2FA у каждого администратора. Затем войдите сами через приватное окно и убедитесь, что можете найти коды восстановления, не доставая телефон.