Zweryfikowano: lipiec 2026 – pod WordPress 7.0.2. Preferuj TOTP lub passkeys; trzymaj kody odzyskiwania offline.
Dlaczego 2FA w WordPressie nadal ma sens
Hasło to jedna bariera. Drugi czynnik odcina większość ataków na skradzione lub słabe loginy administracyjne.
Dwuetapowa weryfikacja (2FA) wymaga czegoś, co znasz (hasło) oraz czegoś, co masz (aplikacja TOTP, klucz sprzętowy lub passkey). To jeden z najtańszych sposobów obniżenia ryzyka przejęcia wp-admin.
TOTP, passkeys i kody odzyskiwania
Wybierz metodę, którą naprawdę będziesz używać – i zaplanuj odzyskiwanie zanim zgubisz telefon.
- TOTP (Google Authenticator, 1Password, Bitwarden) – szeroka kompatybilność, działa offline.
- Passkeys / WebAuthn – wygodne i odporne na phishing, gdy urządzenie i przeglądarka wspierają.
- SMS – lepiej niż brak 2FA, ale słabsze (SIM swap); unikaj jako jedynej metody dla adminów.
- Kody recovery – wydrukuj lub zapisz w menedżerze haseł; bez nich utrata telefonu = utrata dostępu.
Wtyczki i dobre praktyki
Włącz 2FA dla administratorów i redaktorów; przetestuj login awaryjny na stagingu.
- Wybierz utrzymywaną wtyczkę z TOTP/WebAuthn i jasnym recovery.
- Wymuś 2FA dla ról z dostępem do wtyczek, motywów i ustawień.
- Nie trzymaj zapasowego „tylnymi drzwiami” konta admin bez 2FA.
- Po włączeniu sprawdź WooCommerce / custom login, jeśli masz niestandardowy ekran logowania.
FAQ
Czy 2FA spowalnia zespół?
Pierwsze logowanie zajmuje chwilę dłużej. Koszt utraty sklepu lub bloga jest zwykle większy niż te kilka sekund.
Co jeśli stracę telefon?
Użyj kodów odzyskiwania albo wcześniej skonfigurowanego drugiego urządzenia. Bez planu recovery zostaje reset przez hosting/SFTP – dlatego kody zapisujesz od razu.
Podsumowanie
Włącz TOTP lub passkeys dla kont uprzywilejowanych, zabezpiecz recovery i trzymaj WordPress na aktualnej linii 7.0.2.
Powiązane: ochrona WordPress, firewall, kopie zapasowe.
