Egy WordPress oldal admin felülete a legértékesebb célpont: aki bejut, az mindent módosíthat, kártékony kódot telepíthet, vagy átirányíthatja a látogatókat. A támadók folyamatosan, automatizáltan próbálgatják a jelszavakat – akár naponta több ezer kísérlettel.
Mi az a kétfaktoros azonosítás?
A bejelentkezéshez a jelszó mellett egy második bizonyíték is kell: valami, ami nálad van. Leggyakrabban egy hitelesítő alkalmazás (például a telefonodon) 30 másodpercenként változó kódja. Még ha valaki meg is szerzi a jelszavadat, a telefonod nélkül nem jut be.
Milyen módszerek vannak?
- Hitelesítő alkalmazás (TOTP): a legjobb egyensúly biztonság és kényelem között.
- Biztonsági kulcs vagy passkey: a legerősebb védelem, adathalászat ellen is.
- E-mailben küldött kód: jobb a semminél, de ha az e-mail fiók is veszélyben van, gyenge pont.
- SMS: kényelmes, de a SIM-csere típusú támadások miatt kevésbé ajánlott.
Kinek kötelező legyen?
- Minden adminisztrátornak – kivétel nélkül.
- Szerkesztőknek és webshopkezelőknek is, akik vásárlói adatokhoz férnek hozzá.
- A tárhely, a domainregisztrátor és az e-mail fiók esetén is.
Gyakori hiba: a WordPress admin védett, de a tárhely-kezelőfelületen vagy a domainregisztrátornál nincs 2FA. A támadó ilyenkor ott jut be, és onnan veszi át az oldalt.
Ne zárd ki magad!
- Mentsd el biztonságos helyre a beállításkor kapott tartalékkódokat.
- Ha telefont cserélsz, előbb vidd át a hitelesítőt.
- Legyen legalább két admin felhasználó, hogy egyikük mindig vissza tudja állítani a másik hozzáférését.
További alapvédelem az adminnak
- Egyedi, hosszú jelszó (jelszókezelővel).
- Bejelentkezési kísérletek korlátozása.
- Az „admin” felhasználónév kerülése.
- Csak annyi jogosultság, amennyi valóban kell.
A jelszavakról külön cikkben is írtunk. Ha szeretnéd, a karbantartás keretében mi állítjuk be és felügyeljük az oldalad biztonságát – ha pedig már baj van, az SOS fejlesztés azonnal segít.
