افزونه miniOrange 2FA ورود وردپرس را به یک مرحلهٔ تأیید اضافی متصل می‌کند. برنامهٔ Google Authenticator روی تلفن، خودِ افزونهٔ وردپرس نیست؛ یکی از ابزارهای تولید کد سازگار است. هدف این راهنما راه‌اندازی روش مبتنی بر برنامهٔ احراز هویت است.
پیش از نصب افزونه miniOrange 2FA
نسخهٔ سازگار را از صفحهٔ رسمی مخزن دریافت کنید. روش‌های قابل‌استفاده، تعداد کاربران و امکانات سیاست‌گذاری به نسخه و طرح وابسته‌اند. نمایش یک قابلیت تبلیغاتی به معنی رایگان‌بودن آن برای همهٔ حساب‌ها نیست. اگر افزونهٔ دیگری ورود دومرحله‌ای را مدیریت می‌کند، ابتدا تکلیف هم‌پوشانی را مشخص کنید.
رابط‌های قدیمی شامل کارت‌های فایروال، اسکن بدافزار و بک‌آپ بودند. برای فعال‌سازی 2FA نیازی به روشن‌کردن همهٔ این قابلیت‌ها نیست؛ تصویر قدیمی و دکمهٔ Enable All مبنای تنظیم نسخهٔ فعلی قرار نمی‌گیرد.
تعیین کاربران و زمان الزام
طبق راهنمای فعلی راه‌اندازی، پس از فعال‌سازی می‌توانید از Setup Wizard استفاده کنید. محدودهٔ کاربران یا نقش‌ها و مهلت راه‌اندازی را مشخص کنید. در روش دستی، تنظیمات مربوط در 2FA Configurations و Access Rules قرار دارند؛ نام منوها ممکن است با نسخه تغییر کند.
ابتدا حساب آزمایشی مجاز و سپس مدیران را بررسی کنید. الزام فوری برای همهٔ کاربران، پیش از اطلاع‌رسانی و آماده‌کردن روش بازیابی، می‌تواند مانع ورود شود. گزینهٔ اجازهٔ ردکردن 2FA برای مدیران نیز معادل حفاظت اجباری مدیران نیست؛ آن را بدون درک اثرش فعال نکنید.
اتصال Google Authenticator یا برنامهٔ سازگار
- در فرایند ثبت 2FA حساب، روش Google/Authy/Microsoft Authenticator را انتخاب کنید.
- برنامهٔ معتبر احراز هویت را روی دستگاه خود باز کنید.
- QR همان حساب را اسکن کنید؛ از QR مقاله یا حساب شخص دیگر استفاده نکنید.
- کد فعلی برنامه را در کادر تأیید وارد و Verify را انتخاب کنید.
- کدهای بازیابی ارائه‌شده را در محل امن نگه دارید و راه‌اندازی را کامل کنید.
راهنمای اتصال برنامه‌ها جزئیات روش را توضیح می‌دهد. QR، کلید مشترک و کد بازیابی اطلاعات محرمانه‌اند و نباید در تصویر عمومی یا تیکت عادی قرار بگیرند.
آزمون و خطای کد نامعتبر
نشست فعلی مدیریت را باز نگه دارید و ورود را در پنجرهٔ خصوصی آزمایش کنید. در خطای کد، حساب انتخابی، انقضا و ساعت دستگاه را کنترل کنید. راهنمای Google Authenticator تنظیم ساعت و انتخاب حساب درست را از بررسی‌های اصلی می‌داند. برای گم‌شدن تلفن، پیش از وقوع مشکل روش بازیابی را آماده کنید.
فرم ورود سفارشی یا فروشگاه را جدا بررسی کنید. فعال‌بودن 2FA روی ورود پیش‌فرض، پوشش خودکار همهٔ مسیرهای ورود و اتصال‌های برنامه‌ای را اثبات نمی‌کند.
محدودیت امنیتی روش OTP
کد یک‌بارمصرف خطر استفاده از رمز سرقت‌شده را کاهش می‌دهد، اما مصونیت کامل در برابر فیشینگ ایجاد نمی‌کند. مقایسهٔ روش‌های احراز هویت NIST میان OTP و روش‌های مقاوم به فیشینگ تفاوت می‌گذارد. نشانی صفحهٔ ورود را بررسی کنید و کد را در اختیار درخواست‌کنندهٔ ناشناس نگذارید.
مطالعهٔ مرتبط
بازبینی فنی: ۱۳ آبان ۱۴۰۵. تاریخ انتشار اولیه و نشانی قبلی حفظ شده‌اند.
