Ställ in tvåstegsverifiering för WordPress

Med tvåstegsverifiering (2FA) behöver du något mer än ditt lösenord när du loggar in: oftast en sexsiffrig kod från en app i telefonen. Den som har ditt lösenord kommer då ändå inte åt adminpanelen för din webbplats. WordPress har inte detta inbyggt, så du lägger till det med ett tillägg. Här ser du hur det går till och vad du gör om du tappar bort telefonen.

Vilket tillägg?

Det finns många tillägg för tvåstegsverifiering, och många säkerhetstillägg har det också inbyggt. Ett enkelt alternativ är Two Factor, som har utvecklats av personer som bidrar till WordPress. Vi använder det som exempel nedan. Andra tillägg fungerar på liknande sätt. Tänk på följande när du väljer:

• stöd för en autentiseringsapp (koder enligt standarden TOTP);
• reservkoder om du tappar bort telefonen;
• om du kan göra tvåstegsverifiering obligatorisk för administratörer. Two Factor kan inte det: där aktiverar varje användare det i sin egen profil;
• att tillägget fortfarande uppdateras och är testat med din version av WordPress.

Använd bara ett. Har du redan ett säkerhetstillägg med tvåstegsverifiering, aktivera det där.

Ställ in med Two Factor

1. Installera och aktivera tillägget via Tillägg > Lägg till nytt tillägg.
2. Gå till Användare > Profil och scrolla ner till avsnittet för tvåstegsverifiering.
3. Välj autentiseringsappen. Skanna QR-koden med appen i telefonen och ange koden för att bekräfta.
4. Skapa reservkoder. Det är tio koder som var och en kan användas en gång. Spara dem i din lösenordshanterare eller på papper, inte bara i telefonen.
5. Välj appen som standardmetod och klicka på Uppdatera profil.
6. Logga ut och in igen för att kontrollera att det fungerar.

Be alla andra administratörer och redaktörer att göra samma sak i sina egna profiler. En webbplats är bara så säker som det svagaste administratörskontot.

Tappat bort telefonen eller ny telefon

• Ny telefon: flytta över appen innan du rensar den gamla telefonen, eller ställ in appen igen i din profil.
• Tappat bort telefonen: logga in med en av dina reservkoder och ställ sedan in appen igen. Skapa också nya reservkoder.
• Inga reservkoder kvar: en annan administratör kan stänga av tvåstegsverifieringen för ditt konto under Användare. Är du den enda administratören, inaktivera då tillägget tillfälligt. Hur du gör det står i steg 3 i Jag kan inte logga in i WordPress: vad gör jag nu? Logga in, ställ in appen igen och aktivera tillägget på nytt.

Passkeys

Med en passkey loggar du in med fingeravtryck, ansiktet eller en säkerhetsnyckel. En passkey fungerar bara på den riktiga webbplatsen, så en falsk webbplats kan inte fånga upp den. Two Factor har inte stöd för passkeys i sig. Det finns ett separat tilläggsprogram för det, och andra tillägg har det inbyggt. Läs mer om passkeys i Lösenordshanterare och passkeys: så loggar du in säkert.

Tänk också på detta

• Applikationslösenord (under Användare > Profil) är avsedda för appar och integrationer och kan kringgå det andra steget. Skapa dem bara när det behövs och återkalla dem när du inte längre använder integrationen.
• Tvåstegsverifiering ersätter inte ett bra lösenord. Använd ett långt, unikt lösenord från en lösenordshanterare.
• Begränsa också själva inloggningssidan: se Skydda wp-login.php i WordPress och Extra säkerhet för WordPress: behörigheter, wp-config och .htaccess.

Även runt din webbplats

En inkräktare som tar över din hostingpanel eller din e-post behöver inte ditt WordPress-lösenord. Aktivera därför tvåstegsverifiering även för:

• Mitt WebOké: Tvåstegsverifiering i Mitt WebOké och ställ in en autentiseringsapp;
• DirectAdmin: Ställ in Two-Step Authentication;
• din e-post och din lösenordshanterare.

Läs mer

• Logga in säkert (Veilig Internetten, nederländska myndigheter, på nederländska)
• Brute force-attacker (developer.wordpress.org, på engelska)

Vill du lära dig mer? Gå den kostnadsfria WordPress-kursen, lektion 7.3 Inloggning: lösenord, tvåstegsverifiering och brute force.