Чтобы защитить вход в админ-панель WordPress, установите плагин двухфакторной аутентификации и настройте второй фактор для учётных записей. После этого одного пароля будет недостаточно: при входе пользователь дополнительно введёт одноразовый код из приложения-аутентификатора. Для редакторов и других пользователей с доступом к сайту правила 2FA можно задать отдельно.
В стандартной установке WordPress нет встроенной настройки, которая сама включает двухфакторную проверку при входе. Для этого обычно используют плагин. Ниже — настройка на примере WP 2FA от Melapress: он поддерживает коды из приложения-аутентификатора, позволяет задавать требования для ролей и предусматривает восстановление доступа.
Что подготовить перед включением 2FA
Для кодов TOTP понадобится приложение-аутентификатор на телефоне или другом устройстве. Оно генерирует временные коды и обычно работает без подключения к интернету. Подойдёт любое приложение, поддерживающее стандартные одноразовые коды, совместимые с Google Authenticator. На устройстве важно правильно выставить время: при сильном расхождении часов код может не приниматься.
До настройки проверьте, что можете войти в панель управления хостингом или получить доступ к сайту через файловый менеджер. Это запасной путь на случай, если администратор потеряет телефон и не сохранит коды восстановления. Также предупредите пользователей, которым потребуется настроить второй фактор: при принудительном включении 2FA они должны успеть пройти настройку в установленный срок.
Установите плагин и выберите второй фактор
- В админ-панели откройте Плагины → Добавить новый и найдите WP 2FA. Перед установкой проверьте название и автора плагина — Melapress.
- Установите и активируйте плагин. Если после активации откроется мастер настройки, выберите способ проверки и перейдите к настройке политики для пользователей.
- Для основного способа выберите приложение-аутентификатор (TOTP). Это удобный вариант, если почта сайта доставляет сообщения с задержками или не всегда корректно.
- Решите, какие роли должны использовать 2FA. Как минимум включите её для администраторов. Если редакторы могут публиковать материалы или управлять пользователями, разумно потребовать 2FA и для них.
- Настройте срок, за который пользователи должны подключить второй фактор, если такая настройка доступна в выбранной конфигурации плагина. Не устанавливайте требование без периода на настройку, пока сами не проверили процесс входа.
Названия пунктов и доступные настройки зависят от версии плагина. Если мастер не появился, найдите раздел WP 2FA в меню админ-панели и проверьте там политику для ролей и учётных записей. Плагин не начнёт защищать всех пользователей только от факта установки: пользователям нужно настроить фактор, а администратору — включить требование для нужных ролей.
Настройте аутентификатор в своей учётной записи
Сначала подключите 2FA для собственной учётной записи администратора. Откройте настройки WP 2FA или профиль пользователя и запустите настройку двухфакторного входа. Плагин покажет QR-код или секретный ключ. В приложении-аутентификаторе добавьте новую запись, отсканировав QR-код, либо введите ключ вручную. Затем укажите сгенерированный приложением код на сайте, чтобы подтвердить настройку.
Если плагин предлагает резервные коды, сохраните их вне сайта: например, в менеджере паролей или распечатайте и уберите в надёжное место. Это одноразовые средства восстановления, их нельзя оставлять только в профиле WordPress — при потере телефона туда может не быть доступа. Не отправляйте коды восстановления другим пользователям и не храните их в открытом документе на том же сайте.
Проверьте, что второй фактор действительно добавлен к вашей учётной записи и включён. Если администратор может пользоваться несколькими устройствами, настройте дополнительный аутентификатор до выхода из аккаунта, если плагин и приложение поддерживают такой сценарий.
Проверьте вход и подключите редакторов
Не ограничивайтесь сообщением плагина об успешной настройке. Откройте отдельное приватное окно браузера, выйдите из админ-панели в основном окне и войдите снова. После ввода пароля WordPress должен запросить одноразовый код. Проверьте код из приложения, а также убедитесь, что сохранённый резервный способ восстановления доступен.
Затем попросите одного редактора пройти настройку или проверьте её под тестовой учётной записью с соответствующей ролью. Это поможет заметить проблему с политикой ролей до того, как она затронет всю редакцию. Проверьте, что уведомления о настройке и сроке её завершения приходят на действующие адреса пользователей.
Если в качестве второго фактора включена проверка через электронную почту, протестируйте доставку письма именно при входе. Такой способ зависит от почты учётной записи: если злоумышленник получит доступ к почтовому ящику, он может обойти дополнительный барьер. Поэтому для администраторов предпочтительнее приложение-аутентификатор, а почту можно оставить как запасной вариант, если это предусмотрено настройками.
Как не потерять доступ к сайту
Основная причина блокировки — включить обязательную 2FA для роли до того, как пользователи настроили второй фактор, или потерять единственное устройство с приложением. Включайте требование сначала для себя, проверяйте вход в приватном окне и только потом распространяйте политику на редакторов. Если на сайте несколько администраторов, настройте 2FA для каждого и убедитесь, что хотя бы один из них может восстановить доступ.
Если телефон потерян, сначала используйте резервный код, если он был сохранён. После входа отключите старый фактор и настройте новый. Если резервного способа нет и войти в админ-панель невозможно, может потребоваться временно отключить плагин через файловый менеджер хостинга или FTP: переименовать каталог плагина в wp-content/plugins, войти в WordPress и затем восстановить каталог. Это аварийная мера: она временно снимет защиту, а плагин может потребовать повторной активации. Перед изменением файлов убедитесь, что у вас есть доступ к хостингу, и после восстановления сразу настройте 2FA заново.
Не удаляйте плагин и его данные в обычной ситуации ради смены телефона. Сначала воспользуйтесь предусмотренным способом восстановления, затем замените фактор в учётной записи и проверьте вход. В результате администраторы и редакторы будут защищены дополнительной проверкой, а у владельца сайта останется понятный план действий на случай потери устройства.