Nastavenie dvojstupňového overenia pre WordPress

S dvojstupňovým overením (2FA) budete pri prihlasovaní okrem hesla potrebovať ešte niečo ďalšie: zvyčajne šesťmiestny kód z aplikácie vo vašom telefóne. Ak niekto získa vaše heslo, do správy vašej stránky sa aj tak nedostane. WordPress túto funkciu nemá zabudovanú, preto ju pridáte pomocou pluginu. V tomto článku sa dozviete, ako na to a čo robiť, ak stratíte telefón.

Ktorý plugin zvoliť?

Pluginov na dvojstupňové overenie existuje veľa a mnohé bezpečnostné pluginy ho majú tiež zabudované. Jednoduchou voľbou je Two Factor, ktorý vytvorili prispievatelia samotného WordPressu. Ten nižšie používame ako príklad, ostatné pluginy fungujú podobne. Pri výbere dbajte na:

• podporu autentifikačnej aplikácie (kódy podľa štandardu TOTP);
• záložné kódy pre prípad straty telefónu;
• možnosť nastaviť dvojstupňové overenie ako povinné pre administrátorov. Two Factor to sám neumožňuje: tam si ho každý používateľ zapína vo svojom profile;
• to, či sa plugin stále aktualizuje a či je otestovaný s vašou verziou WordPressu.

Používajte len jeden. Ak už máte bezpečnostný plugin s dvojstupňovým overením, zapnite ho v ňom.

Nastavenie s pluginom Two Factor

1. Nainštalujte a aktivujte plugin cez Pluginy > Pridať nový plugin.
2. Prejdite do Používatelia > Profil a posuňte sa k časti dvojstupňového overenia.
3. Zvoľte autentifikačnú aplikáciu. Naskenujte QR kód aplikáciou vo svojom telefóne a na overenie zadajte kód.
4. Vytvorte si záložné kódy. Ide o desať kódov, z ktorých každý môžete použiť iba raz. Uložte si ich do správcu hesiel alebo na papier, nie iba do telefónu.
5. Nastavte aplikáciu ako predvolenú metódu a kliknite na Aktualizovať profil.
6. Odhláste sa a znova sa prihláste, aby ste overili, že všetko funguje.

Požiadajte každého ďalšieho administrátora a redaktora, aby to isté urobil vo svojom profile. Stránka je taká silná ako jej najslabší administrátorský účet.

Stratený alebo nový telefón

• Nový telefón: preneste aplikáciu skôr, ako vymažete starý telefón, alebo aplikáciu vo svojom profile nastavte znova.
• Stratený telefón: prihláste sa jedným zo záložných kódov a potom aplikáciu nastavte znova. Vytvorte si aj nové záložné kódy.
• Žiadne záložné kódy: iný administrátor môže pri vašom účte v časti Používatelia dvojstupňové overenie vypnúť. Ak ste jediný administrátor, plugin dočasne vypnite. Postup nájdete v kroku 3 článku Nedá sa mi prihlásiť do WordPressu: čo teraz? Prihláste sa, aplikáciu nastavte znova a plugin opäť zapnite.

Passkeys

S passkey sa prihlásite odtlačkom prsta, tvárou alebo bezpečnostným kľúčom. Passkey funguje iba na skutočnej stránke, takže falošná stránka ho nedokáže zachytiť. Samotný Two Factor passkeys nepodporuje; existuje na to samostatný doplnkový plugin a iné pluginy ich majú zabudované. Viac o passkeys sa dočítate v článku Správca hesiel a passkeys: ako si bezpečne zabezpečiť prihlasovanie.

Na čo si dať ešte pozor

• Heslá aplikácií (v časti Používatelia > Profil) sú určené pre aplikácie a prepojenia a môžu obísť druhý krok overenia. Vytvárajte ich iba vtedy, keď je to potrebné, a zrušte ich, keď prepojenie už nepoužívate.
• Dvojstupňové overenie nenahrádza dobré heslo. Používajte dlhé, jedinečné heslo zo správcu hesiel.
• Obmedzte aj samotnú prihlasovaciu stránku: pozrite si články Zabezpečenie súboru wp-login.php vo WordPresse a Dodatočné zabezpečenie WordPressu: oprávnenia, wp-config a .htaccess.

Aj okolo vašej stránky

Útočník, ktorý ovládne váš hostingový panel alebo e-mailovú schránku, vaše heslo do WordPressu nepotrebuje. Dvojstupňové overenie preto zapnite aj v týchto službách:

• Môj WebOké: Nastavenie dvojstupňového overenia v Môj WebOké a autentifikačnej aplikácie;
• DirectAdmin: Nastavenie dvojstupňového overenia (Two-Step Authentication);
• vaša e-mailová schránka a váš správca hesiel.

Ďalšie čítanie

• Bezpečné prihlasovanie (Veilig Internetten, holandská vláda, v holandčine)
• Útoky hrubou silou (brute force) (developer.wordpress.org, v angličtine)

Chcete sa dozvedieť viac? Absolvujte bezplatný kurz WordPressu, lekciu 7.3 Prihlasovanie: heslá, dvojstupňové overenie a brute force.