Dviejų veiksnių autentifikavimo nustatymas WordPress

Įjungus dviejų žingsnių patvirtinimą (2FA), prisijungiant be slaptažodžio Jums reikės dar kai ko: dažniausiai šešių skaitmenų kodo iš programėlės Jūsų telefone. Taip net tas, kas žino Jūsų slaptažodį, negalės patekti į Jūsų svetainės valdymą. WordPress šios funkcijos neturi, todėl ją reikia pridėti įskiepiu. Čia sužinosite, kaip tai padaryti ir ką daryti, jei pametėte telefoną.

Kurį įskiepį pasirinkti?

Dviejų žingsnių patvirtinimo įskiepių yra daug, be to, šią funkciją turi ir daugelis saugumo įskiepių. Vienas paprastų yra Two Factor, kurį sukūrė pačios WordPress bendruomenės nariai. Toliau jį naudojame kaip pavyzdį, kiti įskiepiai veikia panašiai. Rinkdamiesi atkreipkite dėmesį į šiuos dalykus:

• ar palaikoma autentifikavimo programėlė (kodai pagal TOTP standartą);
• ar yra atsarginių kodų tam atvejui, jei pamestumėte telefoną;
• ar dviejų žingsnių patvirtinimą galima padaryti privalomą administratoriams. Two Factor pats to neleidžia: ten kiekvienas naudotojas jį įjungia savo profilyje;
• ar įskiepis vis dar atnaujinamas ir išbandytas su Jūsų WordPress versija.

Naudokite tik vieną. Jei jau turite saugumo įskiepį su dviejų žingsnių patvirtinimu, įjunkite jį ten.

Nustatymas su Two Factor

1. Įdiekite ir aktyvuokite įskiepį per Įskiepiai > Pridėti naują įskiepį.
2. Eikite į Naudotojai > Profilis ir slinkite iki dviejų žingsnių patvirtinimo bloko.
3. Pasirinkite autentifikavimo programėlę. Nuskaitykite QR kodą programėle savo telefone ir patikrinimui įveskite kodą.
4. Sukurkite atsarginius kodus. Tai dešimt kodų, kurių kiekvieną galima panaudoti vieną kartą. Laikykite juos slaptažodžių tvarkyklėje arba popieriuje, ne tik telefone.
5. Pasirinkite programėlę kaip numatytąjį būdą ir spustelėkite Atnaujinti profilį.
6. Atsijunkite ir vėl prisijunkite, kad patikrintumėte, ar viskas veikia.

Paprašykite kiekvieno kito administratoriaus ir redaktoriaus padaryti tą patį savo profilyje. Svetainė yra tiek saugi, kiek saugi silpniausia administratoriaus paskyra.

Pametėte telefoną arba įsigijote naują

• Naujas telefonas: perkelkite programėlę prieš ištrindami senąjį telefoną arba iš naujo nustatykite programėlę savo profilyje.
• Pamestas telefonas: prisijunkite vienu iš atsarginių kodų ir tada iš naujo nustatykite programėlę. Taip pat sukurkite naujus atsarginius kodus.
• Nebeturite atsarginių kodų: kitas administratorius gali išjungti dviejų žingsnių patvirtinimą Jūsų paskyroje skiltyje Naudotojai. Jei esate vienintelis administratorius, laikinai išjunkite įskiepį. Kaip tai padaryti, aprašyta straipsnio Negaliu prisijungti prie WordPress: ką daryti? 3 žingsnyje. Prisijunkite, iš naujo nustatykite programėlę ir vėl įjunkite įskiepį.

Passkeys

Naudodami passkey prisijungiate pirštų atspaudu, veido atpažinimu arba saugumo raktu. Passkey veikia tik tikroje svetainėje, todėl netikra svetainė negali jo perimti. Pats Two Factor passkeys nepalaiko: tam yra atskiras papildomas įskiepis, o kiti įskiepiai šią funkciją turi įdiegtą. Daugiau apie passkeys skaitykite straipsnyje Slaptažodžių tvarkyklė ir passkeys: kaip saugiai prisijungti.

Į ką dar atkreipti dėmesį

• Programų slaptažodžiai (skiltyje Naudotojai > Profilis) skirti programoms ir integracijoms, jais galima apeiti antrąjį žingsnį. Kurkite juos tik tada, kai būtina, ir panaikinkite, kai integracijos nebenaudojate.
• Dviejų žingsnių patvirtinimas nepakeičia gero slaptažodžio. Naudokite ilgą, unikalų slaptažodį iš slaptažodžių tvarkyklės.
• Apribokite ir pačią prisijungimo puslapį: žr. WordPress wp-login.php apsauga ir Papildoma WordPress apsauga: teisės, wp-config ir .htaccess.

Apsaugokite ir tai, kas aplink svetainę

Įsilaužėliui, perėmusiam Jūsų hostingo valdymo skydelį ar pašto dėžutę, Jūsų WordPress slaptažodžio nereikia. Todėl dviejų žingsnių patvirtinimą įjunkite ir čia:

• Mano WebOké: Dviejų žingsnių patvirtinimas Mano WebOké ir autentifikavimo programėlės nustatymas;
• DirectAdmin: Two-Step Authentication nustatymas;
• Jūsų pašto dėžutėje ir slaptažodžių tvarkyklėje.

Daugiau informacijos

• Saugus prisijungimas (Veilig Internetten, Nyderlandų vyriausybė, olandų k.)
• Brute force atakos (developer.wordpress.org, anglų k.)

Norite sužinoti daugiau? Išklausykite nemokamą WordPress kursą, pamoka 7.3 Prisijungimas: slaptažodžiai, dviejų žingsnių patvirtinimas ir brute force.