Если к сайту имеют доступ не только вы, но и редакторы, авторы или подрядчики, одной пароля для входа в админку уже мало. Двухфакторная аутентификация добавляет второй шаг: после пароля WordPress попросит одноразовый код из приложения, а иногда — резервный код. Это заметно снижает риск взлома аккаунта даже тогда, когда пароль утёк или его подобрали.
В самом WordPress такой защиты «из коробки» нет, поэтому на практике её включают через плагин. Для небольшого сайта это обычно занимает несколько минут. Для проекта с несколькими авторами важно не только включить 2FA, но и заранее продумать, кому она обязательна, как выдавать резервные коды и что делать, если пользователь потерял телефон.
Что нужно подготовить перед включением
Перед настройкой проверьте три вещи. Во-первых, у вас должен быть доступ к админке под учётной записью с правами администратора. Во-вторых, у пользователей, которым вы включаете 2FA, должен быть смартфон с приложением-аутентификатором: Google Authenticator, Microsoft Authenticator, Authy или аналогом, который умеет TOTP-коды. В-третьих, заранее убедитесь, что на сайте есть хотя бы один способ восстановить доступ, если основной администратор потеряет второй фактор.
Если сайт рабочий и на нём уже есть несколько редакторов, не включайте обязательную двухфакторную аутентификацию без предупреждения. Пользователь может просто не успеть настроить приложение и потерять вход в админку. Лучше сначала разослать инструкцию, а потом включать требование по ролям.
Самый простой способ: плагин для двухфакторной аутентификации
Для WordPress обычно используют плагин, который добавляет TOTP-подтверждение на страницу входа. Логика у большинства таких решений одинаковая: вы устанавливаете плагин, включаете 2FA для нужных ролей, а каждый пользователь привязывает свой аккаунт к приложению-аутентификатору через QR-код.
Если вам нужен понятный и распространённый вариант, можно использовать WP 2FA или другой проверенный плагин с поддержкой TOTP, резервных кодов и принудительного включения для выбранных ролей. Я не привязываюсь к одному плагину намеренно: важнее не название, а наличие нужных функций и регулярные обновления.
Как включить 2FA через плагин
- Откройте Плагины → Добавить новый.
- Найдите плагин двухфакторной аутентификации и установите его.
- Активируйте плагин.
- Перейдите в его настройки. Обычно раздел находится в меню плагина или в Настройки.
- Выберите способ второго фактора: чаще всего это Authenticator App / TOTP.
- Укажите, для каких ролей включать 2FA: например, Администраторы и Редакторы.
- Если плагин позволяет, включите обязательную настройку при следующем входе или после определённой даты.
После этого каждый пользователь должен зайти в свой профиль и завершить привязку приложения. Обычно это делается через QR-код и проверочный код из приложения.
Что должен сделать пользователь после установки
Пользователь открывает свой профиль в админке и находит блок, связанный с двухфакторной аутентификацией. Дальше порядок обычно такой:
- Сканировать QR-код в приложении-аутентификаторе.
- Ввести одноразовый код, который показывает приложение.
- Сохранить резервные коды, если плагин их выдаёт.
- Выйти из админки и проверить повторный вход.
Резервные коды лучше сохранить не в заметках на том же телефоне, а в менеджере паролей или в другом защищённом месте. Если телефон потерян, именно они помогут войти без сброса доступа через хостинг или базу данных.
Как включить двухфакторную аутентификацию только для администраторов и редакторов
Для небольшого сайта часто достаточно защитить только администраторов. Но если редакторы тоже публикуют материалы, меняют настройки плагинов или работают с заказами и формами, им 2FA тоже нужна. С точки зрения безопасности это нормальная практика: чем выше права пользователя, тем жёстче должен быть вход.
В настройках плагина ищите параметры вроде Role-based enforcement, Require 2FA for selected roles или список ролей, для которых 2FA обязательна. Если плагин поддерживает отложенное включение, задайте срок на настройку — например, несколько дней. Это удобно для команды: люди успевают установить приложение, а сайт не блокирует вход внезапно.
Если плагин позволяет исключать отдельные аккаунты, не злоупотребляйте этим. Исключение допустимо только для аварийного администратора, доступ к которому хранится отдельно и используется как резервный. Делать «вечное исключение» для всех руководителей проекта — плохая идея: тогда защита теряет смысл.
Как проверить, что защита реально работает
После настройки не ограничивайтесь тем, что плагин показывает статус «включено». Обязательно проверьте вход в реальном сценарии.
- Выйдите из админки.
- Откройте страницу входа WordPress.
- Введите логин и пароль пользователя, для которого включена 2FA.
- Убедитесь, что после пароля появляется запрос одноразового кода.
- Введи́те код из приложения и проверьте, что вход успешен.
- Попробуйте войти с неправильным кодом — система должна отклонить попытку.
Если вход проходит без второго фактора, проверьте, не включён ли у пользователя другой способ обхода, например «запомнить меня» в старой сессии, или не настроен ли плагин только на страницу профиля, но не на саму авторизацию.
Что делать, если пользователь потерял доступ к коду
Это самый частый рабочий сценарий после включения 2FA. Телефон сломался, приложение удалили, код не синхронизировался или пользователь сменил устройство. Здесь важно не паниковать и не пытаться «угадать» настройки наугад.
Если у пользователя есть резервные коды, он входит с их помощью и заново привязывает новое устройство. Если резервных кодов нет, администратору обычно приходится сбросить двухфакторную аутентификацию для этого аккаунта через настройки плагина. У разных решений это делается по-разному: где-то есть кнопка сброса в профиле пользователя, где-то — отдельный раздел управления 2FA.
Если доступ потерял сам администратор, а резервного аккаунта нет, придётся восстанавливать вход через хостинг, базу данных или временное отключение плагина. Это уже аварийная процедура, и она зависит от того, как именно настроен сайт. Поэтому заранее держите хотя бы один запасной административный аккаунт с отдельным паролем и сохранёнными резервными кодами.
Когда лучше не ограничиваться только плагином
Двухфакторная аутентификация сильно повышает безопасность, но не заменяет базовую гигиену доступа. Если на сайте слабые пароли, одинаковые логины у всех или у редакторов слишком широкие права, одна 2FA проблему не закроет.
Для проекта с несколькими авторами я бы проверил ещё три вещи:
- у каждого пользователя свой аккаунт, без общего логина;
- права выданы по минимуму, без лишнего доступа к настройкам;
- пароли уникальные и хранятся в менеджере паролей, а не в переписке.
Если сайт работает на старом хостинге или с устаревшей версией PHP, сначала обновите окружение до поддерживаемой версии. Сам по себе TOTP-плагин обычно не требует чего-то экзотического, но старый стек повышает риск несовместимости и проблем с безопасностью.
Коротко о рабочей схеме внедрения
На практике удобнее всего идти так: выбрать плагин с поддержкой TOTP и резервных кодов, включить 2FA для администраторов и редакторов, дать пользователям время на настройку, а потом проверить вход на реальном аккаунте. Для небольшого сайта этого достаточно. Для многопользовательского проекта добавьте резервный административный доступ и понятную процедуру восстановления, чтобы не потерять управление сайтом из-за одного потерянного телефона.
Если хотите, после включения 2FA имеет смысл отдельно проверить, кто из пользователей действительно должен иметь доступ к админке. Но это уже следующий шаг, а не обязательная часть самой настройки двухфакторной аутентификации.