Tweestapsverificatie voor WordPress instellen

Met tweestapsverificatie (2FA) heb je bij het inloggen naast je wachtwoord nog iets nodig: meestal een code van zes cijfers uit een app op je telefoon. Iemand die je wachtwoord heeft, komt dan nog niet in het beheer van je site. WordPress heeft dit niet ingebouwd. Je voegt het toe met een plugin. Hier lees je hoe dat gaat, en wat je doet als je je telefoon kwijt bent.

Welke plugin?

Er zijn veel plugins voor tweestapsverificatie, en veel beveiligingsplugins hebben het ook aan boord. Een eenvoudige is Two Factor, gemaakt door bijdragers aan WordPress zelf. Die gebruiken we hieronder als voorbeeld; andere plugins werken vergelijkbaar. Let bij het kiezen op:

• ondersteuning voor een authenticator-app (codes volgens de standaard TOTP);
• back-upcodes voor als je telefoon kwijt is;
• of je tweestapsverificatie verplicht kunt stellen voor beheerders. Two Factor kan dat niet zelf: daar zet elke gebruiker het in zijn eigen profiel aan;
• dat de plugin nog wordt bijgewerkt en getest is met je versie van WordPress.

Gebruik er maar één. Heb je al een beveiligingsplugin met tweestapsverificatie, zet het dan daarin aan.

Instellen met Two Factor

1. Installeer en activeer de plugin via Plugins > Plugin toevoegen.
2. Ga naar Gebruikers > Profiel en scrol naar het blok voor tweestapsverificatie.
3. Kies de authenticator-app. Scan de QR-code met de app op je telefoon en vul de code ter controle in.
4. Maak back-upcodes aan. Dat zijn tien codes die je elk één keer kunt gebruiken. Bewaar ze in je wachtwoordmanager of op papier, niet alleen op je telefoon.
5. Kies de app als standaardmethode en klik op Profiel bijwerken.
6. Log uit en weer in om te controleren dat het werkt.

Laat elke andere beheerder en redacteur hetzelfde doen in zijn eigen profiel. Een site is zo sterk als het zwakste beheerdersaccount.

Telefoon kwijt of nieuwe telefoon

• Nieuwe telefoon: zet de app over voordat je de oude telefoon wist, of stel de app in je profiel opnieuw in.
• Telefoon kwijt: log in met een van je back-upcodes en stel daarna de app opnieuw in. Maak ook nieuwe back-upcodes aan.
• Geen back-upcodes meer: een andere beheerder kan bij jouw account in Gebruikers de tweestapsverificatie uitzetten. Ben je de enige beheerder, zet de plugin dan tijdelijk uit. Hoe dat gaat, staat in stap 3 van Ik kan niet inloggen in WordPress: wat nu? Log in, stel de app opnieuw in en zet de plugin weer aan.

Passkeys

Met een passkey log je in met je vingerafdruk, je gezicht of een beveiligingssleutel. Een passkey werkt alleen op de echte site, dus een nepsite kan hem niet afvangen. Two Factor zelf heeft geen passkeys; daarvoor bestaat een aparte aanvullende plugin, en andere plugins hebben het ingebouwd. Meer over passkeys lees je in Wachtwoordmanager en passkeys: zo regel je je inloggen veilig.

Waar je nog meer op let

• Applicatiewachtwoorden (bij Gebruikers > Profiel) zijn bedoeld voor apps en koppelingen en kunnen de tweede stap omzeilen. Maak ze alleen aan als het nodig is en trek ze in als je de koppeling niet meer gebruikt.
• Tweestapsverificatie vervangt geen goed wachtwoord. Gebruik een lang, uniek wachtwoord uit een wachtwoordmanager.
• Beperk ook de inlogpagina zelf: zie wp-login.php van WordPress beveiligen en WordPress extra beveiligen: rechten, wp-config en .htaccess.

Ook om je site heen

Een inbreker die je hostingpaneel of je mailbox overneemt, heeft je WordPress-wachtwoord niet nodig. Zet tweestapsverificatie daarom ook aan op:

• Mijn WebOké: Tweestapsverificatie in Mijn WebOké en een authenticator-app instellen;
• DirectAdmin: Twee-Staps Authenticatie instellen;
• je mailbox en je wachtwoordmanager.

Verder lezen

• Veilig inloggen (Veilig Internetten, overheid)
• Brute force-aanvallen (developer.wordpress.org, Engels)

Meer leren? Volg de gratis WordPress-cursus, les 7.3 Inloggen: wachtwoorden, tweestapsverificatie en brute force.