رمز عبور قوی به‌تنهایی برای محافظت از پیشخوان وردپرس کافی نیست. اگر اطلاعات ورود یک مدیر افشا شود، مهاجم ممکن است بتواند به سایت دسترسی پیدا کند. احراز هویت دو مرحله‌ای (Two-Factor Authentication یا 2FA) یک لایه امنیتی اضافه می‌کند و برای تکمیل ورود، علاوه بر رمز عبور به عامل تایید دیگری نیاز دارد.
برای مثال، این عامل می‌تواند یک کد موقت در برنامه احراز هویت، یک کد ارسال‌شده از طریق ایمیل یا پیامک باشد. در این حالت، دانستن نام کاربری و رمز عبور به‌تنهایی برای ورود کافی نیست. البته امنیت نهایی به روش انتخاب‌شده، تنظیمات درست و محافظت از راه‌های بازیابی حساب بستگی دارد.
چگونه احراز هویت دو مرحله‌ای وردپرس را فعال کنیم؟
برای فعال کردن احراز هویت دو مرحله‌ای در وردپرس، می‌توان از افزونه‌های امنیتی یا افزونه‌های اختصاصی 2FA استفاده کرد. روش دقیق راه‌اندازی به افزونه، نسخه وردپرس و روش تایید انتخاب‌شده بستگی دارد. در ادامه، سه روش رایج را معرفی می‌کنیم.
- احراز هویت با پیامک (SMS)
- احراز هویت با برنامه تولید کد یک‌بارمصرف مانند Google Authenticator
- احراز هویت از طریق ایمیل
توجه داشته باشید که تصاویر و مراحل بعدی بر اساس رابط کاربری افزونه‌ها در زمان تهیه آموزش اصلی، در سال ۲۰۱۹ هستند. ممکن است تنظیمات و امکانات نسخه‌های فعلی متفاوت باشند. پیش از نصب هر افزونه، وضعیت به‌روزرسانی، سازگاری و پشتیبانی امنیتی آن را بررسی کنید.
احراز هویت دو مرحله‌ای وردپرس از طریق پیامک
در روش پیامکی، پس از وارد کردن اطلاعات ورود، یک کد تایید به شماره تلفن ثبت‌شده کاربر ارسال می‌شود. کاربر باید این کد را در مرحله بعد وارد کند تا فرایند ورود تکمیل شود.
در آموزش اصلی از افزونه FraudLabs Pro SMS Verification استفاده شده است. پیش از استفاده از این روش، بررسی کنید که افزونه هنوز فعالانه نگهداری می‌شود، با نسخه فعلی وردپرس سازگار است و سرویس پیامکی آن در دسترس شما قرار دارد. اگر افزونه پشتیبانی نمی‌شود، از راهکار جایگزین معتبر استفاده کنید.
در روش قدیمی آموزش، ابتدا افزونه از بخش افزونه‌های پیشخوان نصب می‌شد. سپس از مسیر تنظیمات افزونه، کلید API دریافت‌شده از سرویس FraudLabs Pro در محل مربوط وارد می‌شد. پس از آن، روش تایید ورود با پیامک انتخاب و تنظیمات ذخیره می‌شد.
در صورت استفاده از افزونه‌ای که چنین قابلیتی را ارائه می‌دهد، تنظیمات مربوط به نوع تایید هویت را بررسی کنید و فقط روش‌هایی را فعال کنید که واقعا به آن‌ها نیاز دارید.
پس از ذخیره تنظیمات، از حساب وردپرس خارج شوید و فرایند ورود را در یک پنجره خصوصی مرورگر آزمایش کنید. در روش پیامکی، باید کد تایید به شماره ثبت‌شده ارسال شود و تا زمان وارد کردن کد معتبر، ورود تکمیل نشود.
کدهای پیامکی ممکن است با تاخیر برسند یا در معرض خطرهایی مانند تعویض غیرمجاز سیم‌کارت قرار بگیرند. بنابراین، پیامک تنها گزینه ممکن نیست و بهتر است در صورت امکان از برنامه احراز هویت یا روش امن دیگری که افزونه معتبر ارائه می‌دهد استفاده کنید.
احراز هویت دو مرحله‌ای وردپرس با Google Authenticator
یکی دیگر از روش‌های رایج، استفاده از برنامه‌های احراز هویت است. این برنامه‌ها کدهای موقت تولید می‌کنند و برای تولید کد در هر بار ورود، معمولا به دریافت پیامک یا اتصال دائمی اینترنت نیاز ندارند.
در آموزش اصلی از افزونه Two Factor استفاده شده است. صفحه رسمی افزونه را برای بررسی وضعیت فعلی، سازگاری و امکانات آن مشاهده کنید. وجود افزونه در مخزن وردپرس به‌تنهایی به معنای پشتیبانی از تمام روش‌های احراز هویت یا فعال بودن همه قابلیت‌های مورد نیاز شما نیست.
در نسخه‌ای از رابط کاربری که در تصویر زیر نشان داده شده، کاربر پس از نصب افزونه وارد بخش کاربران و سپس نمایه خود می‌شد و روش احراز هویت مورد نظر را انتخاب می‌کرد. در نسخه فعلی ممکن است محل گزینه‌ها یا مراحل فعال‌سازی تغییر کرده باشد.
در روش مبتنی بر کد QR، مراحل کلی به این صورت است:
- یک برنامه احراز هویت معتبر روی تلفن همراه نصب کنید.
- روش احراز هویت را در افزونه وردپرس فعال کنید.
- کد QR نمایش‌داده‌شده را با برنامه اسکن کنید، یا در صورت ارائه این گزینه، کلید راه‌اندازی را به‌صورت دستی وارد کنید.
- کد موقت تولیدشده را در وردپرس وارد کنید تا راه‌اندازی تایید شود.
- از حساب خارج شوید و ورود را در یک پنجره خصوصی آزمایش کنید.
پیش از فعال‌سازی برای همه مدیران، کدهای بازیابی یا روش جایگزین ورود را مطابق امکانات افزونه تنظیم کنید. اگر تلفن همراه گم شود یا برنامه احراز هویت در دسترس نباشد، نداشتن راه بازیابی می‌تواند دسترسی به پیشخوان را دشوار کند.
احراز هویت دو مرحله‌ای وردپرس از طریق ایمیل
در روش ایمیلی، کد تایید به نشانی ایمیل ثبت‌شده کاربر ارسال می‌شود و کاربر باید آن را برای تکمیل ورود وارد کند. این روش ممکن است در بعضی افزونه‌ها در دسترس باشد، اما پشتیبانی آن به افزونه انتخاب‌شده بستگی دارد.
در آموزش قدیمی، انتخاب روش ایمیل از بخش نمایه کاربر انجام می‌شد. تصویر زیر نمونه‌ای از رابط کاربری همان دوره را نشان می‌دهد. برای نصب جدید، ابتدا مستندات افزونه و روش‌های احراز هویت قابل پشتیبانی آن را بررسی کنید.
اگر از این روش استفاده می‌کنید، مطمئن شوید ایمیل‌های سایت به‌درستی ارسال می‌شوند و کاربر به حساب ایمیل خود دسترسی امن دارد. اگر حساب ایمیل نیز در اختیار مهاجم قرار بگیرد، این روش ممکن است لایه امنیتی مورد انتظار را فراهم نکند.
کدام روش احراز هویت دو مرحله‌ای برای وردپرس بهتر است؟
انتخاب روش مناسب به نوع سایت، امکانات افزونه و شرایط کاربران بستگی دارد. برنامه احراز هویت معمولا انتخاب مناسبی برای حساب‌های مدیریتی است، به شرط آنکه روش بازیابی امنی هم داشته باشید. پیامک ممکن است برای برخی کاربران ساده‌تر باشد، اما به سرویس پیامکی و امنیت شماره تلفن وابسته است. ایمیل هم به امنیت حساب ایمیل و قابلیت اطمینان ارسال پیام وابستگی دارد.
هر روشی را انتخاب می‌کنید، آن را ابتدا روی یک حساب آزمایشی یا در محیطی کنترل‌شده امتحان کنید. پس از اطمینان از کارکرد روش اصلی و بازیابی حساب، آن را برای سایر حساب‌های مدیریتی فعال کنید.
نکات مهم پیش از فعال کردن احراز هویت دو مرحله‌ای
- از سایت و دیتابیس بکاپ قابل بازیابی تهیه کنید.
- اطمینان حاصل کنید که روش بازیابی حساب در دسترس است.
- برای تمام مدیران سایت، حساب‌های جداگانه و رمزهای قوی در نظر بگیرید.
- افزونه را از منبع معتبر نصب و وضعیت به‌روزرسانی آن را بررسی کنید.
- ورود و بازیابی حساب را پیش از اعمال تغییرات گسترده آزمایش کنید.
- احراز هویت دو مرحله‌ای را در کنار به‌روزرسانی‌ها، کنترل دسترسی و بکاپ به کار ببرید.
کلام آخر
احراز هویت دو مرحله‌ای یکی از اقدامات مهم برای کاهش خطر دسترسی غیرمجاز به پیشخوان وردپرس است. این قابلیت با اضافه کردن یک مرحله تایید، وابستگی امنیت ورود به رمز عبور را کاهش می‌دهد. برای نتیجه بهتر، افزونه‌ای معتبر و سازگار انتخاب کنید، روش بازیابی حساب را از قبل آماده کنید و فرایند ورود را پس از فعال‌سازی آزمایش کنید.
برای تکمیل اقدامات امنیتی، راهنمای افزایش امنیت وردپرس را هم مطالعه کنید. ترکیب احراز هویت دو مرحله‌ای با به‌روزرسانی منظم، رمزهای قوی، محدود کردن دسترسی‌ها و تهیه بکاپ، رویکرد کامل‌تری برای محافظت از سایت فراهم می‌کند.
