Jak dodać uwierzytelnianie dwuskładnikowe w WordPress (metoda darmowa)

Kiedy po raz pierwszy uruchomiliśmy naszego bloga, bezpieczeństwo zawsze było na pierwszym miejscu. Wiedzieliśmy, że budowanie udanej strony to coś więcej niż tylko świetna treść. Wymagało to bezpiecznych fundamentów, aby chronić naszą ciężką pracę i naszych czytelników.

Ale kiedy zauważyliśmy duży wzrost prób logowania, zdaliśmy sobie sprawę, że musimy zrobić więcej.

Czerpiąc inspirację z dużych stron internetowych, takich jak Facebook i Google, wiedzieliśmy, że uwierzytelnianie dwuskładnikowe (2FA) jest rozwiązaniem, którego potrzebowaliśmy. Ta dodatkowa warstwa bezpieczeństwa znacznie utrudnia hakerom uzyskanie dostępu.

Na szczęście okazało się, że dodanie 2FA do naszej witryny było dość łatwe. Zwiększyło to bezpieczeństwo naszej witryny i dało nam spokój ducha.

W tym artykule pokażemy Ci krok po kroku, jak dodać uwierzytelnianie dwuskładnikowe (2FA) do swojej witryny WordPress. Po włączeniu 2FA logowanie będzie wymagało zarówno hasła, jak i kodu czasowego z aplikacji na telefonie.

Przeprowadzimy Cię przez dwie proste metody konfiguracji.

Dlaczego warto dodać uwierzytelnianie dwuskładnikowe w WordPressie?

Jedną z najczęstszych sztuczek stosowanych przez hakerów są tzw. ataki siłowe. Podczas jednego z takich ataków używają zautomatyzowanych skryptów, które próbują odgadnąć poprawne nazwy użytkownika i hasło, aby zalogować się na Twoją stronę WordPress.

Aby dać Ci wyobrażenie o skali, dostawcy zabezpieczeń WordPress blokują miliardy takich zautomatyzowanych prób odgadywania haseł każdego miesiąca.

Udany atak może dać hakerom dostęp do Twojego obszaru administracyjnego, gdzie mogą zainstalować złośliwe oprogramowanie, ukraść informacje o użytkownikach lub usunąć całą Twoją witrynę.

Jednym z najłatwiejszych sposobów na zabezpieczenie Twojej strony WordPress przed skradzionymi hasłami jest dodanie uwierzytelniania dwuetapowego (2FA). Dzięki temu ustawieniu będziesz musiał podać zarówno hasło, jak i kod pomocniczy (z aplikacji, e-maila lub wiadomości tekstowej), aby zalogować się na swoją stronę.

W ten sposób, nawet jeśli ktoś zdoła ukraść Twoje hasło, nadal będzie potrzebował kodu bezpieczeństwa z Twojego telefonu, aby uzyskać dostęp.

W ten sposób, nawet jeśli ktoś ukradnie Twoje hasło, nadal będzie potrzebował kodu bezpieczeństwa z Twojego telefonu, aby uzyskać dostęp.

Czym jest aplikacja uwierzytelniająca?

Aplikacja uwierzytelniająca to aplikacja na smartfona, która generuje tymczasowe kody bezpieczeństwa dla Twoich kont online. Jest to najbezpieczniejsza i najbardziej niezawodna metoda konfiguracji logowania dwuetapowego w WordPress.

Aplikacja i Twoja strona internetowa używają wspólnego klucza tajnego do generowania haseł jednorazowych, zależnych od czasu. Będziesz używać tych kodów jako drugiej warstwy ochrony podczas logowania.

Dostępnych jest wiele doskonałych aplikacji za darmo. Oto kilka popularnych opcji:

• Google Authenticator: Bardzo popularny wybór, ale nie oferuje kopii zapasowych w chmurze. Jeśli zgubisz telefon, możesz zostać zablokowany, chyba że wcześniej zapisałeś kody odzyskiwania.
• Authy: To nasza najlepsza rekomendacja dla większości użytkowników. Jest to darmowa aplikacja, która bezpiecznie zapisuje Twoje konta w chmurze. Dzięki temu, jeśli zgubisz telefon, możesz łatwo przywrócić dostęp na nowym urządzeniu.
• 1Password i LastPass: Popularne menedżery haseł często mają wbudowane własne uwierzytelniacze. W WPBeginner cały nasz zespół korzysta z 1Password, aby przechowywać nasze loginy i kody 2FA w jednym bezpiecznym miejscu.

W tym samouczku będziemy używać Authy na naszych zrzutach ekranu. Możesz postępować zgodnie z inną aplikacją, ponieważ proces jest bardzo podobny we wszystkich z nich.

Mając to na uwadze, przyjrzyjmy się, jak dodać 2FA w WordPress. Po prostu kliknij poniższe linki, aby przejść do preferowanej metody:

Teraz przyjrzyjmy się, jak łatwo dodać dwuskładnikowe uwierzytelnianie do ekranu logowania WordPress za darmo.

Metoda 1: Dodawanie uwierzytelniania dwuskładnikowego za pomocą WP 2FA

Ta metoda jest łatwa i zalecana dla wszystkich użytkowników. Jest elastyczna i pozwala na wymuszenie uwierzytelniania dwuskładnikowego dla wszystkich użytkowników.

Najpierw musisz zainstalować i aktywować wtyczkę WP 2FA – Two-factor Authentication. Aby uzyskać więcej szczegółów, zapoznaj się z naszym przewodnikiem krok po kroku na temat jak zainstalować wtyczkę WordPress.

Po aktywacji kreator konfiguracji WPA 2FA uruchomi się automatycznie. W przeciwnym razie możesz odwiedzić stronę Użytkownicy » Twój profil i przewinąć w dół do sekcji „Ustawienia WP 2FA”.

Kliknięcie przycisku „Skonfiguruj uwierzytelnianie dwuetapowe (2FA)” uruchomi kreator konfiguracji.

Kreator konfiguracji WP 2FA

Po prostu kliknij przycisk „Zacznijmy!”, aby rozpocząć konfigurację wtyczki.

Na następnej stronie zostaniesz poproszony o wybranie metody uwierzytelniania.

Istnieją dwie opcje:

• Jednorazowy kod wygenerowany za pomocą wybranej aplikacji 2FA (zalecane)
• Jednorazowy kod wysłany do Ciebie e-mailem

Zalecamy wybór uwierzytelniania za pomocą aplikacji 2FA (TOTP), ponieważ jest to metoda bezpieczniejsza i bardziej niezawodna.

Po dokonaniu wyboru możesz kliknąć przycisk „Kontynuuj konfigurację”, aby przejść do następnej strony kreatora konfiguracji.

Zostaniesz zapytany, które alternatywne metody 2FA chcesz, aby Twoi użytkownicy używali, jeśli podstawowa metoda 2FA zawiedzie, na przykład jeśli zgubią telefon.

W planie darmowym dostępna będzie tylko metoda kodu zapasowego. Jeśli chcesz więcej alternatywnych metod 2FA, musisz zaktualizować do WP 2FA Premium.

Po prostu kliknij przycisk „Kontynuuj konfigurację”, aby przejść do następnej strony.

Na tej stronie możesz wymusić logowanie dwuskładnikowe dla niektórych lub wszystkich użytkowników. Zalecamy to, zwłaszcza jeśli prowadzisz wieloużytkownikową witrynę WordPress, taką jak witryna członkowską.

Jeśli chcesz wymusić 2FA dla wszystkich użytkowników na swojej stronie, po prostu wybierz opcję „Wszyscy użytkownicy” i kliknij „Kontynuuj konfigurację”.

Teraz wszyscy Twoi użytkownicy będą musieli korzystać z 2FA.

Jednakże, być może są użytkownicy na Twojej stronie, których nie chcesz zmuszać do korzystania z 2FA. Następna strona pozwala wpisać nazwy użytkowników lub role użytkowników tych członków zespołu.

Po wykonaniu tej czynności kliknięcie przycisku „Kontynuuj konfigurację” przeniesie Cię na stronę, na której możesz zdecydować, jak szybko Twoi użytkownicy muszą zacząć korzystać z 2FA.

Możesz wymagać od nich rozpoczęcia od razu lub możesz dać im okres karencji, powiedzmy 3 dni, aby mieli czas na skonfigurowanie wszystkiego. Po prostu kliknij opcję, której chcesz użyć na swojej stronie internetowej.

Jeśli chcesz przyznać okres prolongaty, możesz wybrać, ile godzin lub dni ma on trwać. Domyślne ustawienie 3 dni sprawdzi się w przypadku większości stron internetowych.

Istnieją również opcje dotyczące tego, co zrobić po zakończeniu okresu karencji, jeśli niektórzy użytkownicy nie skonfigurowali 2FA. Możesz albo pozwolić im wejść, ale uniemożliwić im dostęp do pulpitu, albo zablokować im możliwość logowania w ogóle. Dla większości stron internetowych najlepsza będzie pierwsza opcja.

Po dokonaniu wyboru możesz kliknąć „Wszystko gotowe”, aby zakończyć kreatora konfiguracji. Gratulacje, skonfigurowałeś uwierzytelnianie dwuskładnikowe na swojej stronie!

Zobaczysz ekran zakończenia konfiguracji z gratulacjami. Zobaczysz również przycisk, który pozwoli Ci skonfigurować 2FA dla własnego konta użytkownika. Powinieneś kliknąć przycisk „Skonfiguruj 2FA teraz”.

Konfiguracja uwierzytelniania dwuskładnikowego dla własnego konta użytkownika

Rozpocznie się nowy kreator konfiguracji, który pomoże Ci skonfigurować uwierzytelnianie dwuskładnikowe dla Twojego własnego konta użytkownika. Inni użytkownicy Twojej witryny zostaną poproszeni o zrobienie tego samego.

Najpierw musisz zdecydować, której metody 2FA chcesz użyć. Powinieneś zobaczyć opcję jednorazowego kodu za pośrednictwem aplikacji uwierzytelniającej. Możesz również zobaczyć inne opcje w zależności od wyborów dokonanych podczas kreatora konfiguracji.

Po prostu wybierz opcję „Jednorazowy kod przez aplikację 2FA”, a następnie kliknij przycisk „Następny krok”.

Wtyczka wyświetli teraz kod QR i kod tekstowy.

Będziesz musiał zeskanować kod QR za pomocą aplikacji uwierzytelniającej. Alternatywnie, możesz ręcznie wpisać kod tekstowy do aplikacji.

Teraz musisz wziąć swoje urządzenie mobilne i otworzyć preferowaną aplikację uwierzytelniającą. Poniższe zrzuty ekranu przedstawiają aplikację Authy, ale inne aplikacje działają podobnie.

Najpierw kliknij przycisk „+” lub „Dodaj konto” w swojej aplikacji uwierzytelniającej.

Aplikacja poprosi następnie o pozwolenie na dostęp do aparatu w Twoim telefonie.

Musisz zezwolić na to uprawnienie, a następnie dotknąć przycisku „Skanuj kod QR”, aby móc zeskanować kod QR wyświetlany na stronie ustawień wtyczki na swoim komputerze.

Gdy aplikacja rozpozna kod QR, automatycznie rozpocznie zapisywanie konta.

Następnie możesz edytować domyślne logo i pseudonim dla konta. Gdy będziesz gotowy, powinieneś nacisnąć przycisk „Zapisz”.

Aplikacja uwierzytelniająca zapisze teraz Twoje konto witryny.

Następnie zacznie wyświetlać hasło jednorazowe. Będziesz musiał wprowadzić je w ustawieniach wtyczki na swoim komputerze.

Teraz musisz wrócić do komputera.

W kreatorze konfiguracji wtyczki kliknij przycisk „Jestem gotowy”, aby kontynuować.

Wtyczka poprosi Cię teraz o zweryfikowanie jednorazowego hasła.

Po prostu wpisz kod z aplikacji mobilnej w pole „Kod uwierzytelniający” zanim wygaśnie.

Następnie powinieneś kliknąć przycisk „Zweryfikuj i zapisz”, aby sfinalizować konfigurację.

Następnie otrzymasz opcję wygenerowania i zapisania listy kodów zapasowych. Kody te mogą być używane w przypadku braku dostępu do telefonu.

Powinieneś kliknąć przycisk „Wygeneruj listę kodów zapasowych”.

Kody zapasowe zostaną wygenerowane i wyświetlone.

Możesz pobrać te kody zapasowe w bezpieczne miejsce na swoim komputerze, wydrukować je i schować w bezpiecznym miejscu lub wysłać sobie e-mailem. Upewnij się, że przechowujesz je w miejscu, do którego będziesz mieć dostęp, jeśli nie będziesz mieć telefonu.

Po tym możesz kliknąć przycisk „Jestem gotowy, zamknij kreatora”, aby wyjść z kreatora konfiguracji.

Korzystanie z uwierzytelniania dwuskładnikowego podczas logowania

Przy następnym logowaniu Twoi użytkownicy zobaczą powiadomienie o konieczności skonfigurowania uwierzytelniania dwuskładnikowego, wraz z datą graniczną końca okresu karencji.

Mogą kliknąć przycisk, aby skonfigurować 2FA teraz lub wybrać przypomnienie przy następnym logowaniu.

Po kliknięciu przycisku „Skonfiguruj 2FA teraz” użytkownicy przejdą przez te same kroki, co podczas konfigurowania 2FA dla własnego konta użytkownika w poprzedniej sekcji.

Po zalogowaniu się po skonfigurowaniu uwierzytelniania dwuskładnikowego, zobaczą oni normalny ekran logowania WordPress. Jednak po wprowadzeniu nazwy użytkownika i hasła zostanie wyświetlony drugi ekran z prośbą o kod z ich aplikacji uwierzytelniającej.

Użytkownicy będą musieli wprowadzić kod z aplikacji na swoim telefonie, zanim będą mogli się zalogować. Alternatywnie, mogą wprowadzić kod zapasowy, jeśli nie mają przy sobie telefonu.

To sprawia, że Twoja strona internetowa jest bezpieczniejsza. Jeśli haker pozna nazwę użytkownika i hasło jednego z Twoich użytkowników, nie będzie mógł się zalogować, chyba że będzie miał również dostęp do ich telefonu.

Metoda 2: Dodawanie uwierzytelniania dwuskładnikowego za pomocą Two-Factor

Ta metoda jest mniej elastyczna, ponieważ nie pozwala na wymuszenie logowania dwuskładnikowego dla wszystkich użytkowników. Każdy użytkownik będzie musiał skonfigurować ją samodzielnie i może ją wyłączyć ze swojego profilu. Jest to jednak szybka i łatwa metoda, jeśli chcesz skonfigurować 2FA tylko dla własnego konta.

Najpierw musisz zainstalować i aktywować wtyczkę Two-Factor. Więcej szczegółów znajdziesz w naszym przewodniku krok po kroku na temat jak zainstalować wtyczkę WordPress.

Po aktywacji musisz odwiedzić stronę Użytkownicy » Profil i przewinąć w dół do sekcji „Opcje dwuskładnikowe”.

Z tego miejsca musisz wybrać opcję logowania dwuetapowego. Wtyczka pozwala na korzystanie z poczty e-mail, aplikacji uwierzytelniającej oraz kluczy bezpieczeństwa FIDO U2F.

Zalecamy korzystanie z metody aplikacji uwierzytelniającej. Po prostu zeskanuj kod QR na ekranie za pomocą aplikacji uwierzytelniającej, takiej jak Google Authenticator, Authy lub LastPass Authenticator.

Po zeskanowaniu kodu QR aplikacja wyświetli kod weryfikacyjny, który musisz wprowadzić w opcjach wtyczki i kliknąć przycisk „Prześlij”.

Wtyczka ustawi teraz klucz tajny. Możesz zresetować ten klucz w dowolnym momencie ze strony ustawień, aby ponownie zeskanować kod QR.

Nie zapomnij kliknąć przycisku „Zaktualizuj profil” na dole strony, aby zapisać swoje ustawienia.

Teraz za każdym razem, gdy zalogujesz się do swojej witryny WordPress, zostaniesz poproszony o podanie kodu uwierzytelniającego wygenerowanego przez aplikację na Twoim telefonie.

Najczęściej zadawane pytania dotyczące uwierzytelniania dwuskładnikowego (2FA) w WordPress

Oto odpowiedzi na niektóre z najczęściej zadawanych pytań dotyczących korzystania z logowania dwuetapowego w WordPress.

Jak zalogować się z 2FA, jeśli nie mam dostępu do telefonu?

Jeśli nie masz telefonu, masz kilka sposobów na dostęp do swojego konta, pod warunkiem, że przygotowałeś się z wyprzedzeniem.

• Użyj aplikacji z kopią zapasową w chmurze: Jeśli używasz aplikacji uwierzytelniającej z kopiami zapasowymi w chmurze, taką jak Authy, możesz zainstalować aplikację na innym urządzeniu (np. na laptopie lub nowym telefonie). Po prostu zaloguj się na swoje konto Authy, aby uzyskać dostęp do kodów 2FA.
• Użyj kodów zapasowych: Po skonfigurowaniu 2FA wtyczka udostępnia listę jednorazowych kodów zapasowych. Możesz użyć jednego z tych kodów zamiast kodu generowanego przez aplikację, aby się zalogować.

Jak zalogować się bez kodów z mojej aplikacji uwierzytelniającej?

Jeśli nie masz dostępu do telefonu, innego urządzenia z kodami lub kodów zapasowych, jedynym sposobem na zalogowanie się jest wyłączenie wtyczki 2FA.

Możesz skorzystać z naszego przewodnika jak dezaktywować wszystkie wtyczki WordPress, gdy zostaniesz zablokowany z obszaru administracyjnego. Spowoduje to wyłączenie wymogu 2FA i będziesz mógł się zalogować. Po zalogowaniu możesz ponownie aktywować swoje wtyczki i zresetować konfigurację 2FA.

Czy muszę zabezpieczyć hasłem folder administracyjny WordPress?

Bezpieczeństwo strony internetowej działa najlepiej, gdy używasz wielu warstw ochrony, zaczynając od podstaw, takich jak bezpieczny hosting WordPress. Chociaż 2FA zabezpiecza Twoją stronę logowania, możesz uczynić swoją witrynę jeszcze bezpieczniejszą, zabezpieczając hasłem katalog administracyjny WordPress.

Oznacza to, że użytkownicy będą musieli wprowadzić oddzielne hasło, aby uzyskać dostęp do Twojej strony logowania, co stanowi kolejną silną barierę przed atakami.

Eksperckie przewodniki po zabezpieczaniu logowania do WordPress

Teraz, gdy wiesz, jak dodać weryfikację dwuetapową do WordPressa, możesz zapoznać się z innymi artykułami dotyczącymi zwiększenia bezpieczeństwa logowania do WordPressa.

• Jak i dlaczego powinieneś ograniczyć próby logowania w WordPressie
• Jak dodać niestandardowy adres URL logowania w WordPress (krok po kroku)
• Jak dodać CAPTCHA do formularza logowania i rejestracji w WordPress
• Jak dodać pytania zabezpieczające do ekranu logowania WordPress
• Jak wyłączyć podpowiedzi logowania w komunikatach o błędach logowania WordPress
• Jak zabezpieczyć hasłem katalog administracyjny WordPress (wp-admin)
• Jak ograniczyć dostęp do pliku wp-login.php w WordPress według adresu IP
• Jak dodać logowanie bez hasła w WordPress za pomocą Magic Links
• Jak chronić swoją witrynę WordPress przed atakami typu brute force

Mamy nadzieję, że ten artykuł pomógł Ci dodać weryfikację dwuskładnikową do logowania WordPress. Możesz również zapoznać się z naszym przewodnikiem na temat jak uzyskać darmowy certyfikat SSL dla Twojej witryny WordPress lub naszym wyborem ekspertów najlepszych wtyczek zabezpieczeń WordPress.

Jeśli podobał Ci się ten artykuł, zasubskrybuj nasz kanał YouTube po samouczki wideo WordPress. Możesz nas również znaleźć na Twitterze i Facebooku.