Двухфакторная аутентификация спасает аккаунт даже при утечке пароля

Если пароль уже попал к злоумышленнику, второй фактор часто становится единственным барьером. Для WordPress это особенно важно: админка, хостинг, почта и FTP должны быть защищены отдельно, а не «одной галочкой везде».

Что настроить в первую очередь:
— вход в wp-admin через приложение-аутентификатор, а не только по SMS;
— резервные коды и хранение их вне браузера;
— 2FA для почты администратора: через неё сбрасывают пароли;
— отдельный доступ для редакторов и подрядчиков без общего логина.

Типичная ошибка — включить 2FA только для одного админа и забыть про остальные точки входа. Взлом часто начинается не с WordPress, а с почты, панели хостинга или уязвимого личного кабинета у сотрудника. Если там нет второго фактора, защита сайта превращается в иллюзию.

Ещё один риск — потерять доступ самому. Перед включением 2FA проверь, есть ли резервный код, запасное устройство и понятная процедура восстановления. Иначе при смене телефона или сбое приложения можно заблокировать не злоумышленника, а себя.

Ставьте 2FA не точечно, а на все критичные аккаунты сразу: так один украденный пароль не станет входом в сайт.