Kaksivaiheisen tunnistautumisen määrittäminen WordPressiin

Kaksivaiheisessa tunnistautumisessa (2FA) tarvitset kirjautuessa salasanan lisäksi jotain muuta: yleensä kuusinumeroisen koodin puhelimesi sovelluksesta. Vaikka joku saisi salasanasi, hän ei silti pääse sivustosi hallintaan. WordPressissä tätä ei ole valmiina, vaan lisäät sen lisäosalla. Tässä kerrotaan, miten se tehdään ja mitä teet, jos puhelimesi katoaa.

Mikä lisäosa?

Kaksivaiheiseen tunnistautumiseen on paljon lisäosia, ja monissa tietoturvalisäosissa se on myös mukana. Yksi yksinkertainen vaihtoehto on Two Factor, jonka ovat tehneet WordPressin omat kehittäjät. Käytämme sitä alla esimerkkinä, ja muut lisäosat toimivat samaan tapaan. Kiinnitä valinnassa huomiota näihin:

• tuki todennussovellukselle (TOTP-standardin mukaiset koodit);
• varakoodit siltä varalta, että puhelimesi katoaa;
• voitko asettaa kaksivaiheisen tunnistautumisen pakolliseksi ylläpitäjille. Two Factor ei osaa tätä itse: siinä jokainen käyttäjä ottaa sen käyttöön omassa profiilissaan;
• lisäosaa päivitetään yhä, ja se on testattu WordPress-versiosi kanssa.

Käytä vain yhtä. Jos sinulla on jo tietoturvalisäosa, jossa on kaksivaiheinen tunnistautuminen, ota se käyttöön siinä.

Käyttöönotto Two Factorilla

1. Asenna ja ota lisäosa käyttöön kohdassa Lisäosat > Lisää lisäosa.
2. Siirry kohtaan Käyttäjät > Profiili ja vieritä kaksivaiheisen tunnistautumisen osioon.
3. Valitse todennussovellus. Skannaa QR-koodi puhelimesi sovelluksella ja tarkista toiminta syöttämällä koodi.
4. Luo varakoodit. Saat kymmenen koodia, joista kutakin voi käyttää kerran. Säilytä ne salasanojen hallintaohjelmassa tai paperilla, älä pelkästään puhelimessa.
5. Valitse sovellus oletustavaksi ja napsauta Päivitä profiili.
6. Kirjaudu ulos ja uudelleen sisään varmistaaksesi, että kaikki toimii.

Pyydä jokaista muuta ylläpitäjää ja toimittajaa tekemään sama omassa profiilissaan. Sivusto on vain niin vahva kuin sen heikoin ylläpitäjätili.

Puhelin kadonnut tai uusi puhelin

• Uusi puhelin: siirrä sovellus ennen kuin tyhjennät vanhan puhelimen, tai ota sovellus profiilissasi uudelleen käyttöön.
• Puhelin kadonnut: kirjaudu sisään jollakin varakoodillasi ja ota sitten sovellus uudelleen käyttöön. Luo myös uudet varakoodit.
• Varakoodeja ei enää ole: toinen ylläpitäjä voi poistaa kaksivaiheisen tunnistautumisen tililtäsi kohdassa Käyttäjät. Jos olet ainoa ylläpitäjä, poista lisäosa väliaikaisesti käytöstä. Ohjeet löydät artikkelin En pääse kirjautumaan WordPressiin: mitä nyt? vaiheesta 3. Kirjaudu sisään, ota sovellus uudelleen käyttöön ja ota lisäosa taas käyttöön.

Pääsyavaimet

Pääsyavaimella (passkey) kirjaudut sisään sormenjäljellä, kasvoilla tai suojausavaimella. Pääsyavain toimii vain oikealla sivustolla, joten valesivusto ei voi kaapata sitä. Two Factorissa itsessään ei ole pääsyavaimia: niitä varten on erillinen lisäosa, ja joissakin muissa lisäosissa ne ovat valmiina. Lue lisää pääsyavaimista artikkelista Salasanojen hallinta ja pääsyavaimet: näin kirjaudut turvallisesti.

Mitä muuta kannattaa huomioida

• Sovellussalasanat (kohdassa Käyttäjät > Profiili) on tarkoitettu sovelluksille ja integraatioille, ja niillä voi ohittaa toisen vaiheen. Luo niitä vain tarvittaessa ja peru ne, kun et enää käytä integraatiota.
• Kaksivaiheinen tunnistautuminen ei korvaa hyvää salasanaa. Käytä pitkää, yksilöllistä salasanaa salasanojen hallintaohjelmasta.
• Rajoita myös itse kirjautumissivua: katso WordPressin wp-login.php-sivun suojaaminen ja WordPressin lisäsuojaus: oikeudet, wp-config ja .htaccess.

Myös sivustosi ympärillä

Murtautuja, joka saa haltuunsa hallintapaneelisi tai sähköpostisi, ei tarvitse WordPress-salasanaasi. Ota siksi kaksivaiheinen tunnistautuminen käyttöön myös näissä:

• Oma WebOké: Kaksivaiheinen tunnistautuminen Oma WebOkéssa ja todennussovelluksen käyttöönotto;
• DirectAdmin: Two-Step Authentication -toiminnon käyttöönotto;
• sähköpostisi ja salasanojen hallintaohjelmasi.

Lue lisää

• Turvallinen kirjautuminen (Veilig Internetten, Alankomaiden hallitus, hollanniksi)
• Brute force -hyökkäykset (developer.wordpress.org, englanniksi)

Haluatko oppia lisää? Käy ilmainen WordPress-kurssi, oppitunti 7.3 Kirjautuminen: salasanat, kaksivaiheinen tunnistautuminen ja brute force.