Kétlépcsős azonosítás beállítása WordPresshez

A kétlépcsős azonosítással (2FA) a bejelentkezéshez a jelszaván kívül még valamire szüksége lesz: általában egy hatjegyű kódra, amelyet a telefonján lévő alkalmazás állít elő. Így aki megszerzi a jelszavát, az sem jut be a webhelye adminisztrációs felületére. A WordPress ezt beépítve nem tartalmazza, egy bővítménnyel adhatja hozzá. Az alábbiakban bemutatjuk, hogyan teheti ezt meg, és mi a teendő, ha elveszíti a telefonját.

Melyik bővítményt válassza?

Számos bővítmény létezik a kétlépcsős azonosításhoz, és sok biztonsági bővítmény is tartalmazza ezt a funkciót. Egy egyszerű megoldás a Two Factor, amelyet maga a WordPress fejlesztőközössége készített. Az alábbiakban ezt használjuk példaként, más bővítmények hasonlóan működnek. A választásnál figyeljen a következőkre:

• támogatja-e a hitelesítő alkalmazást (a TOTP szabvány szerinti kódokat);
• kínál-e tartalék kódokat arra az esetre, ha elveszíti a telefonját;
• lehet-e a kétlépcsős azonosítást kötelezővé tenni az adminisztrátorok számára. A Two Factor erre önmagában nem képes: ott minden felhasználó a saját profiljában kapcsolja be;
• a bővítményt továbbra is frissítik-e, és tesztelték-e az Ön WordPress-verziójával.

Csak egy ilyen bővítményt használjon. Ha már van olyan biztonsági bővítménye, amely kétlépcsős azonosítást kínál, akkor abban kapcsolja be.

Beállítás a Two Factor bővítménnyel

1. Telepítse és kapcsolja be a bővítményt a Bővítmények > Új hozzáadása menüpontban.
2. Lépjen a Felhasználók > Profil menüpontba, és görgessen le a kétlépcsős azonosításhoz tartozó részhez.
3. Válassza a hitelesítő alkalmazást. Olvassa be a QR-kódot a telefonján lévő alkalmazással, majd ellenőrzésképpen adja meg a kódot.
4. Hozzon létre tartalék kódokat. Ez tíz kód, amelyek mindegyike egyszer használható fel. Tárolja őket a jelszókezelőjében vagy papíron, ne csak a telefonján.
5. Állítsa be az alkalmazást alapértelmezett módszerként, majd kattintson a Profil frissítése gombra.
6. Jelentkezzen ki, majd újra be, hogy ellenőrizze a működést.

Kérjen meg minden más adminisztrátort és szerkesztőt, hogy saját profiljában tegye meg ugyanezt. Egy webhely csak annyira erős, mint a leggyengébb adminisztrátori fiókja.

Elveszett vagy új telefon

• Új telefon: vigye át az alkalmazást, mielőtt törölné a régi telefont, vagy állítsa be újra az alkalmazást a profiljában.
• Elveszett telefon: jelentkezzen be valamelyik tartalék kódjával, majd állítsa be újra az alkalmazást. Hozzon létre új tartalék kódokat is.
• Nincs több tartalék kódja: egy másik adminisztrátor a Felhasználók menüpontban kikapcsolhatja az Ön fiókjánál a kétlépcsős azonosítást. Ha Ön az egyetlen adminisztrátor, kapcsolja ki ideiglenesen a bővítményt. Ennek menetét a Nem tudok bejelentkezni a WordPressbe: mi a teendő? című cikk 3. lépése ismerteti. Jelentkezzen be, állítsa be újra az alkalmazást, majd kapcsolja vissza a bővítményt.

Passkeyek

Passkey használatával ujjlenyomattal, arcfelismeréssel vagy biztonsági kulccsal jelentkezhet be. A passkey csak a valódi webhelyen működik, így egy hamis oldal nem tudja ellopni. Maga a Two Factor nem támogatja a passkeyeket, ehhez külön kiegészítő bővítmény érhető el, más bővítményekbe pedig be van építve. A passkeyekről bővebben a Jelszókezelő és passkeyek: így teheti biztonságossá a bejelentkezést című cikkben olvashat.

Mire figyeljen még?

• Az alkalmazásjelszavak (a Felhasználók > Profil menüpontban) alkalmazásokhoz és integrációkhoz készültek, és megkerülhetik a második lépést. Csak akkor hozzon létre ilyet, ha szükséges, és vonja vissza, ha már nem használja az adott integrációt.
• A kétlépcsős azonosítás nem helyettesíti az erős jelszót. Használjon hosszú, egyedi jelszót egy jelszókezelőből.
• Korlátozza magát a bejelentkezési oldalt is: lásd A WordPress wp-login.php oldalának védelme és A WordPress további védelme: jogosultságok, wp-config és .htaccess.

A webhelyen túl is

Annak a támadónak, aki átveszi az irányítást a tárhelykezelő felülete vagy a postafiókja felett, nincs szüksége a WordPress-jelszavára. Ezért kapcsolja be a kétlépcsős azonosítást a következő helyeken is:

• Fiókom: Kétlépcsős azonosítás a Fiókom felületen és hitelesítő alkalmazás beállítása;
• DirectAdmin: A Two-Step Authentication beállítása;
• a postafiókjában és a jelszókezelőjében.

További olvasnivaló

• Biztonságos bejelentkezés (Veilig Internetten, holland kormányzati oldal, holland nyelven)
• Brute force támadások (developer.wordpress.org, angol nyelven)

Szeretne többet megtudni? Végezze el ingyenes WordPress-tanfolyamunkat, ezen belül a 7.3 Bejelentkezés: jelszavak, kétlépcsős azonosítás és brute force című leckét.