Como ativar a autenticação de dois fatores (2FA) no WordPress?

Por que isso importa

Senhas vazam. Elas são reutilizadas em outro site que sofre um vazamento, digitadas em uma página de login falsa ou adivinhadas. Quando alguém tem a sua senha, o WordPress não consegue diferenciar essa pessoa de você.

A autenticação de dois fatores (2FA) acrescenta algo que só você tem: um código de seis dígitos de um app no seu celular que muda a cada 30 segundos. Para entrar, o invasor precisa da sua senha e do seu celular ao mesmo tempo. Para uma conta de administrador, essa única mudança elimina a forma mais comum de sites serem invadidos.

O padrão por trás desses códigos é o TOTP (senhas de uso único baseadas em tempo). Ele é aberto, funciona offline e todos os principais apps autenticadores o suportam, então você não fica preso a um fornecedor.

Erros comuns

• Não guardar os códigos de recuperação. Perder o celular sem códigos de recuperação é a forma mais comum de as pessoas ficarem sem acesso depois de ativar a 2FA. Imprima-os ou guarde-os em um gerenciador de senhas que não esteja no mesmo celular.
• Usar um só celular para tudo. Se os códigos e os códigos de recuperação ficam no mesmo aparelho, perdê-lo significa perder os dois.
• Achar que a 2FA cobre todas as portas. Se o xmlrpc.php ainda aceita senhas, ou se os códigos errados não são contados, os invasores podem continuar tentando. Feche o login via XML-RPC e garanta que as falhas de 2FA contem para o seu limite de login.
• QR codes gerados por um serviço de terceiros. Algumas configurações desenham o QR code usando um serviço externo de imagens, o que significa que o seu segredo é enviado pela internet. Prefira um QR code gerado no seu próprio servidor.
• Trocar os salts de segurança sem um plano. Em algumas configurações, os segredos da 2FA estão ligados aos salts do WordPress. Saiba o que o seu plugin faz se os salts mudarem.

Sem plugin

Não existe um jeito honesto de adicionar 2FA com TOTP ao WordPress sem código. As opções fora de um plugin do WordPress são:

• A proteção de login da sua hospedagem. Algumas hospedagens gerenciadas colocam uma camada de 2FA na frente do wp-admin. É prático onde está disponível, mas não vai junto quando você muda de hospedagem.
• Login único (SSO). Equipes maiores podem passar os logins do WordPress por um provedor de identidade que exige 2FA. É forte, mas exige mais configuração do que a maioria dos sites pequenos precisa.
• Autenticação HTTP básica no wp-admin. Isso acrescenta uma segunda senha, não um segundo fator. Atrasa os bots, mas uma lista de senhas vazadas pode conter as duas.

Se você mesmo for programar, terá de guardar o segredo de cada usuário criptografado, verificar os códigos tolerando uma pequena diferença de relógio, limitar a frequência na etapa do código, gerar códigos de recuperação e oferecer aos administradores uma forma de redefinição. É muito código crítico de segurança para manter sozinho.

Se algo der errado

• O código é sempre "inválido". Confira a hora do seu celular. O TOTP depende do relógio; ative a hora automática nas configurações do celular.

• Você perdeu o celular. Use um código de recuperação na tela do código. Cada código funciona uma vez.

• Não sobrou nenhum código de recuperação. Adicione esta linha ao wp-config.php:

  define( 'GATEKEEPER_2FA_DISABLE', true );
  

  Acesse, configure a 2FA novamente no celular novo, guarde os novos códigos e depois remova a linha.

• Outro administrador pode ajudar. Um administrador pode redefinir a 2FA da sua conta a partir do seu perfil de usuário.

O guia completo está em Sem acesso depois de mudar a URL de login.

Com o Hushfort

Os Dois Fatores fazem parte do Hushfort Pro, o complemento que funciona sobre o Hushfort Security, o plugin de segurança gratuito para WordPress.

A camada Dois Fatores do Hushfort usa TOTP, então funciona com qualquer app autenticador.

• O QR code é gerado localmente. O seu segredo nunca sai do seu servidor.
• Cada usuário configura a 2FA na própria tela de perfil; os administradores podem redefini-la.
• Os códigos de recuperação podem ser baixados ou impressos.
• Os segredos são armazenados criptografados (AES-256 com verificação HMAC).
• Se os salts de segurança do WordPress mudarem, a 2FA não é desativada silenciosamente. Os usuários afetados entram com um código de recuperação e precisam configurar a 2FA novamente. Você também pode definir uma chave separada, GATEKEEPER_2FA_KEY (32 caracteres ou mais), no wp-config.php, para que os salts não importem.
• Os códigos errados contam para os Limites de Login.