Logowanie dwuskładnikowe w WordPressie – warto czy przesada?
Logowanie dwuskładnikowe wymaga oprócz hasła jednorazowego kodu – zwykle z aplikacji w telefonie. Skutecznie blokuje przejęcie konta nawet przy wykradzionym haśle. Przy koncie administratora strony, która zarabia, to rozsądny standard, a nie przesada.
Kiedy naprawdę warto
- Strona zarabia – sklep, system rezerwacji, strona generująca zapytania.
- Do panelu ma dostęp więcej niż jedna osoba.
- Konta mają zewnętrzni wykonawcy albo agencje.
- Wcześniej doszło już do incydentu – wtedy to obowiązkowe.
Dla kogo to przesada
Jednoosobowa strona wizytówkowa z jednym administratorem, mocnym hasłem i menedżerem haseł zwykle nie potrzebuje dodatkowej warstwy. Lepiej wtedy zainwestować uwagę w aktualizacje i kopie – tam ryzyko jest realnie większe.
Jak wdrożyć bez zamieszania
- Włącz to najpierw dla administratorów, nie dla wszystkich ról naraz.
- Zadbaj o kody zapasowe – ktoś na pewno zgubi telefon.
- Ustal, kto może odblokować konto, gdy dostęp przepadnie.
- Nie wymagaj kodu przy każdym wejściu – zaufane urządzenie na 30 dni wystarczy.
Częste pytania
Co, jeśli zgubię telefon?
Dlatego generuje się kody zapasowe i zapisuje je w bezpiecznym miejscu. Bez nich odzyskanie dostępu wymaga ingerencji w bazę danych.
Czy to spowolni logowanie?
O kilka sekund, i tylko przy pierwszym logowaniu z danego urządzenia. To znośna cena za odcięcie najczęstszego scenariusza przejęcia konta.
Czy zamiast tego wystarczy zmiana adresu logowania?
Nie. Ukrycie adresu utrudnia życie automatom, ale nie chroni przed wykorzystaniem wykradzionego hasła.
Opis na podstawie typowych wdrożeń zabezpieczeń dostępu w WordPressie.