Двухфакторная аутентификация на WordPress и хостинге: как включить её правильно и не заблокировать себя

Двухфакторная аутентификация (2FA) - это самый дешёвый и самый эффективный барьер, который вы можете поставить между злоумышленниками и вашим сайтом. Она ничего не стоит, настраивается за несколько минут и останавливает подавляющее большинство автоматических попыток входа, даже если кто-то узнает ваш пароль.

Проблема в том, что многие настраивают её неправильно и потом блокируют сами себя: меняют телефон, теряют код и внезапно не могут войти ни в админку, ни в cPanel. Хорошая новость - всё можно сделать правильно, с помощью нескольких простых страховок. В этой статье мы покажем вам, что именно включить на WordPress и на хостинге, в каком порядке, и как никогда не остаться за дверью.

Что такое 2FA и почему она нужна даже маленькому сайту

2FA означает, что помимо пароля (то, что вы знаете) для входа нужен ещё и второй фактор (то, что у вас есть). Обычно это шестизначный код из приложения на телефоне, который меняется каждые тридцать секунд.

Почему это важно даже для небольшого сайта-визитки? Потому что атаки на WordPress почти всегда автоматические. Боты круглосуточно сканируют интернет и перебирают списки паролей на /wp-login.php. Никто не атакует лично вас - вы просто адрес в списке. С включённой 2FA, даже если бот угадает пароль, он всё равно не войдёт, потому что у него нет кода с вашего телефона.

Это стоит сделать на двух фронтах: аккаунт администратора WordPress и аккаунт хостинга (cPanel, Plesk или панель вашего провайдера). Второй часто важнее, потому что оттуда можно стереть всё.

Приложение-аутентификатор или SMS: что выбрать

Есть несколько способов получить второй фактор, и они не равнозначны:

• Приложение-аутентификатор (Google Authenticator, Microsoft Authenticator, Authy, 2FAS) - генерирует коды локально на телефоне, без интернета. Это самый безопасный и рекомендуемый вариант.
• SMS - код приходит сообщением. Работает, но слабее: SIM-карту могут клонировать или номер могут перехватить (SIM swapping), и вы зависите от сигнала.
• Физический ключ (YubiKey) - самый надёжный, но для небольших сайтов используется редко.

Наша рекомендация для большинства бизнесов: приложение-аутентификатор на телефоне, а SMS - только как резерв, если вообще. Важная деталь: приложения TOTP опираются на точное время телефона. Если вы выставляете время вручную и оно сбивается, коды могут отклоняться. Держите часы в автоматическом режиме.

Как включить 2FA на WordPress, шаг за шагом

В WordPress нет встроенной 2FA, поэтому нужен плагин. Хорошие бесплатные варианты: Wordfence Login Security, Two-Factor (от участников сообщества WordPress) или модуль безопасности в Solid Security.

Шаги, независимо от плагина:

• Установите плагин и откройте его настройки 2FA.
• Откройте приложение-аутентификатор на телефоне и отсканируйте показанный QR-код.
• Введите сгенерированный шестизначный код, чтобы подтвердить, что всё работает.
• СОХРАНИТЕ коды восстановления (резервные коды), которые даёт плагин.

Если у вас несколько пользователей (клиент, коллеги, разработчик), включите 2FA для каждого аккаунта, а не только для своего. Один аккаунт администратора без 2FA сводит на нет защиту всех остальных. В идеале сделайте 2FA обязательной для ролей Администратор и Редактор.

Не забудьте про хостинг: cPanel, панель и почта

Многие защищают только WordPress и оставляют заднюю дверь открытой. Аккаунт хостинга на самом деле - это главный ключ: оттуда можно сбросить пароль WordPress, добраться до базы данных, удалить файлы и резервные копии.

Включите 2FA и здесь:

• В панели хостинга - у cPanel, Plesk или собственной панели провайдера почти всегда есть опция Two-Factor Authentication в настройках безопасности аккаунта.
• В аккаунте провайдера (где вы платите и управляете доменом) - здесь захват аккаунта означает потерю домена.
• В привязанной почте - ящик, куда приходят сбросы паролей. Если кто-то войдёт в вашу почту, он сможет сбросить всё остальное. Это часто самое слабое и самое игнорируемое звено.

Простое правило: защищайте в обратном порядке важности - сначала почта и провайдер, потом хостинг, потом WordPress.

Страховка: как НЕ заблокировать себя

Именно здесь ошибаются чаще всего. Несколько правил, которые вас спасут:

• Сохраните коды восстановления, прежде чем закрыть окно. Положите их в менеджер паролей или распечатайте и храните физически. Без них потерянный телефон означает потерянный аккаунт.
• Зарегистрируйте два устройства или два метода там, где это возможно (приложение + резервный SMS).
• Используйте приложение с облачным резервным копированием (Authy или 2FAS), чтобы не потерять коды при смене телефона.
• Пусть надёжный человек знает, где лежат коды восстановления, на случай чрезвычайной ситуации.

Если вы всё же заблокировали себя в WordPress, вы можете отключить 2FA через FTP или файловый менеджер (переименовав папку плагина) либо через базу данных. Именно поэтому доступ к хостингу должен оставаться рабочим - это ваш запасной план. На хостинге, если вы потеряли 2FA, единственный реальный путь - обратиться в поддержку провайдера и доказать, что вы владелец аккаунта.

Как мы подходим к безопасности в MPO Web Studio

Когда мы сдаём сайт, мы не передаём его с одним паролем, нацарапанным на бумажке. Мы с самого начала настраиваем 2FA на WordPress и хостинге, сохраняем коды восстановления в надёжном месте и показываем вам, как войти самостоятельно, чтобы вы ни от кого не зависели.

Мы работаем удалённо по всей стране, и клиенты часто приходят к нам после того, как их заблокировали или взломали. Вместо того чтобы реагировать после случившегося, гораздо проще поставить страховки с первого дня.

Если хотите, чтобы мы вместе проверили, насколько уязвим ваш сайт, и правильно включили 2FA без риска блокировки, напишите нам сообщение в WhatsApp. Мы честно скажем, что в порядке, а что стоит исправить, без пустых обещаний.