Nastavitev dvostopenjskega preverjanja za WordPress

Z dvostopenjskim preverjanjem pristnosti (2FA) pri prijavi poleg gesla potrebujete še nekaj: običajno šestmestno kodo iz aplikacije na Vašem telefonu. Kdor pozna Vaše geslo, tako še vedno ne more v skrbništvo Vašega spletnega mesta. WordPress te funkcije nima vgrajene, zato jo dodate z vtičnikom. Tukaj preberite, kako to storite in kaj narediti, če izgubite telefon.

Kateri vtičnik?

Vtičnikov za dvostopenjsko preverjanje pristnosti je veliko, ponuja ga tudi veliko varnostnih vtičnikov. Preprost je Two Factor, ki so ga izdelali sodelavci samega WordPressa. V nadaljevanju ga uporabljamo kot primer; drugi vtičniki delujejo podobno. Pri izbiri bodite pozorni na:

• podporo za aplikacijo za preverjanje pristnosti (kode po standardu TOTP);
• rezervne kode za primer, ko izgubite telefon;
• ali lahko dvostopenjsko preverjanje pristnosti nastavite kot obvezno za skrbnike. Two Factor tega sam ne omogoča: tam ga vsak uporabnik vklopi v svojem profilu;
• ali se vtičnik še posodablja in je preizkušen z Vašo različico WordPressa.

Uporabljajte samo enega. Če že imate varnostni vtičnik z dvostopenjskim preverjanjem pristnosti, ga vklopite tam.

Nastavitev z vtičnikom Two Factor

1. Namestite in aktivirajte vtičnik prek Vtičniki > Dodaj nov vtičnik.
2. Pojdite na Uporabniki > Profil in se pomaknite do razdelka za dvostopenjsko preverjanje pristnosti.
3. Izberite aplikacijo za preverjanje pristnosti. Kodo QR skenirajte z aplikacijo na telefonu in za preverjanje vnesite kodo.
4. Ustvarite rezervne kode. To je deset kod, od katerih lahko vsako uporabite enkrat. Shranite jih v upravitelj gesel ali na papir, ne samo na telefon.
5. Aplikacijo izberite kot privzeti način in kliknite Posodobi profil.
6. Odjavite se in se znova prijavite, da preverite, ali deluje.

Poskrbite, da vsak drug skrbnik in urednik naredi enako v svojem profilu. Spletno mesto je tako varno, kot je varen njegov najšibkejši skrbniški račun.

Izgubljen ali nov telefon

• Nov telefon: aplikacijo prenesite, preden izbrišete stari telefon, ali pa aplikacijo v svojem profilu nastavite znova.
• Izgubljen telefon: prijavite se z eno od rezervnih kod in nato aplikacijo nastavite znova. Ustvarite tudi nove rezervne kode.
• Nimate več rezervnih kod: drug skrbnik lahko pri Vašem računu v razdelku Uporabniki izklopi dvostopenjsko preverjanje pristnosti. Če ste edini skrbnik, vtičnik začasno izklopite. Kako to storite, je opisano v 3. koraku članka Ne morem se prijaviti v WordPress: kaj zdaj? Prijavite se, aplikacijo nastavite znova in vtičnik ponovno vklopite.

Ključi za dostop (passkeys)

S ključem za dostop (passkey) se prijavite s prstnim odtisom, obrazom ali varnostnim ključem. Ključ za dostop deluje samo na pravem spletnem mestu, zato ga lažno spletno mesto ne more prestreči. Two Factor sam ključev za dostop nima; zanje obstaja ločen dodatni vtičnik, drugi vtičniki pa jih imajo vgrajene. Več o ključih za dostop preberite v članku Upravitelj gesel in ključi za dostop: tako varno uredite prijavo.

Na kaj morate še paziti

• Gesla aplikacij (v Uporabniki > Profil) so namenjena aplikacijam in povezavam ter lahko zaobidejo drugi korak. Ustvarite jih samo, kadar je to potrebno, in jih prekličite, ko povezave ne uporabljate več.
• Dvostopenjsko preverjanje pristnosti ne nadomesti dobrega gesla. Uporabljajte dolgo, edinstveno geslo iz upravitelja gesel.
• Omejite tudi samo stran za prijavo: glejte Zaščita datoteke wp-login.php v WordPressu in Dodatna zaščita WordPressa: pravice, wp-config in .htaccess.

Tudi okoli Vašega spletnega mesta

Vsiljivec, ki prevzame Vašo nadzorno ploščo gostovanja ali Vaš poštni predal, Vašega gesla za WordPress ne potrebuje. Zato dvostopenjsko preverjanje pristnosti vklopite tudi za:

• Moj WebOké: Nastavitev dvostopenjskega preverjanja pristnosti v Moj WebOké in aplikacije za preverjanje pristnosti;
• DirectAdmin: Nastavitev Two-Step Authentication;
• Vaš poštni predal in Vaš upravitelj gesel.

Več branja

• Varna prijava (vladna spletna stran Veilig Internetten, v nizozemščini)
• Napadi z grobo silo (brute force) (developer.wordpress.org, v angleščini)

Želite izvedeti več? Sledite brezplačnemu tečaju WordPressa, lekcija 7.3 Prijava: gesla, dvostopenjsko preverjanje pristnosti in napadi z grobo silo.