2FA спасает только тогда, когда её включили на всех точках входа

2FA спасает только тогда, когда её включили на всех точках входа

Двухфакторная аутентификация снижает риск взлома, но сама по себе не делает аккаунт «непробиваемым». Атакующий часто обходит защиту не через код, а через запасной сценарий: старую почту, привязанный телефон, резервные коды, слабый пароль или фишинговую страницу.

Проверьте базу:
• включите 2FA на админке, почте, хостинге и домене;
• храните резервные коды офлайн, а не в почте и заметках;
• удалите лишние способы восстановления;
• не используйте SMS как единственный метод, если есть выбор;
• смените пароль, если его уже могли подсмотреть или утечь.

Для WordPress особенно важно закрыть доступ не только к /wp-admin, но и к почте администратора: через неё часто сбрасывают пароль и перехватывают управление сайтом. Если в команде несколько человек, у каждого должен быть свой аккаунт, а не один общий логин на всех. 🔐

Поставьте 2FA там, где сбой одного пароля даст злоумышленнику полный контроль, и периодически проверяйте, не остались ли обходные пути для входа.