Плагин Google Authenticator- лучшая защита сайта WordPress от взлома

Приветствую Вас, уважаемый читатель! Сегодня я Вам расскажу, как можно надежно защитить свой сайт на движке WordPress от взлома. Такую защиту можно осуществить с помощью плагина «Google Authenticator». Теперь  подобрать пароль от админки с помощью специальных скриптов будет невозможно. Для входа на сайт понадобиться вводить не только логин и пароль, но и код «Google Authenticator».

Статьи по теме:

1. Как защитить блог от взлома
2. Защита блога от взлома: доступ к сайту по IP

Как это работает? Устанавливаем на сайт плагин «Google Authenticator For WordPress» и специальное приложение на свой мобильник, или планшет. Плагин WP и приложение в мобильном устройстве работают синхронно, и для того, чтобы получить доступ к сайту, нужно пройти двойную аутентификацию. Нужен не только пароль от сайта, но и код «Google Authenticator».

Такую же защиту предлагает Google для своих аккаунтов. Если Вы с этим способом еще не знакомы, тогда читайте по этой ссылке.

Похожий способ защиты применяется в некоторых платежных системах, например Webmoney. Вход в аккаунт и оплату можно производить через мобильное приложение E_NUM. Такая защита будет и на Вашем сайте.

Но как быть в том случает, если мобильное устройство по какой-то причине не доступно, а в админку войти нужно? На этот случай у Вас будет код восстановления, с помощью которого можно войти на сайт.

Такую защиту на свой блог я установил не так давно, но вполне ей доволен. Даже, если у злоумышленника будет логин и пароль от Вашего сайта, то зайти он все равно не сможет. Нужен еще код от приложения «Google Authenticator», который меняется каждые 30 секунд.

Раньше у меня было установлено две защиты:

1. Плагин «Login Security Solution»
2. Вход на сайт по IP

Теперь я использую также два способа защиты, но без плагина «Login Security Solution».

1. Вход на сайт по IP
2. Плагин Google Authenticator for WordPress

Сайты и блоги взламывают каждый день, и многие веб-мастера об этом даже не догадываются. Когда взломали и мой блог, то я тоже не сразу узнал об этом. Хорошо, что не удалили статьи, и не добавили кучу внешних ссылок. Пришлось бы потом, или ссылки вычищать, или восстанавливать сайт из резервной копии.

Установить приложение на мобильное устройство, Вы можете по ссылкам ниже:

Android

IOS

Плагин Google Authenticator For WordPress: установка и настройка

Установить плагин можно прямо из панели администратора: «Плагины» -> «Добавить Новый», и в поисковое окошко надо вписать название «Google Authenticator for WordPress» без кавычек.

Этот плагин должен быть первым в списке, его и устанавливайте. Там будут и другие, похожие плагины, но меня вполне устраивает этот, и он работает с новой версией WP. Устанавливайте его, активируйте, и переходите «Настройки» -> «Authenticator».

Здесь надо сделать некоторые настройки плагина:

Activate Plugin	Yes	(активировать плагин)
Force Use	Yes	(подключить категории пользователей). Установка двухуровневой защиты, и подключение всех зарегистрированных пользователей на Вашем сайт, в том числе  Администраторов
Force Roles	All	Подключить для всех категорий пользователей
Site Name	dvpress.ru	В поле пишем название сайта для мобильного приложения, оно будет отображаться в самом приложении, хотя его и можно будет изменить
Max Attempts	3	Максимальное число попыток для ввода секретного кода с приложения. Я установил 3, в принципе этого достаточно
Authorized Clock Desynchronization	10	Это ограничение по времени, если ввели 3 раза код неправильно. Только через это время можно повторить продолжить попытку ввести код

На этом все. Нажимаем «Save», чтобы сохранить изменения, и переходим «Пользователи» -> «Ваш профиль».

В самом низу страницы, Вы увидите раздел «WP Google Authenticator Settings». Жмите кнопку «Generate Key». У Вас появится два кода: секретный код, и код восстановления, вот пример:

Secret (секретный)	R2Y4XOTQRUNMJXKU
Recovery Code (восстановление)	bd2361251ac0832716f52dc9

Секретный код нужен для мобильного приложения, а код восстановления пригодится, если Вам понадобиться войти на сайт без мобильного устройства.

Настройка мобильного приложения Google Authenticator

Итак, Вы установили мобильное приложение на свое устройство. Теперь его надо настроить.

Запускаете приложение. Вы увидите два раздела:

1. Добавление аккаунта
2. Доступные аккаунты Google

Нам нужен первый раздел, чтобы активировать аккаунт. Можно воспользоваться двумя способами активации:

1. Сканировать штрихкод
2. Ввести ключ

При выборе первого варианта, можно просто отсканировать QR код, и аккаунт будет активирован. Отсканировать QR код можно только в том случае, если у Вас установлен на мобильном устройстве сканер штрихкодов. Установить сканер, Вам предложит само приложение, если у Вас он не установлен.

Перейдите в панели администратора «Пользователи» -> «Ваш профиль», и в самом низу, где Вы генерировали секретный код, нажмите кнопку «Get QE Code». Появится штрих код, который и нужно сканировать для активации аккаунта.

При выборе второго варианта, нужно ввести секретный код вручную и аккаунт будет активирован.

Проверка двойной аутентификации при входе на сайт

Раньше, чтобы войти в панель администратора, нужно было вводить логин и пароль. Но теперь появилось третье поле, куда нужно вводить код из приложения.

 

Этот код меняется каждые 30 секунд, и если Вы видите, что шкала заканчивает свой круг, тогда дождитесь, когда начнется новый круг ожидания. В этом случае, Вы сможете ввести код на своем сайте не торопясь.

Как войти на сайт без приложения Google Authenticator

Для того чтобы войти на сайт без приложения, нужно ввести логин, пароль, а в третье поле код восстановления. После этого придется заново генерировать новый секретный код, и код восстановления. Также в мобильном приложении придется заново настраивать аккаунт и вводить новый секретный код.