Jak dodać uwierzytelnianie dwuskładnikowe w WordPress (metoda bezpłatna)

Duże witryny internetowe, takie jak Facebook i Google, poważnie podchodzą do kwestii zabezpieczeń i proszą o korzystanie z uwierzytelniania dwuskładnikowego (2FA) w celu zabezpieczenia twojego konta. Dzieje się tak, ponieważ 2FA dodaje dodatkową warstwę zabezpieczeń, która z naszego doświadczenia znacznie utrudnia hakerom dostęp do konta.

Teraz możesz sprawić, że twoja witryna WordPress będzie równie zabezpieczona. Dodanie uwierzytelniania dwuskładnikowego dla twoich użytkowników WordPress jest mądrym posunięciem, niezależnie od tego, czy prowadzisz małego bloga, czy ruchliwy sklep internetowy.

Ten artykuł poprowadzi Cię przez konfigurację 2FA na Twojej witrynie WordPress za pomocą wtyczki i aplikacji uwierzytelniającej. Jest to łatwiejsze niż myślisz i ma duży wpływ na bezpieczeństwo twojej witryny.

Dlaczego warto dodać uwierzytelnianie dwuskładnikowe w WordPress?

Jedną z najczęstszych sztuczek stosowanych przez hakerów są ataki siłowe. Podczas jednego z takich ataków używają zautomatyzowanych skryptów, które próbują odgadnąć właściwą nazwę użytkownika i hasło, aby mogli logować się do twojej witryny internetowej WordPress.

Udany atak brute force może dać hakerom dostęp do obszaru administracyjnego twojej witryny internetowej. Mogą oni zainstalować złośliwe oprogramowanie, wykraść informacje o użytkownikach i usunąć wszystko z twojej witryny.

Jednym z najprostszych sposobów zabezpieczenia twojej witryny internetowej WordPress przed kradzieżą haseł jest dodanie uwierzytelniania dwuskładnikowego (2FA). Dzięki temu ustawieniu, aby logować się do witryny internetowej, będziesz musiał zarówno wpisz swoje hasło, jak i dodatkowy kod (z aplikacji, e-maila lub wiadomości tekstowej).

W ten sposób, nawet jeśli ktoś ukradnie twoje hasło, to i tak będzie musiał wpisz kod zabezpieczenia z twojego telefonu, aby uzyskać dostęp.

Co to jest aplikacja uwierzytelniająca?

Istnieje wiele sposobów na skonfigurowanie 2-etapowego logowania w WordPress. Jednak najbezpieczniejszą i najłatwiejszą metodą jest użycie aplikacji uwierzytelniającej.

Aplikacja uwierzytelniająca to aplikacja na smartfony, która generuje tymczasowe jednorazowe hasło do kont, które zostały w niej zapisane.

Zasadniczo aplikacja i twój serwer używają prywatnego klucza do szyfrowania informacji i generowania jednorazowych kodów, których możesz użyć jako drugiej warstwy zabezpieczenia.

Istnieje wiele aplikacji dostępnych za darmo:

• Najpopularniejszą aplikacją jest Google Authenticator, ale nie jest to najlepszy wybór. Dzieje się tak dlatego, że jeśli zgubisz swój telefon, nie ma możliwości odzyskania twoich kont, chyba że wcześniej utworzysz kopię zapasową.

• Zalecamy korzystanie z Authy, ponieważ jest to łatwa w użyciu i bezpłatna aplikacja, która umożliwia również zapisywanie twoich kont w chmurze w zaszyfrowanym formacie. W ten sposób, jeśli zgubisz telefon, możesz po prostu wpisz swoje hasło główne, aby przywrócić wszystkie konta.

• Inne menedżery haseł, takie jak LastPass i 1Password, mają własną wersję uwierzytelniacza. Są one lepsze niż Google Authenticator, ponieważ umożliwiają przywracanie kluczy.

Na potrzeby tego poradnika będziemy używać Authy. Jeśli chcesz, możesz postępować zgodnie z naszym poradnikiem, korzystając z innej aplikacji, ponieważ wszystkie działają w ten sam sposób.

Mając to na uwadze, przyjrzyjmy się, jak dodać 2FA w WordPress. Wystarczy kliknąć poniższe odnośniki, aby przejść do preferowanej metody:

Przyjrzyjmy się teraz, jak łatwo dodać weryfikację dwuskładnikową do twojego ekranu logowania WordPress za darmo.

Metoda 1: Dodanie uwierzytelniania dwuskładnikowego przy użyciu WP 2FA

Ta metoda jest łatwa i zalecana dla wszystkich użytkowników. Jest elastyczna i pozwala wymusić uwierzytelnianie dwuskładnikowe dla wszystkich użytkowników.

Najpierw należy zainstalować i włączyć wtyczkę WP 2FA – Two-factor Authentication. Aby uzyskać więcej informacji, zobacz nasz przewodnik krok po kroku, jak zainstalować wtyczkę WordPress.

Po włączaniu kreator konfiguracji WPA 2FA uruchomi się automatycznie. W przeciwnym razie możesz przejść na stronę Użytkownicy ” Twój profil i przewinąć w dół do sekcji „Ustawienia WP 2FA”.

Kliknięcie przycisku „Skonfiguruj uwierzytelnianie dwuskładnikowe (2FA)” spowoduje uruchomienie kreatora konfiguracji.

Kreator konfiguracji WP 2FA

Wystarczy kliknąć przycisk „Let’s Get Started!”, aby rozpocząć konfigurację wtyczki.

Na następnej stronie zostaniesz poproszony o wybranie metody uwierzytelniania.

Dostępne są dwie opcje:

• Jednorazowy kod wygenerowany przez twoją aplikację 2FA (zalecane)
• Jednorazowy kod wysyłany pocztą e-mail

Zalecamy wybranie uwierzytelniania za pomocą aplikacji 2FA (TOTP), ponieważ jest ono bardziej bezpieczne i niezawodne.

Po dokonaniu twojego wyboru możesz kliknąć przycisk „Kontynuuj konfigurację”, aby przejść do następnej strony kreatora konfiguracji.

Zostaniesz zapytany, z jakich alternatywnych metod 2FA chcesz, aby twoi użytkownicy korzystali, jeśli podstawowa metoda 2FA zawiedzie, na przykład w przypadku utraty telefonu.

W planie bezpłatnym dostępna będzie tylko metoda kodu zapasowego. Jeśli chcesz mieć więcej alternatywnych metod 2FA, musisz uaktualnić do WP 2FA Premium.

Wystarczy kliknąć przycisk „Kontynuuj konfigurację”, aby przejść do następnej strony.

Na tej stronie możesz wprowadzić obowiązek logowania dwuskładnikowego dla niektórych lub wszystkich użytkowników. Zalecamy to, zwłaszcza jeśli prowadzisz witrynę internetową WordPress z wieloma użytkownikami, taką jak witryna członkowska.

Jeśli chcesz wymusić 2FA dla wszystkich użytkowników twojej witryny internetowej, po prostu wybierz opcję „Wszyscy użytkownicy” i kliknij „Kontynuuj konfigurację”.

Teraz wszyscy twoi użytkownicy będą musieli korzystać z 2FA.

Być może jednak w twojej witrynie internetowej są użytkownicy, których nie chcesz zmuszać do korzystania z 2FA. Następna strona umożliwia wpisanie nazw użytkowników lub ról użytkowników tych członków zespołu.

Gdy to zrobisz, kliknięcie przycisku „Kontynuuj konfigurację” przeniesie Cię na stronę, na której możesz zdecydować, jak szybko Twoi użytkownicy muszą zacząć korzystać z 2FA.

Możesz wymagać od nich natychmiastowego rozpoczęcia lub dać im okres karencji wynoszący, powiedzmy, 3 dni, aby mieli czas na skonfigurowanie wszystkiego. Po prostu kliknij opcję, której chcesz użyć na swojej witrynie internetowej.

Jeśli chcesz dać okres karencji, możesz wybrać, ile godzin lub dni to będzie. Domyślne ustawienie 3 dni będzie działać dobrze dla większości witryn internetowych.

Istnieją również opcje dotyczące tego, co zrobić po zakończeniu okresu karencji, jeśli niektórzy użytkownicy nie skonfigurowali 2FA. Możesz ich wpuścić, ale nie pozwolić im na dostęp do kokpitu lub w ogóle zablokować im możliwość logowania się. W przypadku większości witryn internetowych najlepsza będzie pierwsza opcja.

Po dokonaniu twojego wyboru możesz kliknąć „Wszystko gotowe”, aby wyjść z kreatora konfiguracji. Gratulacje, skonfigurowałeś uwierzytelnianie dwuskładnikowe na twojej witrynie!

Zobaczysz ekran zakończenia konfiguracji z komunikatem gratulacyjnym. Zobaczysz również przycisk, który pozwoli ci skonfigurować 2FA dla twojego konta użytkownika. Należy kliknąć przycisk „Skonfiguruj 2FA teraz”.

Konfigurowanie uwierzytelniania dwuskładnikowego dla twojego konta użytkownika

Uruchomi się nowy kreator konfiguracji, który pomoże skonfigurować uwierzytelnianie dwuskładnikowe dla twojego konta użytkownika. Inni użytkownicy twojej witryny internetowej zostaną poproszeni o zrobienie tego samego.

Pierwszą rzeczą, którą musisz zdecydować, jest metoda 2FA, której chcesz użyć. Powinieneś zobaczyć opcję jednorazowego kodu za pośrednictwem aplikacji uwierzytelniającej. Możesz także zobaczyć inne opcje w zależności od wyborów dokonanych podczas kreatora konfiguracji.

Wystarczy wybrać opcję „Jednorazowy kod za pośrednictwem aplikacji 2FA”, a następnie kliknąć przycisk „Następny krok”.

Wtyczka wyświetli teraz kod QR i kod tekstowy.

Konieczne będzie zeskanowanie kodu QR za pomocą aplikacji uwierzytelniającej. Alternatywnie można ręcznie wpisać kod tekstowy w aplikacji.

Teraz musisz podnieść swoje urządzenie mobilne i otworzyć preferowaną aplikację uwierzytelniającą. Poniższe zrzuty ekranu przedstawiają Authy, ale inne aplikacje działają w podobny sposób.

Najpierw kliknij przycisk „+” lub „Dodaj konto” w twojej aplikacji uwierzytelniającej.

Następnie aplikacja poprosi o pozwolenie na dostęp do kamery w twoim telefonie.

Musisz zezwolić na to uprawnienie, a następnie dotknąć przycisku „Skanuj kod QR”, aby móc zeskanować kod QR wyświetlany na stronie ustawień wtyczki na twoim komputerze.

Gdy aplikacja rozpozna kod QR, automatycznie rozpocznie zapisywanie konta.

Następnie możesz edytować domyślne logo i pseudonim dla konta. Gdy będziesz gotowy, naciśnij przycisk „Zapisz”.

Aplikacja uwierzytelniająca zapisze teraz twoje konto w witrynie internetowej.

Następnie zacznie wyświetlać jednorazowe hasło. Będziesz musiał je wpisz w ustawieniach wtyczki na twoim komputerze.

Teraz musisz przełączyć się z powrotem na twój komputer.

W kreatorze konfiguracji wtyczki kliknij przycisk „Jestem gotowy”, aby kontynuować.

Wtyczka poprosi teraz o weryfikację twojego jednorazowego hasła.

Po prostu wpisz kod z twojej aplikacji mobilnej w polu „Kod uwierzytelniający”, zanim wygaśnie.

Następnie należy kliknąć przycisk „Zatwierdź i zapisz”, aby sfinalizować konfigurację.

Następnie pojawi się opcja wygenerowania i zapisania listy kodów zapasowych. Kody te można wykorzystać w przypadku braku dostępu do twojego telefonu.

Należy kliknąć przycisk „Generuj listę kodów zapasowych”.

Kody kopii zapasowych zostaną wygenerowane i wyświetlone.

Możesz pobrać te kody zapasowe do bezpiecznej lokalizacji na twoim komputerze, wydrukować je i umieścić gdzieś w bezpiecznym miejscu lub wysłać je do siebie e-mailem. Upewnij się, że trzymasz je w miejscu, do którego możesz się dostać, jeśli nie masz twojego telefonu.

Następnie można kliknąć przycisk „Jestem gotowy, zamknij kreatora”, aby zamknąć kreatora konfiguracji.

Korzystanie z uwierzytelniania dwuskładnikowego podczas logowania się

Następnym razem, gdy twój użytkownik będzie się logował, zobaczy powiadomienie, że musi skonfigurować uwierzytelnianie dwuskładnikowe, wraz z datą ostateczną na koniec okresu karencji.

Mogą kliknąć przycisk, aby skonfigurować 2FA teraz lub wybrać przypomnienie przy następnym logowaniu.

Kiedy klikną przycisk „Skonfiguruj 2FA teraz”, zostaną przeprowadzeni przez te same kroki, co podczas konfigurowania 2FA dla twojego konta użytkownika w poprzedniej sekcji.

Kiedy zalogują się po skonfigurowaniu uwierzytelniania dwuskładnikowego, zobaczą normalny ekran logowania WordPress. Jednak gdy wpiszą swoją nazwę użytkownika i hasło, zostanie wyświetlony drugi ekran z prośbą o podanie kodu z aplikacji uwierzytelniającej.

Będą musieli wpisz kod z aplikacji na swoim telefonie, zanim będą mogli się logować. Mogą też wpisz kod zapasowy, jeśli nie mają przy sobie telefonu.

Dzięki temu Twoja witryna internetowa jest lepiej zabezpieczona. Jeśli haker pozna nazwę użytkownika i hasło jednego z twoich użytkowników, nie będzie mógł się logować, chyba że będzie miał również dostęp do jego telefonu.

Metoda 2: Dodanie uwierzytelniania dwuskładnikowego przy użyciu funkcji Two-Factor

Ta metoda jest mniej elastyczna, ponieważ nie pozwala na wymuszenie logowania dwuskładnikowego dla wszystkich użytkowników. Każdy użytkownik będzie musiał skonfigurować go samodzielnie i może go wyłączyć w swoim profilu. Jest to jednak szybka i łatwa metoda, jeśli chcesz skonfigurować 2FA tylko dla twojego konta.

Najpierw należy zainstalować i włączyć wtyczkę Two-Factor. Aby uzyskać więcej informacji, zobacz nasz przewodnik krok po kroku, jak zainstalować wtyczkę WordPress.

Po włączaniu należy przejść na stronę Użytkownicy ” Profil i przewinąć w dół do sekcji „Opcje dwuskładnikowe”.

W tym miejscu należy wybrać opcję logowania dwuskładnikowego. Wtyczka umożliwia korzystanie z poczty e-mail, aplikacji uwierzytelniającej i metody kluczy zabezpieczeń FIDO U2F.

Zalecamy skorzystanie z metody aplikacji uwierzytelniającej. Wystarczy zeskanować kod QR na ekranie za pomocą aplikacji uwierzytelniającej, takiej jak Google Authenticator, Authy lub LastPass Authenticator.

Po zeskanowaniu kodu QR aplikacja wyświetli kod weryfikacyjny, który należy wpisz w opcjach wtyczki i kliknij przycisk „Prześlij”.

Wtyczka ustawi teraz klucz prywatny. Możesz zresetować ten klucz w dowolnym momencie ze strony ustawień, aby ponownie zeskanować kod QR.

Nie zapomnij kliknąć przycisku „Aktualizuj profil” na dole strony, aby zapisać twoje ustawienia.

Teraz za każdym razem, gdy logujesz się do twojej witryny internetowej WordPress, zostaniesz poproszony o wpisz kodu uwierzytelniającego wygenerowanego przez aplikację na telefonie.

Najczęściej zadawane pytania dotyczące uwierzytelniania dwuskładnikowego (2FA) w WordPressie

Oto kilka odpowiedzi na najczęściej zadawane pytania dotyczące korzystania z logowania dwuetapowego w WordPress.

1. Jak logować się za pomocą 2FA, jeśli nie mam dostępu do telefonu?

Jeśli korzystasz z aplikacji uwierzytelniającej z opcją tworzenia kopii zapasowych w chmurze, takiej jak Authy, możesz zainstalować aplikację również na twoim laptopie.

Daje to dostęp do kodów uwierzytelniających nawet wtedy, gdy nie masz przy sobie twojego telefonu. Umożliwia również łatwe przywrócenie twoich kluczy prywatnych po zakupie nowego telefonu.

Wiele aplikacji uwierzytelniających umożliwia również generowanie kodów zapasowych. Kody te mogą być używane jako jednorazowe hasła, gdy nie masz dostępu do twojego telefonu.

2. Jak logować się bez kodów z aplikacji uwierzytelniającej?

Jeśli nie masz dostępu do twojego telefonu, laptopa lub kodów zapasowych, to możesz logować się tylko poprzez wyłączenie wtyczki 2FA.

Możesz zapoznać się z naszym przewodnikiem na temat wyłączania wszystkich wtyczek WordPress, gdy nie masz dostępu do obszaru administracyjnego.

Gdy wyłączysz wszystkie wtyczki, wyłączysz również wtyczkę uwierzytelniania dwuskładnikowego i będziesz mógł logować się do swojej witryny internetowej WordPress. Po zalogowaniu się można ponownie aktywować wtyczki i zresetować konfigurację uwierzytelniania dwuskładnikowego.

3. Czy muszę zabezpieczyć hasłem katalog administracyjny WordPress?

Bezpieczeństwo witryny internetowej działa najlepiej, gdy masz wiele warstw zabezpieczeń, aby chronić twoją witrynę, zaczynając od podstaw, takich jak korzystanie z HTTPS i bezpiecznego hostingu WordPress.

Weryfikacja dwuskładnikowa sprawia, że twój login WordPress jest zabezpieczony, ale możesz uczynić go jeszcze bardziej bezpiecznym, zabezpieczając hasłem katalog administracyjny WordPress. Oznacza to, że użytkownicy nie będą mogli uzyskać dostępu do twojej strony logowania, chyba że najpierw wpiszą nazwę użytkownika i hasło.

Przewodniki ekspertów dotyczące zabezpieczenia logowania do WordPressa

Teraz, gdy już wiesz, jak dodać weryfikację dwuskładnikową do WordPressa, możesz chcieć zapoznać się z innymi artykułami związanymi z lepszym zabezpieczeniem logowania do WordPressa.

• Jak i dlaczego należy ograniczyć próby logowania w WordPress?
• Jak dodać własny adres URL logowania w WordPress (krok po kroku)
• Jak dodać CAPTCHA w formularzu logowania i rejestracji WordPress?
• Jak dodać pytania dotyczące zabezpieczeń do ekranu logowania WordPress
• Jak wyłączyć podpowiedzi dotyczące logowania w komunikatach o błędach logowania WordPress?
• Jak zabezpieczyć hasłem twój katalog administratora WordPress (wp-admin)?
• Jak ograniczyć dostęp przez IP do twojego pliku wp-login.php w WordPress?
• Jak dodać logowanie bez hasła w WordPressie za pomocą Magicznych odnośników
• Jak zabezpieczyć twoją witrynę WordPress przed atakami Brute Force?

Mamy nadzieję, że ten artykuł pomógł ci dodać weryfikację 2-czynnikową do logowania w WordPress. Możesz również zapoznać się z naszym przewodnikiem na temat tego, jak uzyskać bezpłatny certyfikat SSL dla twojej witryny WordPress lub z naszą ekspercką listą najlepszych wtyczek do zabezpieczeń WordPress.

If you liked this article, then please subscribe to our YouTube Channel for WordPress video tutorials. You can also find us on Twitter and Facebook.