احراز هویت دو مرحله ای وردپرس پس از رمز عبور، عامل دیگری برای ورود می‌خواهد. در روش TOTP، برنامهٔ احراز هویت کد موقت تولید می‌کند. این روش امنیت ورود را تقویت می‌کند، ولی جایگزین به‌روزرسانی، کنترل دسترسی و مراقبت از نشست‌های فعال نیست.
انتخاب روش احراز هویت دو مرحله ای وردپرس
WP 2FA برای تنظیم روش‌ها و سیاست کاربران امکاناتی ارائه می‌دهد؛ Two Factor نیز راه‌اندازی روش دوم را در پروفایل کاربران فراهم می‌کند. یکی را متناسب با نیاز انتخاب کنید و دو افزونهٔ مشابه را بدون برنامه روی یک ورود فعال نکنید. قابلیت پیامک یا روش‌های اضافی را قبل از انتخاب، از نظر طرح و هزینه بررسی کنید.
روش اول: راه‌اندازی WP 2FA
- WP 2FA از Melapress را از مخزن رسمی نصب و فعال کنید.
- در راهنمای تنظیم، روش اصلی و روش پشتیبان را انتخاب کنید.
- کاربران مشمول و مهلت راه‌اندازی را مشخص کنید.
- در Users → Profile بخش Two-factor authentication settings را باز و Configure 2FA را انتخاب کنید.
- روش برنامهٔ احراز هویت را انتخاب و ثبت حساب را انجام دهید.
طبق راهنمای سیاست‌های WP 2FA، اختیاری‌کردن 2FA با حذف امکان استفاده برای کاربران فرق دارد. امکانات بعضی سیاست‌ها به طرح وابسته‌اند. الزام را پس از آزمون و اطلاع‌رسانی گسترش دهید.
ثبت حساب و کد بازیابی
QR نمایش‌داده‌شده برای همان حساب را در برنامه اسکن کنید و کد فعلی را در مرحلهٔ تأیید وارد کنید. سپس کدهای بازیابی یک‌بارمصرف را دریافت و امن نگهداری کنید. تصویر QR یا کلید راه‌اندازی را منتشر نکنید؛ تصویر آموزشی نباید برای حساب واقعی استفاده شود.
راهنمای حساب کاربری WP 2FA میان کدهای بازیابی و روش ایمیل پشتیبان تفاوت می‌گذارد: کدهای بازیابی در نسخهٔ رایگان هم وجود دارند، اما ایمیل پشتیبان به طرح پولی وابسته است. این موضوع را با ایمیل به‌عنوان روش اصلی یکسان ندانید.
روش دوم: افزونهٔ Two Factor
پس از نصب Two Factor، در Users → Your Profile بخش Two-Factor Options را پیدا کنید. روش Authenticator App را تنظیم کنید، روش اصلی را مشخص کنید و Update Profile را بزنید. کدهای پشتیبان را نیز آماده کنید. هر کاربر باید ثبت روش حساب خودش را کامل کند.
روش ایمیل به دسترسی امن به صندوق و تحویل مطمئن پیام وابسته است. گزینهٔ Dummy برای آزمون توسعه است و نباید برای حفاظت واقعی انتخاب شود. تنظیم روش در یک پروفایل، اثبات ثبت و حفاظت تمام کاربران نیست.
اگر تلفن عوض شد یا کد کار نکرد
ادعای قدیمی «Google Authenticator امکان همگام‌سازی ندارد» دیگر درست نیست. طبق راهنمای رسمی گوگل، همگام‌سازی با حساب گوگل یا انتقال دستی ممکن است؛ استفاده بدون حساب هم وجود دارد. روش بازیابی را متناسب با تنظیم واقعی برنامه و امنیت حساب ابری انتخاب کنید، نه صرفاً نام برنامه.
برای کد نامعتبر، حساب درست، زمان انقضا و ساعت دستگاه را بررسی کنید. پیش از حذف برنامه یا پاک‌کردن دستگاه قبلی، ورود روی دستگاه جدید و دسترسی به کد بازیابی را امتحان کنید.
آزمون نهایی ورود
با باز نگه‌داشتن نشست مدیریت، در پنجرهٔ خصوصی ورود و روش بازیابی را آزمایش کنید. فرم‌های ورود سفارشی را هم کنترل کنید. روش OTP مقاوم کامل به فیشینگ نیست؛ کد را فقط در نشانی معتبر سایت وارد کنید و آن را برای پشتیبانی ارسال نکنید.
مطالعهٔ مرتبط
بازبینی فنی: ۱۳ آبان ۱۴۰۵. تاریخ انتشار اولیه و نشانی قبلی حفظ شده‌اند.
