Comment ajouter l’authentification à deux facteurs (2FA) à WordPress ?

Pourquoi c’est important

Les mots de passe fuient. Ils sont réutilisés sur un autre site qui se fait pirater, saisis sur une fausse page de connexion, ou devinés. Une fois que quelqu’un a votre mot de passe, WordPress ne peut pas le distinguer de vous.

L’authentification à deux facteurs (2FA) ajoute quelque chose que vous seul détenez : un code à six chiffres issu d’une application sur votre téléphone, qui change toutes les 30 secondes. Pour entrer, un attaquant a besoin à la fois de votre mot de passe et de votre téléphone, au même moment. Pour un compte administrateur, ce seul changement élimine le moyen le plus courant de prendre le contrôle d’un site.

La norme derrière ces codes s’appelle TOTP (mots de passe à usage unique basés sur le temps). Elle est ouverte, fonctionne hors ligne et toutes les grandes applications d’authentification la prennent en charge : vous n’êtes donc lié à aucun fournisseur.

Erreurs courantes

• Ne pas conserver les codes de récupération. Perdre son téléphone sans codes de récupération est la façon la plus courante de se bloquer soi-même après avoir activé la 2FA. Imprimez-les ou gardez-les dans un gestionnaire de mots de passe qui ne se trouve pas sur le même téléphone.
• Utiliser un seul téléphone pour tout. Si les codes et les codes de récupération sont sur le même appareil, le perdre revient à perdre les deux.
• Penser que la 2FA couvre toutes les portes. Si xmlrpc.php accepte encore les mots de passe, ou si les codes erronés ne sont pas comptés, les attaquants peuvent continuer à deviner. Fermez la connexion par XML-RPC et assurez-vous que les échecs de 2FA comptent dans votre limite de connexion.
• Des codes QR générés par un service tiers. Certaines configurations dessinent le code QR via un service d’images externe, ce qui signifie que votre secret transite par Internet. Préférez un code QR généré sur votre propre serveur.
• Changer les clés de sécurité (salts) sans plan. Dans certaines configurations, les secrets 2FA sont liés à vos salts WordPress. Sachez ce que fait votre extension si les salts changent.

Sans extension

Il n’existe pas de façon honnête d’ajouter la 2FA TOTP à WordPress sans code. Les options en dehors d’une extension WordPress sont :

• La protection de connexion de votre hébergeur. Certains hébergeurs infogérés placent une couche 2FA devant wp-admin. C’est pratique quand c’est disponible, mais cela ne vous suit pas si vous changez d’hébergeur.
• L’authentification unique (SSO). Les équipes plus importantes peuvent faire passer les connexions WordPress par un fournisseur d’identité qui impose la 2FA. Solide, mais plus lourd à mettre en place que ce dont la plupart des petits sites ont besoin.
• L’authentification HTTP basique sur wp-admin. Elle ajoute un second mot de passe, pas un second facteur. Elle ralentit les robots, mais une liste de mots de passe ayant fuité peut contenir les deux.

Si vous écrivez la vôtre, il vous faudra stocker le secret de chaque utilisateur sous forme chiffrée, vérifier les codes avec une légère tolérance d’horloge, limiter le débit de l’étape du code, générer des codes de récupération et permettre aux administrateurs de les réinitialiser. Cela fait beaucoup de code critique pour la sécurité à maintenir seul.

En cas de problème

• Le code est toujours « incorrect ». Vérifiez l’heure de votre téléphone. TOTP dépend de l’horloge ; activez la date et l’heure automatiques dans les réglages de votre téléphone.

• Vous avez perdu votre téléphone. Utilisez un code de récupération sur l’écran du code. Chaque code ne fonctionne qu’une fois.

• Plus aucun code de récupération. Ajoutez cette ligne à wp-config.php :

  define( 'GATEKEEPER_2FA_DISABLE', true );
  

  Connectez-vous, reconfigurez la 2FA sur votre nouveau téléphone, enregistrez les nouveaux codes, puis supprimez la ligne.

• Un autre administrateur peut vous aider. Un administrateur peut réinitialiser la 2FA de votre compte depuis votre profil.

Le guide complet se trouve dans Bloqué après avoir changé l’URL de connexion.

Avec Hushfort

La Double authentification fait partie de Hushfort Pro, le module complémentaire qui s’installe par-dessus Hushfort Security, l’extension de sécurité WordPress gratuite.

La couche Double authentification de Hushfort utilise TOTP : elle fonctionne donc avec n’importe quelle application d’authentification.

• Le code QR est généré localement. Votre secret ne quitte jamais votre serveur.
• Chaque utilisateur configure la 2FA depuis son propre écran de profil ; les administrateurs peuvent la réinitialiser.
• Les codes de récupération peuvent être téléchargés ou imprimés.
• Les secrets sont stockés chiffrés (AES-256 avec contrôle HMAC).
• Si les clés de sécurité (salts) de WordPress changent, la 2FA ne se désactive pas en silence. Les utilisateurs concernés se connectent avec un code de récupération et sont invités à reconfigurer la 2FA. Vous pouvez aussi définir une clé distincte, GATEKEEPER_2FA_KEY (32 caractères ou plus), dans wp-config.php pour que les salts n’aient plus d’incidence.
• Les codes erronés comptent dans les Limites de connexion.