Двухфакторная аутентификация: как закрыть вход, даже если пароль уже украли

Двухфакторная аутентификация: как закрыть вход, даже если пароль уже украли

Пароль — это первый слой защиты, а не последний. Если на сайте включена двухфакторная аутентификация, вход требует ещё одно подтверждение: код из приложения, одноразовый токен или аппаратный ключ. Для WordPress это особенно важно для админов, редакторов и всех, кто может менять настройки или ставить плагины.

Что нужно проверить:
• 2FA включена не только для главного администратора, а для всех учёток с доступом к панели
• резервные коды сохранены отдельно, иначе можно потерять доступ самому
• запасной способ входа не проще основного — почта и SMS слабее, чем приложение или ключ

Типовая ошибка — ставить 2FA только на страницу логина и считать вопрос закрытым. Если взломщик получит доступ через панель хостинга, FTP, бэкап или почту администратора, один защищённый вход не спасёт. Поэтому 2FA должна быть частью общей схемы: сложные пароли, ограничение админов, контроль почты и регулярная проверка активных сессий.

Если в проекте есть несколько людей, настройте правило: у каждого свой аккаунт, без общего логина «admin». Так вы быстрее увидите подозрительный вход и не потеряете контроль над сайтом.