Bagaimana cara menambahkan autentikasi dua faktor (2FA) ke WordPress?

WordPress tidak punya 2FA bawaan, jadi autentikasi dua faktor ditambahkan lewat plugin: pindai kode QR dengan aplikasi autentikator (TOTP), konfirmasi dengan kode enam digit, dan simpan kode pemulihan secara offline. Setelah itu, kata sandi saja tidak cukup untuk membuka akun Anda. Autentikasi Dua Faktor ada di Hushfort Pro, add-on berbayar untuk Hushfort Security, plugin keamanan WordPress gratis.

Mengapa ini penting

Kata sandi bisa bocor. Kata sandi dipakai ulang di situs lain yang kemudian dibobol, diketik di halaman login palsu, atau ditebak. Begitu seseorang memegang kata sandi Anda, WordPress tidak bisa membedakan dia dari Anda.

Autentikasi dua faktor (2FA) menambahkan sesuatu yang hanya Anda pegang: kode enam digit dari aplikasi di ponsel Anda yang berganti setiap 30 detik. Untuk masuk, penyerang membutuhkan kata sandi dan ponsel Anda pada saat yang sama. Untuk akun administrator, satu perubahan itu menghilangkan cara paling umum situs diambil alih.

Standar di balik kode tersebut adalah TOTP (time-based one-time password, kata sandi sekali pakai berbasis waktu). Standar ini terbuka, berjalan secara offline, dan didukung semua aplikasi autentikator utama, jadi Anda tidak terikat pada satu vendor.

Kesalahan umum

• Tidak menyimpan kode pemulihan. Kehilangan ponsel tanpa kode pemulihan adalah cara paling umum orang mengunci dirinya sendiri setelah mengaktifkan 2FA. Cetak kodenya atau simpan di pengelola kata sandi yang tidak berada di ponsel yang sama.
• Memakai satu ponsel untuk semuanya. Jika kode dan kode pemulihan ada di perangkat yang sama, kehilangan perangkat itu berarti kehilangan keduanya.
• Menganggap 2FA menutup semua pintu. Jika xmlrpc.php masih menerima kata sandi, atau kode yang gagal tidak dihitung, penyerang bisa terus menebak. Tutup login XML-RPC dan pastikan kegagalan 2FA ikut dihitung dalam batas login Anda.
• Kode QR yang dibuat oleh layanan pihak ketiga. Beberapa penyiapan membuat kode QR dengan layanan gambar eksternal, yang berarti rahasia Anda dikirim lewat internet. Pilih kode QR yang dibuat di server Anda sendiri.
• Mengganti salt keamanan tanpa rencana. Pada beberapa penyiapan, rahasia 2FA terikat pada salt WordPress Anda. Ketahui apa yang dilakukan plugin Anda jika salt berubah.

Tanpa plugin

Tidak ada cara yang jujur untuk menambahkan 2FA TOTP ke WordPress tanpa kode. Pilihan di luar plugin WordPress adalah:

• Perlindungan login dari hosting Anda. Beberapa managed hosting memasang lapisan 2FA di depan wp-admin. Praktis jika tersedia, tetapi tidak ikut pindah saat Anda berganti hosting.
• Single sign-on. Tim yang lebih besar bisa mengarahkan login WordPress melalui penyedia identitas yang mewajibkan 2FA. Kuat, tetapi penyiapannya lebih rumit daripada yang dibutuhkan sebagian besar situs kecil.
• HTTP basic auth di wp-admin. Ini menambahkan kata sandi kedua, bukan faktor kedua. Cara ini memperlambat bot, tetapi daftar kata sandi yang bocor bisa saja memuat keduanya.

Jika Anda menulisnya sendiri, Anda perlu menyimpan rahasia setiap pengguna dalam bentuk terenkripsi, memverifikasi kode dengan toleransi selisih jam yang kecil, membatasi laju langkah kode, membuat kode pemulihan, dan menyediakan reset bagi admin. Itu banyak sekali kode yang krusial bagi keamanan untuk dirawat sendirian.

Jika terjadi masalah

• Kode selalu "salah". Periksa waktu di ponsel Anda. TOTP bergantung pada jam; aktifkan waktu otomatis di pengaturan ponsel.

• Ponsel Anda hilang. Gunakan kode pemulihan di layar kode. Setiap kode hanya berlaku sekali.

• Kode pemulihan sudah habis. Tambahkan baris ini ke wp-config.php:

  define( 'GATEKEEPER_2FA_DISABLE', true );
  

  Masuk, siapkan 2FA lagi di ponsel baru Anda, simpan kode yang baru, lalu hapus baris tersebut.

• Admin lain bisa membantu. Administrator dapat mereset 2FA akun Anda dari profil pengguna Anda.

Panduan lengkapnya ada di Terkunci setelah mengganti URL login.

Dengan Hushfort

Autentikasi Dua Faktor adalah bagian dari Hushfort Pro, add-on yang dipasang di atas plugin gratis.

Lapisan Autentikasi Dua Faktor Hushfort memakai TOTP, sehingga berfungsi dengan aplikasi autentikator apa pun.

• Kode QR dibuat secara lokal. Rahasia Anda tidak pernah keluar dari server Anda.
• Setiap pengguna menyiapkan 2FA dari layar profilnya sendiri; administrator dapat mereset-nya.
• Kode pemulihan bisa diunduh atau dicetak.
• Rahasia disimpan dalam bentuk terenkripsi (AES-256 dengan pemeriksaan HMAC).
• Jika salt keamanan WordPress Anda berubah, 2FA tidak diam-diam mati. Pengguna yang terdampak masuk dengan kode pemulihan dan diminta menyiapkan 2FA lagi. Anda juga bisa menetapkan kunci terpisah, GATEKEEPER_2FA_KEY (32 karakter atau lebih), di wp-config.php agar salt tidak berpengaruh.
• Kode yang gagal ikut dihitung dalam Batas Login.