В WordPress нет встроенного переключателя для двухфакторной аутентификации: дополнительный этап входа подключают плагином. После настройки пользователь вводит пароль, а затем подтверждает вход одноразовым кодом из приложения-аутентификатора. Для сайта с несколькими редакторами удобен плагин, который позволяет не только включить защиту в профиле, но и потребовать её от выбранных ролей.
Ниже разберём настройку на примере WP 2FA. Перед включением обязательной проверки сначала настройте второй фактор для своей учётной записи и сохраните резервные коды. Иначе ошибка при настройке телефона или приложения может закрыть доступ к админке.
Какой способ подтверждения выбрать
Для большинства сайтов подходит одноразовый код TOTP — он создаётся приложением-аутентификатором и меняется через короткие интервалы. Интернет на телефоне для генерации кода обычно не нужен, но время на устройстве должно быть синхронизировано. При настройке плагин показывает QR-код, который нужно отсканировать в совместимом приложении.
Подтверждение по электронной почте проще для пользователей, которым неудобно устанавливать отдельное приложение. Но вход зависит от доступности почтового ящика и доставки письма. Если почта скомпрометирована или пользователь не может её открыть, второй фактор не поможет войти. Для учётных записей администраторов предпочтительнее приложение-аутентификатор; электронную почту можно оставить как альтернативу, если плагин и настройки сайта это позволяют.
Резервные коды нужны на случай потери телефона. Каждый такой код предназначен для однократного использования. Храните их отдельно от пароля — например, в менеджере паролей, — и не оставляйте в общедоступном документе.
Установите плагин и сначала защитите свою учётную запись
- Войдите в админку с учётной записью администратора и откройте Плагины → Добавить новый.
- Найдите WP 2FA – Two-factor authentication for WordPress, проверьте название и автора плагина, затем установите и активируйте его. Плагины устанавливайте из каталога WordPress или из другого источника, которому доверяете.
- Запустите мастер настройки, если он появился после активации. Выберите метод подтверждения и задайте политику для пользователей. Названия пунктов и доступные параметры могут отличаться в зависимости от версии плагина.
- Откройте настройку двухфакторной аутентификации для своей учётной записи. Если мастер предлагает выбрать способ, выберите приложение-аутентификатор и отсканируйте QR-код. Если камера недоступна, обычно можно вручную ввести ключ, показанный рядом с кодом.
- Введите код из приложения, чтобы подтвердить настройку. Затем сгенерируйте резервные коды и сохраните их в безопасном месте. Не закрывайте шаг настройки, пока не убедитесь, что коды сохранены.
Мастер может предложить запомнить устройство или браузер. Эта функция уменьшает число повторных запросов кода на выбранном устройстве, но не заменяет второй фактор при входе с другого устройства. Не включайте запоминание на общедоступном или чужом компьютере.
Как включить двухфакторную защиту для редакторов
Одного включения 2FA для администратора недостаточно: у редакторов и других пользователей настройка может остаться выключенной. В WP 2FA можно задать требования для пользователей или ролей — например, потребовать настройку второго фактора от администраторов и редакторов. В интерфейсе ищите раздел политики 2FA или настройки обязательного применения. Если в проекте используются пользовательские роли, проверьте, к какой роли относятся нужные сотрудники.
Для команды безопаснее сначала дать пользователям срок на настройку. В течение льготного периода каждый редактор входит в админку и подключает приложение; после его окончания плагин требует завершить настройку согласно выбранной политике. Если ваш вариант плагина не предлагает такой период или принудительное применение, не рассчитывайте, что пользователи включат 2FA автоматически: отправьте им инструкцию и проверьте статус настройки средствами плагина.
Перед тем как сделать требование обязательным для всех, проверьте вход под отдельной тестовой учётной записью с нужной ролью. Убедитесь, что пользователь видит шаг настройки и после подтверждения может войти. Для небольшого сайта без необходимости централизованно требовать защиту можно использовать и более простой плагин Two-Factor: в нём пользователи настраивают доступные методы в своём профиле, но возможности управления политиками зависят от выбранного решения.
Проверьте вход и подготовьте восстановление доступа
После настройки откройте страницу входа WordPress в приватном окне браузера или используйте другой браузер, чтобы проверить сценарий без уже сохранённой сессии. Введите имя пользователя и пароль, затем подтвердите вход кодом из приложения. Если вы включили политику для редакторов, отдельно проверьте вход под тестовым пользователем соответствующей роли.
Не проверяйте защиту только в уже открытой админке: активная сессия может скрыть проблему, которая возникнет при следующем входе. После успешного теста убедитесь, что резервные коды доступны, а приложение-аутентификатор не удалено с телефона. Если редакторов несколько, попросите каждого пройти настройку и подтвердить, что он действительно может войти.
Если телефон потерян, сначала попробуйте войти с резервным кодом. После входа подключите новый аутентификатор и сохраните новые резервные коды; использованный код повторно не сработает. Когда резервных кодов нет, восстановление зависит от возможностей конкретного плагина и доступа к сайту через хостинг. Не удаляйте плагин и не меняйте файлы на рабочем сайте наугад: сначала сделайте резервную копию и уточните процедуру восстановления в документации установленного решения.
Что проверить, если код не принимается
Самая частая причина ошибки TOTP — неверное время на телефоне. Включите автоматическую установку времени и часового пояса, дождитесь обновления кода и введите новый. Проверьте также, что выбран код именно для нужного сайта и учётной записи, а не соседняя запись в приложении.
Если после включения обязательной политики пользователь не может войти, проверьте настройки роли, срок льготного периода и доступный метод подтверждения. Для кода по электронной почте проверьте доставку писем и правильность адреса в профиле. Если на сайте есть другие плагины, меняющие страницу входа или авторизацию, при конфликте сначала изучите их настройки и журнал ошибок, а не отключайте защиту для всех пользователей.
Двухфакторная аутентификация не заменяет надёжные уникальные пароли и резервное копирование. Но при корректной настройке она добавляет отдельный этап входа: даже узнав пароль, посторонний не сможет пройти проверку без второго фактора или резервного кода.