Opsæt totrinsbekræftelse til WordPress

Med totrinsbekræftelse (2FA) skal du bruge mere end din adgangskode, når du logger ind: som regel en sekscifret kode fra en app på din telefon. Selv hvis nogen kender din adgangskode, kommer de ikke ind i administrationen af dit site. WordPress har ikke funktionen indbygget, så du tilføjer den med et plugin. Her kan du læse, hvordan du gør, og hvad du gør, hvis du mister din telefon.

Hvilket plugin?

Der findes mange plugins til totrinsbekræftelse, og mange sikkerhedsplugins har det også indbygget. Et enkelt plugin er Two Factor, som er lavet af bidragydere til WordPress selv. Vi bruger det som eksempel nedenfor. Andre plugins fungerer på samme måde. Når du vælger, skal du se efter:

• understøttelse af en authenticator-app (koder efter TOTP-standarden);
• backupkoder, hvis du mister din telefon;
• om du kan gøre totrinsbekræftelse obligatorisk for administratorer. Det kan Two Factor ikke selv: Her slår hver bruger det til i sin egen profil;
• at pluginet stadig bliver opdateret og er testet med din version af WordPress.

Brug kun ét. Har du allerede et sikkerhedsplugin med totrinsbekræftelse, så slå det til der.

Sådan sætter du det op med Two Factor

1. Installer og aktiver pluginet via Plugins > Tilføj nyt plugin.
2. Gå til Brugere > Profil, og scroll ned til afsnittet om totrinsbekræftelse.
3. Vælg authenticator-appen. Scan QR-koden med appen på din telefon, og indtast koden som kontrol.
4. Opret backupkoder. Det er ti koder, som hver kan bruges én gang. Gem dem i din adgangskodemanager eller på papir, ikke kun på din telefon.
5. Vælg appen som standardmetode, og klik på Opdater profil.
6. Log ud og ind igen for at tjekke, at det virker.

Bed alle andre administratorer og redaktører om at gøre det samme i deres egen profil. Et site er kun så stærkt som den svageste administratorkonto.

Mistet telefon eller ny telefon

• Ny telefon: Flyt appen, før du nulstiller den gamle telefon, eller sæt appen op igen i din profil.
• Mistet telefon: Log ind med en af dine backupkoder, og sæt derefter appen op igen. Opret også nye backupkoder.
• Ingen backupkoder tilbage: En anden administrator kan slå totrinsbekræftelse fra på din konto under Brugere. Er du den eneste administrator, så deaktiver pluginet midlertidigt. Hvordan du gør, står i trin 3 i Jeg kan ikke logge ind i WordPress: hvad nu? Log ind, sæt appen op igen, og aktiver pluginet igen.

Passkeys

Med en passkey logger du ind med dit fingeraftryk, dit ansigt eller en sikkerhedsnøgle. En passkey virker kun på det rigtige site, så et falsk site kan ikke opfange den. Two Factor har ikke selv passkeys. Til det findes et separat tilføjelsesplugin, og andre plugins har det indbygget. Læs mere om passkeys i Adgangskodemanager og passkeys: sådan logger du sikkert ind.

Hvad du ellers skal være opmærksom på

• Applikationsadgangskoder (under Brugere > Profil) er beregnet til apps og integrationer og kan omgå det andet trin. Opret dem kun, når det er nødvendigt, og tilbagekald dem, når du ikke længere bruger integrationen.
• Totrinsbekræftelse erstatter ikke en god adgangskode. Brug en lang, unik adgangskode fra en adgangskodemanager.
• Begræns også selve login-siden: Se Beskyt wp-login.php i WordPress og Ekstra sikkerhed i WordPress: rettigheder, wp-config og .htaccess.

Også rundt om dit site

En indtrænger, der overtager dit hostingpanel eller din mailboks, har ikke brug for din WordPress-adgangskode. Slå derfor også totrinsbekræftelse til på:

• Mit WebOké: Totrinsbekræftelse i Mit WebOké og opsætning af en authenticator-app;
• DirectAdmin: Opsæt Two-Step Authentication;
• din mailboks og din adgangskodemanager.

Læs mere

• Sikkert login (Veilig Internetten, den nederlandske regering, på nederlandsk)
• Brute force-angreb (developer.wordpress.org, på engelsk)

Vil du lære mere? Tag det gratis WordPress-kursus, lektion 7.3 Login: adgangskoder, totrinsbekræftelse og brute force.