Konfigurer tofaktorautentisering for WordPress

Med totrinnsbekreftelse (2FA) trenger du noe mer enn passordet når du logger inn, som regel en sekssifret kode fra en app på telefonen. Den som har passordet ditt, kommer da likevel ikke inn i administrasjonen av nettstedet ditt. WordPress har ikke dette innebygd, så du legger det til med en utvidelse. Her ser du hvordan det gjøres, og hva du gjør hvis du mister telefonen.

Hvilken utvidelse?

Det finnes mange utvidelser for totrinnsbekreftelse, og mange sikkerhetsutvidelser har det også innebygd. En enkel løsning er Two Factor, laget av bidragsytere til selve WordPress. Vi bruker den som eksempel nedenfor. Andre utvidelser fungerer på lignende måte. Se etter dette når du velger:

• støtte for en autentiseringsapp (koder etter TOTP-standarden);
• reservekoder i tilfelle du mister telefonen;
• om du kan gjøre totrinnsbekreftelse obligatorisk for administratorer. Two Factor kan ikke dette selv: der slår hver bruker det på i sin egen profil;
• at utvidelsen fortsatt oppdateres og er testet med din versjon av WordPress.

Bruk bare én. Har du allerede en sikkerhetsutvidelse med totrinnsbekreftelse, slår du det på der.

Slik setter du det opp med Two Factor

1. Installer og aktiver utvidelsen via Utvidelser > Legg til ny utvidelse.
2. Gå til Brukere > Profil og bla ned til delen for totrinnsbekreftelse.
3. Velg autentiseringsappen. Skann QR-koden med appen på telefonen og skriv inn koden som kontroll.
4. Lag reservekoder. Det er ti koder som hver kan brukes én gang. Ta vare på dem i passordbehandleren din eller på papir, ikke bare på telefonen.
5. Velg appen som standardmetode og klikk på Oppdater profil.
6. Logg ut og inn igjen for å sjekke at det fungerer.

Be alle andre administratorer og redaktører gjøre det samme i sin egen profil. Et nettsted er aldri sterkere enn den svakeste administratorkontoen.

Mistet telefonen eller ny telefon

• Ny telefon: flytt appen over før du sletter den gamle telefonen, eller sett opp appen på nytt i profilen din.
• Mistet telefonen: logg inn med en av reservekodene dine og sett deretter opp appen på nytt. Lag også nye reservekoder.
• Ingen reservekoder igjen: en annen administrator kan slå av totrinnsbekreftelsen for kontoen din under Brukere. Er du eneste administrator, deaktiverer du utvidelsen midlertidig. Hvordan du gjør det, står i trinn 3 i Jeg får ikke logget inn i WordPress: hva nå? Logg inn, sett opp appen på nytt og aktiver utvidelsen igjen.

Passkeys

Med en passkey logger du inn med fingeravtrykk, ansiktet eller en sikkerhetsnøkkel. En passkey fungerer bare på det ekte nettstedet, så et falskt nettsted kan ikke fange den opp. Two Factor har ikke passkeys selv. Til det finnes en egen tilleggsutvidelse, og andre utvidelser har det innebygd. Les mer om passkeys i Passordbehandler og passkeys: slik logger du inn trygt.

Dette bør du også passe på

• Applikasjonspassord (under Brukere > Profil) er ment for apper og integrasjoner og kan omgå det andre trinnet. Lag dem bare når det trengs, og tilbakekall dem når du ikke lenger bruker integrasjonen.
• Totrinnsbekreftelse erstatter ikke et godt passord. Bruk et langt, unikt passord fra en passordbehandler.
• Begrens også selve innloggingssiden: se Sikre wp-login.php i WordPress og Ekstra sikring av WordPress: rettigheter, wp-config og .htaccess.

Også rundt nettstedet ditt

En inntrenger som tar over hostingpanelet eller e-postkontoen din, trenger ikke WordPress-passordet ditt. Slå derfor også på totrinnsbekreftelse for:

• Min side: Totrinnsbekreftelse på Min side og oppsett av en autentiseringsapp;
• DirectAdmin: Sette opp Two-Step Authentication;
• e-postkontoen og passordbehandleren din.

Les mer

• Trygg innlogging (Veilig Internetten, nederlandske myndigheter, på nederlandsk)
• Brute force-angrep (developer.wordpress.org, på engelsk)

Vil du lære mer? Følg det gratis WordPress-kurset, leksjon 7.3 Innlogging: passord, totrinnsbekreftelse og brute force.