Come attivo l'autenticazione a due fattori (2FA) su WordPress?

Perché è importante

L'autenticazione a due fattori (2FA) in WordPress chiede, oltre alla password, un codice a sei cifre generato dal tuo telefono. Le password trapelano. Vengono riutilizzate su un altro sito che subisce una violazione, digitate in una falsa pagina di login, oppure indovinate. Una volta che qualcuno ha la tua password, WordPress non riesce a distinguerlo da te.

L'autenticazione a due fattori (2FA) aggiunge qualcosa che hai solo tu: un codice a sei cifre generato da un'app sul telefono, che cambia ogni 30 secondi. Per entrare, a un attaccante servono sia la tua password sia il tuo telefono nello stesso momento. Per un account amministratore, questo solo cambiamento elimina il modo più comune in cui i siti vengono presi.

Lo standard dietro questi codici è TOTP (password monouso basate sul tempo). È aperto, funziona offline e lo supportano tutte le principali app di autenticazione, quindi non sei legato a un solo fornitore.

Errori comuni

• Non salvare i codici di recupero. Perdere il telefono senza codici di recupero è il modo più comune in cui ci si chiude fuori dopo aver attivato la 2FA. Stampali o tienili in un password manager che non sia sullo stesso telefono.
• Usare un solo telefono per tutto. Se i codici e i codici di recupero stanno sullo stesso dispositivo, perdendolo perdi entrambi.
• Credere che la 2FA copra ogni porta. Se xmlrpc.php accetta ancora password, o i codici sbagliati non vengono contati, gli attaccanti possono continuare a tentare. Chiudi il login via XML-RPC e assicurati che gli errori della 2FA contino per il limite di login.
• Codici QR generati da un servizio di terze parti. Alcune configurazioni disegnano il codice QR con un servizio di immagini esterno, il che significa che il tuo segreto viaggia su internet. Preferisci un codice QR generato sul tuo server.
• Cambiare i salt di sicurezza senza un piano. In alcune configurazioni i segreti della 2FA sono legati ai salt di WordPress. Sappi cosa fa il tuo plugin se i salt cambiano.

Senza plugin

Non esiste un modo onesto per aggiungere la 2FA TOTP a WordPress senza codice. Le opzioni al di fuori di un plugin per WordPress sono:

• La protezione del login del tuo hosting. Alcuni hosting gestiti mettono un livello 2FA davanti a wp-admin. È comodo dove disponibile, ma non ti segue quando cambi hosting.
• Single sign-on. I team più grandi possono far passare i login di WordPress da un provider di identità che impone la 2FA. Solido, ma richiede più configurazione di quanta ne serva alla maggior parte dei siti piccoli.
• HTTP basic auth su wp-admin. Aggiunge una seconda password, non un secondo fattore. Rallenta i bot, ma un elenco di password trapelate può contenerle entrambe.

Se lo scrivi da te, dovrai salvare cifrato il segreto di ogni utente, verificare i codici con una piccola tolleranza sull'orologio, limitare la frequenza del passaggio del codice, generare i codici di recupero e dare agli amministratori un modo per reimpostare. È molto codice critico per la sicurezza da mantenere da soli.

Se qualcosa va storto

• Il codice risulta sempre "non valido". Controlla l'ora del telefono. TOTP dipende dall'orologio; attiva l'ora automatica nelle impostazioni del telefono.

• Hai perso il telefono. Usa un codice di recupero nella schermata del codice. Ogni codice funziona una volta sola.

• Non ti restano codici di recupero. Aggiungi questa riga a wp-config.php:

  define( 'GATEKEEPER_2FA_DISABLE', true );
  

  Accedi, configura di nuovo la 2FA sul nuovo telefono, salva i nuovi codici, poi rimuovi la riga.

• Un altro amministratore può aiutarti. Un amministratore può reimpostare la 2FA del tuo account dal tuo profilo utente.

La guida completa è in Bloccato fuori dopo aver cambiato l'URL di login.

Con Hushfort

Due fattori fa parte di Hushfort Pro, il componente aggiuntivo a pagamento che si installa sopra Hushfort Security, il plugin di sicurezza gratuito per WordPress.

Il livello Due fattori di Hushfort usa TOTP, quindi funziona con qualsiasi app di autenticazione.

• Il codice QR viene generato in locale. Il tuo segreto non lascia mai il server.
• Ogni utente configura la 2FA dalla propria schermata del profilo; gli amministratori possono reimpostarla.
• I codici di recupero si possono scaricare o stampare.
• I segreti sono salvati cifrati (AES-256 con controllo HMAC).
• Se i salt di sicurezza di WordPress cambiano, la 2FA non si disattiva in silenzio. Gli utenti interessati accedono con un codice di recupero e viene chiesto loro di configurare di nuovo la 2FA. Puoi anche impostare una chiave separata, GATEKEEPER_2FA_KEY (32 caratteri o più), in wp-config.php, così i salt non contano.
• I codici sbagliati contano per i Limiti di login.