Postavljanje dvostruke provjere autentičnosti za WordPress

Uz dvostupanjsku provjeru autentičnosti (2FA) pri prijavi osim lozinke trebate još nešto: najčešće šesteroznamenkasti kôd iz aplikacije na Vašem telefonu. Netko tko ima Vašu lozinku tada još uvijek ne može ući u administraciju Vaše stranice. WordPress to nema ugrađeno. Dodajete to pomoću dodatka. Ovdje možete pročitati kako to funkcionira i što učiniti ako izgubite telefon.

Koji dodatak?

Postoji mnogo dodataka za dvostupanjsku provjeru autentičnosti, a i mnogi sigurnosni dodaci je imaju ugrađenu. Jednostavan je Two Factor, koji su izradili suradnici samog WordPressa. Njega u nastavku koristimo kao primjer; drugi dodaci rade slično. Pri odabiru obratite pozornost na sljedeće:

• podršku za aplikaciju za autentifikaciju (kodovi prema standardu TOTP);
• rezervne kodove za slučaj da izgubite telefon;
• možete li dvostupanjsku provjeru autentičnosti učiniti obveznom za administratore. Two Factor to sam ne može: ondje je svaki korisnik uključuje u vlastitom profilu;
• da se dodatak još ažurira i da je testiran s Vašom verzijom WordPressa.

Koristite samo jedan. Ako već imate sigurnosni dodatak s dvostupanjskom provjerom autentičnosti, uključite je u njemu.

Postavljanje s dodatkom Two Factor

1. Instalirajte i aktivirajte dodatak putem Dodaci > Dodaj novi dodatak.
2. Idite na Korisnici > Profil i pomaknite se do odjeljka za dvostupanjsku provjeru autentičnosti.
3. Odaberite aplikaciju za autentifikaciju. Skenirajte QR kôd aplikacijom na svom telefonu i unesite kôd radi provjere.
4. Izradite rezervne kodove. To je deset kodova od kojih svaki možete upotrijebiti jednom. Spremite ih u upravitelj lozinki ili na papir, ne samo na telefon.
5. Odaberite aplikaciju kao zadanu metodu i kliknite Ažuriraj profil.
6. Odjavite se i ponovno prijavite kako biste provjerili radi li sve.

Neka svaki drugi administrator i urednik učini isto u svom profilu. Stranica je sigurna onoliko koliko je siguran njezin najslabiji administratorski račun.

Izgubljen ili novi telefon

• Novi telefon: prenesite aplikaciju prije nego što izbrišete stari telefon ili ponovno postavite aplikaciju u svom profilu.
• Izgubljen telefon: prijavite se jednim od svojih rezervnih kodova, a zatim ponovno postavite aplikaciju. Izradite i nove rezervne kodove.
• Nema više rezervnih kodova: drugi administrator može kod Vašeg računa u izborniku Korisnici isključiti dvostupanjsku provjeru autentičnosti. Ako ste jedini administrator, privremeno isključite dodatak. Kako se to radi, opisano je u 3. koraku članka Ne mogu se prijaviti u WordPress: što sada? Prijavite se, ponovno postavite aplikaciju i ponovno uključite dodatak.

Passkeyji

S passkeyjem se prijavljujete otiskom prsta, licem ili sigurnosnim ključem. Passkey radi samo na pravoj stranici, pa ga lažna stranica ne može presresti. Sam Two Factor nema passkeyje; za to postoji zaseban dodatni dodatak, a drugi dodaci to imaju ugrađeno. Više o passkeyjima pročitajte u članku Upravitelj lozinki i passkeyji: tako sigurno uređujete svoje prijave.

Na što još trebate pripaziti

• Lozinke aplikacija (u Korisnici > Profil) namijenjene su aplikacijama i integracijama te mogu zaobići drugi korak. Izradite ih samo kada je to potrebno i opozovite ih kada integraciju više ne koristite.
• Dvostupanjska provjera autentičnosti ne zamjenjuje dobru lozinku. Koristite dugu, jedinstvenu lozinku iz upravitelja lozinki.
• Ograničite i samu stranicu za prijavu: pogledajte Zaštita datoteke wp-login.php u WordPressu i Dodatna zaštita WordPressa: dozvole, wp-config i .htaccess.

I oko Vaše stranice

Napadač koji preuzme Vašu upravljačku ploču za hosting ili Vaš sandučić e-pošte ne treba Vašu lozinku za WordPress. Zato dvostupanjsku provjeru autentičnosti uključite i na:

• Moj WebOké: Postavljanje dvostupanjske provjere autentičnosti u Moj WebOké i aplikacije za autentifikaciju;
• DirectAdmin: Postavljanje Two-Step Authentication;
• Vaš sandučić e-pošte i Vaš upravitelj lozinki.

Dodatno čitanje

• Sigurna prijava (Veilig Internetten, nizozemska vlada, na nizozemskom)
• Brute force napadi (developer.wordpress.org, na engleskom)

Želite li naučiti više? Pratite besplatni tečaj za WordPress, lekcija 7.3 Prijava: lozinke, dvostupanjska provjera autentičnosti i brute force.