Hoe stel ik tweestapsverificatie (2FA) in voor WordPress?

Waarom het ertoe doet

Wachtwoorden lekken uit. Ze worden hergebruikt op een andere site die wordt gehackt, ingetypt op een nep-inlogpagina of geraden. Heeft iemand eenmaal je wachtwoord, dan kan WordPress hem niet van jou onderscheiden.

Tweefactorauthenticatie (2FA) voegt iets toe wat alleen jij hebt: een zescijferige code uit een app op je telefoon die elke 30 seconden verandert. Om binnen te komen heeft een aanvaller op hetzelfde moment zowel je wachtwoord als je telefoon nodig. Bij een beheerdersaccount neemt die ene wijziging de meest voorkomende manier weg waarop sites worden overgenomen.

De standaard achter die codes is TOTP (time-based one-time passwords, tijdgebonden eenmalige wachtwoorden). Die is open, werkt offline en wordt door elke grote authenticator-app ondersteund, dus je zit niet vast aan één leverancier.

Veelgemaakte fouten

• Geen herstelcodes bewaren. Een telefoon kwijtraken zonder herstelcodes is de meest voorkomende manier waarop mensen zichzelf buitensluiten nadat ze 2FA hebben aangezet. Druk ze af of bewaar ze in een wachtwoordmanager die niet op dezelfde telefoon staat.
• Eén telefoon voor alles. Staan de codes en de herstelcodes op hetzelfde apparaat, dan ben je ze bij verlies allebei kwijt.
• Aannemen dat 2FA elke deur afdekt. Accepteert xmlrpc.php nog wachtwoorden, of worden mislukte codes niet geteld, dan kunnen aanvallers blijven raden. Sluit inloggen via XML-RPC af en zorg dat mislukte 2FA-pogingen meetellen voor je inloglimiet.
• QR-codes van een externe dienst. Sommige oplossingen tekenen de QR-code met een externe afbeeldingsdienst, waardoor je geheim over internet wordt verstuurd. Kies liever een QR-code die op je eigen server wordt gemaakt.
• Beveiligingssalts wijzigen zonder plan. Bij sommige oplossingen zijn de 2FA-geheimen gekoppeld aan je WordPress-salts. Weet wat je plugin doet als de salts veranderen.

Zonder plugin

Er is geen eerlijke manier om TOTP-2FA zonder code aan WordPress toe te voegen. De opties buiten een WordPress-plugin zijn:

• De inlogbeveiliging van je host. Sommige managed hosts zetten een 2FA-laag voor wp-admin. Handig als het er is, maar je neemt het niet mee als je van host wisselt.
• Single sign-on. Grotere teams kunnen WordPress-logins via een identiteitsprovider laten lopen die 2FA afdwingt. Sterk, maar meer werk dan de meeste kleine sites nodig hebben.
• HTTP-basisauthenticatie op wp-admin. Dit voegt een tweede wachtwoord toe, geen tweede factor. Het remt bots af, maar een uitgelekte wachtwoordlijst kan ze allebei bevatten.

Schrijf je het zelf, dan moet je het geheim van elke gebruiker versleuteld opslaan, codes controleren met een kleine marge voor klokafwijking, de codestap aan een limiet binden, herstelcodes aanmaken en beheerders een resetmogelijkheid geven. Dat is veel beveiligingskritische code om in je eentje te onderhouden.

Als er iets misgaat

• De code is altijd "ongeldig". Controleer de tijd op je telefoon. TOTP hangt af van de klok; zet automatische tijd aan in de instellingen van je telefoon.

• Je bent je telefoon kwijt. Gebruik een herstelcode op het codescherm. Elke code werkt één keer.

• Geen herstelcodes meer over. Voeg deze regel toe aan wp-config.php:

  define( 'GATEKEEPER_2FA_DISABLE', true );
  

  Log in, stel 2FA opnieuw in op je nieuwe telefoon, bewaar de nieuwe codes en verwijder daarna de regel.

• Een andere beheerder kan helpen. Een beheerder kan de 2FA van je account resetten vanuit je gebruikersprofiel.

De volledige gids vind je in Buitengesloten na het wijzigen van de inlog-URL.

Met Hushfort

Tweefactor is onderdeel van Hushfort Pro, de add-on bovenop Hushfort Security, de gratis WordPress-beveiligingsplugin.

De laag Tweefactor van Hushfort gebruikt TOTP en werkt dus met elke authenticator-app.

• De QR-code wordt lokaal gemaakt. Je geheim verlaat je server nooit.
• Elke gebruiker stelt 2FA in vanuit zijn eigen profielscherm; beheerders kunnen het resetten.
• Herstelcodes kun je downloaden of afdrukken.
• Geheimen worden versleuteld opgeslagen (AES-256 met een HMAC-controle).
• Veranderen je WordPress-beveiligingssalts, dan gaat 2FA niet stilletjes uit. Getroffen gebruikers loggen in met een herstelcode en worden gevraagd 2FA opnieuw in te stellen. Je kunt ook een aparte sleutel, GATEKEEPER_2FA_KEY (32 tekens of meer), in wp-config.php zetten, zodat de salts er niet toe doen.
• Mislukte codes tellen mee voor Inloglimieten.