2FA спасает не от всех взломов, но резко усложняет вход даже при утечке пароля

2FA спасает не от всех взломов, но резко усложняет вход даже при утечке пароля

Для WordPress двухфакторная аутентификация — это второй барьер после пароля. Если логин и пароль утекли из фишинга, повторного использования или заражённого устройства, злоумышленнику всё равно нужен код или подтверждение в приложении. Именно поэтому 2FA стоит включать не только админам, но и всем, кто может входить в /wp-admin.

Что важно проверить:
• Второй фактор привязан к приложению-аутентификатору, а не только к SMS.
• Есть резервные коды и они сохранены офлайн.
• Доступ к 2FA не завязан на один телефон без запасного сценария.
• После включения 2FA вы отдельно протестировали вход, восстановление и смену устройства.

Частая ошибка — включить защиту только для себя и оставить остальных пользователей без неё. Ещё хуже, когда 2FA настроена, но резервные коды лежат в той же почте, пароль к которой уже используется везде. Тогда защита превращается в формальность.

Если нужен быстрый порядок действий: сначала включите 2FA для администраторов, затем для редакторов и тех, кто работает с плагинами, и только потом — для остальных ролей. Так вы закроете самый опасный путь входа без лишней суеты.