Всем привет! Тема сегодняшней статьи двухфакторная аутентификация WordPress.
Идея написания подобной статьи пришла совершенно случайно. Я долго размышлял на тему, как защитить админку моего блога от взлома. В итоге, погуглив, нашел несколько достаточно популярных у других веб-мастеров методов. Ну и инструкций, что и как делать. Правда, тогда почему-то нигде не было и намека на плагины, о которых я так же расскажу в этой статье. Хотя, кто знает, может их попросту еще не сделали.
Итак, найдя решение в лице создания двухфакторной аутентификации в админку WordPress и подробные инструкции в интернете, я тут же попытался все это настроить у себя. Потратил кучу нервов, выпил пару чайников кофе, просидел пол ночи занимаясь настройкой и поиском дополнительной информации и к утру кое-как разобрался. Позже, проделав все еще пару раз и успешно защитив (на этот раз с первого захода) другие свои ресурсы, сел за написание данной статьи. Вообщем, надеюсь, после ее публикации никто больше не будет страдать по пол ночи так же, как и я.
Пошаговое создание двухфакторной авторизации для сайта
Ладно, вернемся к вопросу создания двухфакторной авторизации на сайты с CMS WordPress. К счастью, все это делается быстро и относительно просто (ха-ха три раза).
Узнаем путь к файлам на сервере
Для начала необходимо узнать правильный путь до наших файлов, которые хранятся на сервере хостинг-провайдера.
Делается это вот так:
- Создаем файл servinfo.php,
- Вводим в нем следующий код:
<,?php
echo $_SERVER[DOCUMENT_ROOT],
?>,
- Сохраняем файлик и закачиваем в корень сайта (можно через фтп-соединение или админку хостинга),
- Заходим в браузер и переходим по адресу: https://домен сайта/servinfo.php
Должна открыться страница, на которой будет путь до корня нашего сайта.
Когда закончим с настройкой этот файлик можно (и даже нужно) удалить.
Редактируем файл .htaccess
В корне сайта находим файл .htaccess. Он автоматически создается во время установки на хостинг CMS WordPress, поэтому ищите лучше.
Нашли? Отлично, копируем его на рабочий стол.
Перед тем, как в нём что то изменить сделайте резервную копию файла к себе на компьютер. Просто на всякий случай.
Открываем файл используя любой редактор кода. Можете, конечно, рискнуть и открыть через обыкновенный блокнот, но, лично у меня через него так ничего и не заработало. В чем причина и где я ошибся определить не удалось. Поэтому, советую использовать Brackets или Notepad ++.
В файле уже есть какой-то код его не трогаем. В самый конец, после строчки # END WordPress вставляем следующее:
<,Files wp-login.php>,
AuthName Access Denied
AuthType Basic
AuthUserFile /home/.htpasswd
require valid-user
<,/Files>,
Этот код необходим, чтобы при попытке зайти на страничку, где мы вводим лог/пасс для входа в админку WP, сначала появлялось дополнительное окно с требованием пройти еще одну авторизацию.
Сейчас файл должен выглядеть вот так:
# BEGIN WordPress
<,IfModule mod_rewrite.c>,
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
<,/IfModule>,
# END WordPress
<,Files wp-login.php>,
AuthName Access Denied
AuthType Basic
AuthUserFile /home/.htpasswd
require valid-user
<,/Files>,
В строке AuthUserFile /home/.htpasswd указываем точный путь к файлу. В конечном итоге выглядеть должно как-то так:
AuthUserFile /home/ermail.ru/public_html/.htpasswd
Создаем файл .htpasswd
Ну и последний пункт настроек – создание файла, который содержит наши дополнительные лог/пасс для авторизации.
- Создаем файл с названием .htpasswd, открываем его,
- Переходим на сайт,
- Вводим логин и пароль, которые будем использовать при первой авторизации на сайте и нажимаем создать,
- Копируем полученный код в наш файлик и сохраняем его.
Файл готов, осталось загрузить его и измененный файл .htaccess в корень сайта, после чего протестировать, все ли получилось. Для этого пробуем зайти в админку. Если все окей, вылетит вот такое окошко:
Вылезло? Отлично, поздравляю. Двухфакторная аутентификация для сайта на движке WordPress настроена правильно. Можно выдыхать и начинать праздновать.
Двухфакторная аутентификация на сайт при помощи плагинов WordPress
Еще один способ, который хорошо подойдет обладателям смартфонов создание двухфакторной авторизации при помощи плагинов wordpress.
На данный момент существует всего парочка хороших плагинов, поэтому, если не хотите возиться с кодом и закачкой файлов на хостинг, берите к себе на вооружение:
- Google Authenticator — Two Factor Authentication (2FA)
- Keyy Two Factor Authentication (like Clef)
О том, как найти и установить плагины на сайт можете почитать в моей статье обязательные плагины для сайта на WordPress: как установить и от чего можно отказаться.
Как уже было сказано, тут вам понадобится смартфон. Правда, в случае с Google можно обойтись и другими методами авторизации, тут уже кому как удобнее. Меня вот плагины не впечатлили, особенно необходимостью тянуться за телефоном и в случае его потери или поломки разбираться, как же теперь обойти блокировку. Поэтому, я сделал все по старинке. А вот некоторые пользователи наоборот нахваливают эти плагины и активно используют, о чем говорит большое количество загрузок и положительных оценок.
Использовать плагины или настроить все вручную выбор целиком и полностью за вами. Главное, что правильно созданная и настроенная двухфакторная аутентификация в админку WordPress усилит защиту сайта и позволит вам спать спокойно. На этом все. До новых встреч, друзья!