Nastavení dvoufázového ověření pro WordPress

S dvoufázovým ověřením (2FA) potřebujete při přihlášení kromě hesla ještě něco dalšího: obvykle šestimístný kód z aplikace v telefonu. Kdo zná Vaše heslo, se pak do administrace Vašeho webu stále nedostane. WordPress tuto funkci nemá vestavěnou. Přidáte ji pomocí pluginu. Zde se dočtete, jak na to a co dělat, když ztratíte telefon.

Jaký plugin?

Pluginů pro dvoufázové ověření existuje mnoho a obsahuje ho i řada bezpečnostních pluginů. Jednoduchou volbou je Two Factor, který vytvořili přispěvatelé samotného WordPressu. Ten níže použijeme jako příklad; ostatní pluginy fungují podobně. Při výběru dbejte na:

• podporu ověřovací aplikace (kódy podle standardu TOTP);
• záložní kódy pro případ ztráty telefonu;
• zda lze dvoufázové ověření pro administrátory nastavit jako povinné. Two Factor to sám neumí: tam si ho každý uživatel zapíná ve svém vlastním profilu;
• zda je plugin stále aktualizován a testován s Vaší verzí WordPressu.

Používejte pouze jeden. Pokud již máte bezpečnostní plugin s dvoufázovým ověřením, zapněte ho v něm.

Nastavení s pluginem Two Factor

1. Nainstalujte a aktivujte plugin přes Pluginy > Přidat plugin.
2. Přejděte do Uživatelé > Profil a sjeďte k části pro dvoufázové ověření.
3. Zvolte ověřovací aplikaci. Naskenujte QR kód aplikací v telefonu a pro kontrolu zadejte kód.
4. Vytvořte záložní kódy. Jde o deset kódů, z nichž každý lze použít jen jednou. Uložte je do svého správce hesel nebo na papír, ne pouze do telefonu.
5. Nastavte aplikaci jako výchozí metodu a klikněte na Aktualizovat profil.
6. Odhlaste se a znovu přihlaste, abyste ověřili, že vše funguje.

Požádejte každého dalšího administrátora a redaktora, aby totéž udělal ve svém vlastním profilu. Web je jen tak silný jako jeho nejslabší administrátorský účet.

Ztracený nebo nový telefon

• Nový telefon: převeďte aplikaci dříve, než starý telefon vymažete, nebo aplikaci ve svém profilu nastavte znovu.
• Ztracený telefon: přihlaste se jedním ze svých záložních kódů a poté aplikaci nastavte znovu. Vytvořte také nové záložní kódy.
• Žádné záložní kódy: jiný administrátor může u Vašeho účtu v sekci Uživatelé dvoufázové ověření vypnout. Pokud jste jediný administrátor, plugin dočasně deaktivujte. Jak na to, najdete v kroku 3 článku Nemohu se přihlásit do WordPressu: co teď? Přihlaste se, nastavte aplikaci znovu a plugin opět aktivujte.

Passkeys

S passkey se přihlásíte otiskem prstu, obličejem nebo bezpečnostním klíčem. Passkey funguje pouze na skutečném webu, takže ho podvodný web nemůže zachytit. Samotný Two Factor passkeys nepodporuje; k tomu existuje samostatný doplňkový plugin a jiné pluginy je mají vestavěné. Více o passkeys se dočtete v článku Správce hesel a passkeys: jak bezpečně spravovat přihlašování.

Na co si dát ještě pozor

• Hesla aplikací (v sekci Uživatelé > Profil) jsou určena pro aplikace a propojení a mohou druhý krok obejít. Vytvářejte je pouze v případě potřeby a zrušte je, jakmile propojení již nepoužíváte.
• Dvoufázové ověření nenahrazuje dobré heslo. Používejte dlouhé, jedinečné heslo ze správce hesel.
• Omezte také samotnou přihlašovací stránku: viz Zabezpečení wp-login.php ve WordPressu a Dodatečné zabezpečení WordPressu: oprávnění, wp-config a .htaccess.

Také kolem Vašeho webu

Útočník, který převezme Váš hostingový panel nebo e-mailovou schránku, Vaše heslo k WordPressu nepotřebuje. Zapněte proto dvoufázové ověření také v:

• Můj WebOké: Nastavení dvoufázového ověření v Můj WebOké a ověřovací aplikace;
• DirectAdmin: Nastavení dvoufázového ověření (Two-Step Authentication);
• Vaší e-mailové schránce a správci hesel.

Další čtení

• Bezpečné přihlašování (Veilig Internetten, nizozemská vláda, v nizozemštině)
• Útoky hrubou silou (developer.wordpress.org, anglicky)

Chcete se dozvědět více? Absolvujte bezplatný kurz WordPressu, lekci 7.3 Přihlašování: hesla, dvoufázové ověření a útoky hrubou silou.