Weryfikację dwuetapową w WordPressie dodasz za pomocą wtyczki WP 2FA. Po instalacji połączysz ją z aplikacją taką jak Google Authenticator, zeskanujesz kod QR i wpiszesz kod TOTP wygenerowany na telefonie. Zanim zaczniesz, wykonaj backup strony i przygotuj kody zapasowe.
Dlaczego warto włączyć 2FA w WordPressie?
WordPress nie ma wbudowanej weryfikacji dwuetapowej, dlatego potrzebujesz dodatkowej wtyczki. 2FA dodaje drugi etap logowania do panelu administracyjnego. Po wpisaniu hasła trzeba podać także jednorazowy kod z aplikacji mobilnej.
Dzięki temu samo przejęcie hasła nie wystarczy do zalogowania się na konto administratora. Weryfikacja dwuetapowa ogranicza ryzyko ataków typu brute force i utrudnia wykorzystanie danych wyłudzonych podczas phishingu.
Co przygotować przed konfiguracją?
Przed instalacją wtyczki sprawdź kilka rzeczy. Ta krótka lista zmniejsza ryzyko utraty dostępu do panelu:
- Wykonaj pełny backup strony, obejmujący pliki WordPressa i bazę danych.
- Upewnij się, że masz dostęp do adresu e-mail przypisanego do konta administratora.
- Zainstaluj na telefonie aplikację Google Authenticator lub inne narzędzie obsługujące kody TOTP.
- Sprawdź, czy data, godzina i strefa czasowa w telefonie ustawiają się automatycznie.
Synchronizacja czasu ma znaczenie, ponieważ aplikacja generuje kody zależne od aktualnej godziny. Nawet niewielka różnica między telefonem a serwerem może spowodować odrzucenie poprawnego kodu.
Jak dodać weryfikację dwuetapową w WordPressie za pomocą WP 2FA?
WP 2FA przeprowadza administratora przez konfigurację za pomocą kreatora. Nazwy przycisków mogą nieznacznie różnić się zależnie od wersji wtyczki, ale kolejność działań pozostaje podobna.
- Zaloguj się do kokpitu WordPressa i przejdź do sekcji Wtyczki → Dodaj nową.
- Wyszukaj wtyczkę WP 2FA, kliknij „Zainstaluj”, a następnie „Włącz”.
- Uruchom kreator konfiguracji przyciskiem „Let’s get started”.
- Wybierz metodę „One-time code via 2FA App (TOTP)”, czyli kod generowany przez aplikację uwierzytelniającą.
- Pozostaw włączoną opcję kodów zapasowych i przejdź dalej.
- Zdecyduj, czy 2FA ma dotyczyć tylko Twojego konta, czy także innych użytkowników i ról, na przykład administratorów oraz redaktorów.
- Wybierz rozpoczęcie konfiguracji 2FA dla swojego profilu.
- Otwórz Google Authenticator, dodaj nowe konto i wybierz skanowanie kodu QR.
- Zeskanuj kod QR wyświetlony w kreatorze WP 2FA. Jeśli skanowanie nie działa, użyj ręcznego klucza konfiguracyjnego.
- Przepisz kod TOTP z aplikacji do formularza w WordPressie i zatwierdź konfigurację.
Google Authenticator generuje tymczasowe, zwykle sześciocyfrowe kody. Kod zmienia się cyklicznie, dlatego wpisz go przed upływem czasu widocznego w aplikacji.
Nie zamykaj konfiguratora, dopóki nie zapiszesz kodów zapasowych. Wtyczka może wyświetlić je po pomyślnej weryfikacji albo udostępnić później w profilu użytkownika. Zapisz je w bezpiecznym miejscu, najlepiej poza telefonem używanym do generowania kodów. Każdy kod awaryjny jest przeznaczony do jednorazowego użycia.
Jak sprawdzić, czy konfiguracja działa?
Wyloguj się z WordPressa i zaloguj ponownie. Po podaniu loginu oraz hasła powinno pojawić się pole na kod z aplikacji. Wpisz aktualny kod TOTP. Jeśli logowanie przebiegnie pomyślnie, 2FA jest aktywne dla tego konta.
Jeżeli zarządzasz kilkoma kontami z uprawnieniami administratora, skonfiguruj 2FA dla każdego z nich. Samo zabezpieczenie jednego konta nie chroni pozostałych użytkowników mających dostęp do panelu.
Co zrobić po utracie telefonu lub dostępu do panelu?
Najpierw użyj jednego z wcześniej zapisanych kodów zapasowych. Po zalogowaniu odłącz utracone urządzenie, wygeneruj nowy zestaw kodów i skonfiguruj aplikację na nowym telefonie.
Jeśli nie masz kodów zapasowych i wtyczka blokuje logowanie, możesz tymczasowo wyłączyć ją przez FTP albo Menedżer plików hostingu:
- Otwórz pliki strony i przejdź do katalogu wp-content/plugins.
- Znajdź katalog wtyczki WP 2FA. Jego nazwa może być podobna do wp-2fa.
- Zmień nazwę katalogu, na przykład dodając na końcu „-off”.
- Spróbuj zalogować się do panelu WordPressa bez aktywnej wtyczki.
- Po odzyskaniu dostępu przywróć pierwotną nazwę katalogu, włącz wtyczkę i skonfiguruj 2FA ponownie.
Zmiana nazwy katalogu powoduje, że WordPress nie może załadować wtyczki. Nie usuwaj jej, ponieważ utrudni to odzyskanie wcześniejszych ustawień. Jeśli nie wiesz, jak korzystać z FTP lub Menedżera plików, poproś o pomoc hosting albo administratora strony.
O czym pamiętać po włączeniu 2FA?
Przed zakończeniem konfiguracji sprawdź, czy:
- backup plików i bazy danych został wykonany,
- aplikacja poprawnie generuje kody TOTP,
- kody zapasowe zostały zapisane poza telefonem,
- data i godzina w telefonie są synchronizowane automatycznie,
- każde konto administratora ma własną konfigurację 2FA.
Najbezpieczniejszy wariant dla większości stron to aplikacja TOTP oraz osobno przechowywane kody zapasowe. Dzięki temu dodatkowa ochrona nie zależy wyłącznie od hasła ani od jednego urządzenia.
