Ρύθμιση επαλήθευσης δύο βημάτων για το WordPress
Με την επαλήθευση δύο βημάτων (2FA) χρειάζεστε κατά τη σύνδεση κάτι επιπλέον εκτός από τον κωδικό πρόσβασής σας: συνήθως έναν εξαψήφιο κωδικό από μια εφαρμογή στο τηλέφωνό σας. Έτσι, κάποιος που έχει τον κωδικό πρόσβασής σας δεν μπορεί ακόμη να μπει στη διαχείριση του site σας. Το WordPress δεν διαθέτει αυτή τη λειτουργία ενσωματωμένη. Την προσθέτετε με ένα plugin. Εδώ θα διαβάσετε πώς γίνεται αυτό και τι κάνετε αν χάσετε το τηλέφωνό σας.
Ποιο plugin;
Υπάρχουν πολλά plugins για επαλήθευση δύο βημάτων, και πολλά plugins ασφαλείας την περιλαμβάνουν επίσης. Ένα απλό είναι το Two Factor, που έχει δημιουργηθεί από συνεισφέροντες του ίδιου του WordPress. Το χρησιμοποιούμε παρακάτω ως παράδειγμα· άλλα plugins λειτουργούν παρόμοια. Κατά την επιλογή προσέξτε:
- την υποστήριξη για μια εφαρμογή authenticator (κωδικοί σύμφωνα με το πρότυπο TOTP)·
- εφεδρικούς κωδικούς για την περίπτωση που χάσετε το τηλέφωνό σας·
- αν μπορείτε να κάνετε την επαλήθευση δύο βημάτων υποχρεωτική για τους διαχειριστές. Το Two Factor δεν το κάνει αυτό από μόνο του: εκεί κάθε χρήστης την ενεργοποιεί στο δικό του προφίλ·
- ότι το plugin ενημερώνεται ακόμη και έχει δοκιμαστεί με την έκδοση του WordPress που χρησιμοποιείτε.
Χρησιμοποιήστε μόνο ένα. Αν έχετε ήδη ένα plugin ασφαλείας με επαλήθευση δύο βημάτων, ενεργοποιήστε την εκεί.
Ρύθμιση με το Two Factor
- Εγκαταστήστε και ενεργοποιήστε το plugin μέσω Πρόσθετα > Προσθήκη νέου πρόσθετου.
- Μεταβείτε στο Χρήστες > Προφίλ και κάντε κύλιση έως την ενότητα για την επαλήθευση δύο βημάτων.
- Επιλέξτε την εφαρμογή authenticator. Σαρώστε τον κωδικό QR με την εφαρμογή στο τηλέφωνό σας και εισαγάγετε τον κωδικό για επιβεβαίωση.
- Δημιουργήστε εφεδρικούς κωδικούς. Πρόκειται για δέκα κωδικούς που μπορείτε να χρησιμοποιήσετε ο καθένας μία φορά. Φυλάξτε τους στον διαχειριστή κωδικών πρόσβασης ή σε χαρτί, όχι μόνο στο τηλέφωνό σας.
- Επιλέξτε την εφαρμογή ως προεπιλεγμένη μέθοδο και κάντε κλικ στο Ενημέρωση προφίλ.
- Αποσυνδεθείτε και συνδεθείτε ξανά για να ελέγξετε ότι λειτουργεί.
Ζητήστε από κάθε άλλο διαχειριστή και συντάκτη να κάνει το ίδιο στο δικό του προφίλ. Ένα site είναι τόσο ισχυρό όσο ο πιο αδύναμος λογαριασμός διαχειριστή.
Χαμένο ή νέο τηλέφωνο
- Νέο τηλέφωνο: μεταφέρετε την εφαρμογή πριν διαγράψετε το παλιό τηλέφωνο ή ρυθμίστε ξανά την εφαρμογή στο προφίλ σας.
- Χαμένο τηλέφωνο: συνδεθείτε με έναν από τους εφεδρικούς κωδικούς σας και στη συνέχεια ρυθμίστε ξανά την εφαρμογή. Δημιουργήστε επίσης νέους εφεδρικούς κωδικούς.
- Δεν έχετε πια εφεδρικούς κωδικούς: ένας άλλος διαχειριστής μπορεί να απενεργοποιήσει την επαλήθευση δύο βημάτων για τον λογαριασμό σας στο Χρήστες. Αν είστε ο μοναδικός διαχειριστής, απενεργοποιήστε προσωρινά το plugin. Πώς γίνεται αυτό, περιγράφεται στο βήμα 3 του άρθρου Δεν μπορώ να συνδεθώ στο WordPress: τι κάνω; Συνδεθείτε, ρυθμίστε ξανά την εφαρμογή και ενεργοποιήστε πάλι το plugin.
Passkeys
Με ένα passkey συνδέεστε με το δακτυλικό σας αποτύπωμα, το πρόσωπό σας ή ένα κλειδί ασφαλείας. Ένα passkey λειτουργεί μόνο στο πραγματικό site, επομένως ένα ψεύτικο site δεν μπορεί να το υποκλέψει. Το ίδιο το Two Factor δεν υποστηρίζει passkeys· για αυτό υπάρχει ξεχωριστό συμπληρωματικό plugin, ενώ άλλα plugins τα έχουν ενσωματωμένα. Περισσότερα για τα passkeys θα διαβάσετε στο άρθρο Διαχειριστής κωδικών πρόσβασης και passkeys: έτσι οργανώνετε με ασφάλεια τη σύνδεσή σας.
Τι άλλο να προσέξετε
- Οι Κωδικοί εφαρμογών (στο Χρήστες > Προφίλ) προορίζονται για εφαρμογές και συνδέσεις με άλλες υπηρεσίες και μπορούν να παρακάμψουν το δεύτερο βήμα. Δημιουργήστε τους μόνο όταν χρειάζεται και ανακαλέστε τους όταν δεν χρησιμοποιείτε πια τη σύνδεση.
- Η επαλήθευση δύο βημάτων δεν αντικαθιστά έναν καλό κωδικό πρόσβασης. Χρησιμοποιήστε έναν μακρύ, μοναδικό κωδικό από έναν διαχειριστή κωδικών πρόσβασης.
- Περιορίστε επίσης την ίδια τη σελίδα σύνδεσης: δείτε τα άρθρα Ασφάλιση του wp-login.php του WordPress και Επιπλέον ασφάλεια για το WordPress: δικαιώματα, wp-config και .htaccess.
Και γύρω από το site σας
Ένας εισβολέας που αποκτά τον έλεγχο του πίνακα hosting ή του mailbox σας δεν χρειάζεται τον κωδικό πρόσβασης του WordPress. Γι' αυτό ενεργοποιήστε την επαλήθευση δύο βημάτων και στα εξής:
- Το WebOké μου: Ρύθμιση επαλήθευσης δύο βημάτων στο Το WebOké μου και μιας εφαρμογής authenticator·
- DirectAdmin: Ρύθμιση του Two-Step Authentication·
- το mailbox σας και τον διαχειριστή κωδικών πρόσβασης.
Περαιτέρω ανάγνωση
- Ασφαλής σύνδεση (Veilig Internetten, ολλανδική κυβέρνηση, στα Ολλανδικά)
- Επιθέσεις brute force (developer.wordpress.org, στα Αγγλικά)
Θέλετε να μάθετε περισσότερα; Παρακολουθήστε το δωρεάν μάθημα WordPress, ενότητα 7.3 Σύνδεση: κωδικοί πρόσβασης, επαλήθευση δύο βημάτων και brute force.