Hasło do panelu WordPressa można odgadnąć, wyciec albo zostawić w złym miejscu. Dodatkowa warstwa, czyli kod jednorazowy z telefonu, sprawia, że samo hasło przestaje wystarczyć do włamania. To jedna z najtańszych i najskuteczniejszych rzeczy, jakie możesz zrobić dla swojej strony. Poniżej krótki poradnik.
Czym jest TOTP
TOTP to kody jednorazowe generowane w aplikacji na telefonie albo w menedżerze haseł. Podczas konfiguracji skanujesz kod QR, a potem aplikacja pokazuje zwykle sześciocyfrowy kod, który zmienia się co kilkadziesiąt sekund. Przy logowaniu podajesz hasło i aktualny kod. Kodu nie da się podejrzeć w wiadomości SMS ani przechwycić z poczty, bo nigdzie nie jest wysyłany.
Krok po kroku
- Wybierz wtyczkę. Jest ich kilka i nie wskażę jednej jedynej słusznej. Na co patrzę: obsługa TOTP (nie tylko SMS i mail), kody awaryjne, możliwość wymuszenia logowania dwuskładnikowego dla wybranych ról, regularne aktualizacje i zgodność z Twoją wersją WordPressa oraz możliwość zresetowania dostępu przez innego administratora.
- Zainstaluj i włącz wtyczkę, a następnie w swoim profilu rozpocznij konfigurację.
- Zeskanuj kod QR w aplikacji generującej kody. Sprawdzą się na przykład Authy, Google Authenticator, Bitwarden albo KeePass.
- Wpisz pierwszy kod, żeby potwierdzić, że konfiguracja działa.
- Zapisz kody awaryjne w bezpiecznym miejscu, najlepiej w menedżerze haseł, a nie w notatce na pulpicie.
- Przetestuj logowanie w drugim oknie przeglądarki (na przykład w trybie prywatnym), nie wylogowując się z pierwszego. Dopiero gdy zadziała, zamknij starą sesję.
- Wymuś logowanie dwuskładnikowe dla wszystkich kont z rolą administratora, a najlepiej także redaktora.
Jak nie zablokować sobie dostępu
- Miej drugiego administratora z własnym logowaniem dwuskładnikowym. Gdy jeden z Was zgubi telefon, drugi może zresetować dostęp.
- Zapisz kody awaryjne i sprawdź, czy naprawdę potrafisz ich użyć.
- Pamiętaj o dostępie do hostingu. W ostateczności wtyczkę można wyłączyć na serwerze, zmieniając nazwę jej katalogu w wp-content/plugins. Dlatego i ten panel zabezpiecz tak samo starannie.
- Przy zmianie telefonu najpierw przenieś kody do nowej aplikacji, dopiero potem oddaj stary aparat.
Co jeszcze warto włączyć
Logowanie dwuskładnikowe najlepiej działa w zestawie z kilkoma prostymi zabezpieczeniami: ograniczeniem liczby prób logowania (konto blokuje się tymczasowo po kilku błędach), regularnymi aktualizacjami i unikalnymi, długimi hasłami zapisanymi w menedżerze. Dwuskładnikowe uwierzytelnienie ma sens również w panelach hostingu i domeny, bo to one dają dostęp do całej strony.
Gdy użytkowników jest więcej
Jeśli stroną zajmuje się kilka osób albo ktoś odchodzi z firmy, kłopot nie kończy się na jednej wtyczce. Trzeba wiedzieć, kto ma jakie konta, gdzie są hasła i jak odebrać dostęp. Opisuję to w usłudze porządek w dostępach i hasłach. O przechowywaniu haseł w firmie przeczytasz też we wpisie Jak bezpiecznie przechowywać hasła w firmie.