Что умеет
Two Factor добавляет второй шаг при входе в WordPress: после пароля пользователь вводит одноразовый код. Даже если пароль утёк, без второго фактора войти не получится.
Доступные способы:
- Приложение-аутентификатор (TOTP). Рекомендуемый вариант: QR-код сканируется в Google Authenticator, Authy, 1Password и подобных программах.
- Коды по электронной почте. Простой вариант без приложения, но он зависит от доставляемости писем с сайта.
- Резервные коды. Набор одноразовых кодов на случай потери телефона.
- Тестовый метод для разработчиков, работает только при включённом WP_DEBUG.
Старая поддержка ключей FIDO U2F удалена из-за отказа браузеров. Для пасскеев и аппаратных ключей предусмотрено отдельное дополнение WebAuthn, которое подключается к этому плагину.
Установка и настройка
Установите и активируйте плагин. Администратор может отключить ненужные способы на странице Настройки → Two-Factor. Дальше каждый пользователь открывает «Пользователи → Профиль», в разделе параметров Two-Factor включает нужные способы, проходит настройку и выбирает основной метод. Не забудьте нажать «Обновить профиль».
Администратор может настроить 2FA и для других пользователей через редактирование их профилей. Для администраторских аккаунтов лучше сразу выбрать TOTP и сохранить резервные коды в менеджере паролей.
Подводные камни
Нет принуждения. Если важно, чтобы 2FA была у всех редакторов и администраторов, одних настроек плагина недостаточно: через фильтры придётся написать небольшой код либо договориться с командой. Это известное ограничение.
Блокировка. Потеря телефона без резервных кодов закрывает вход. Сбросить 2FA может другой администратор: в профиле пользователя нужно снять все методы либо выполнить wp two-factor disable через WP-CLI. Если администратор на сайте один, заведите второй аккаунт или сохраните коды заранее.
Почтовый метод. Если письма с сайта уходят в спам или не доставляются, коды не придут. Настройте SMTP-отправку.
Совместимость с защитой входа. Если у вас уже стоит защитный плагин со своей двухфакторкой, не включайте две системы одновременно.
Кому подойдёт
Подойдёт тем, кому нужна чистая, нетребовательная 2FA без лишних функций и облачных аккаунтов: блогам, корпоративным сайтам, интернет-магазинам. Если нужен более широкий набор защиты (файрвол, сканер, блокировка попыток входа), посмотрите комплексные решения: Wordfence, All-In-One Security или Limit Login Attempts.
