Two-Factor

Что это

Двухфакторный вход в админку WordPress. Украденного или подобранного пароля больше недостаточно: после пароля нужно ввести одноразовый код, который есть только у вас в телефоне.

Способы получить код

• Приложение-аутентификатор — Яндекс Ключ, Google Authenticator, Microsoft Authenticator, 1Password, Bitwarden и любое другое с поддержкой TOTP. Работает без интернета, без внешних сервисов. QR-код для подключения рисуется в браузере — секрет не покидает сайт.
• Telegram — бот вашего сайта присылает 6-значный код. Необязательно: подключается, если администратор создаст бота.
• Резервные коды — десять одноразовых кодов на случай потери телефона. Создаются автоматически.

Для владельцев сайтов и студий

• Обязательная 2FA для выбранных ролей (например, для администраторов и редакторов). Пока пользователь её не настроит, в админке ему доступен только профиль.
• «Доверять этому устройству» до 90 дней — можно настроить или выключить.
• Колонка 2FA в списке пользователей и сброс в один клик, если человек потерял телефон и коды.
• Защита от перебора: пять неверных кодов — вход блокируется на 15 минут.
• XML-RPC с паролем закрыт для пользователей с 2FA (пароли приложений продолжают работать).
• Аварийный выключатель в wp-config.php, если доступ потеряли все администраторы.

Безопасность и приватность

• Секреты приложений и токен бота зашифрованы в базе ключом из wp-config.php — дамп базы их не раскроет.
• Резервные коды хранятся как хэши.
• До ввода второго фактора пользователь не авторизован — WordPress даже не выдаёт cookie входа.
• Никакой слежки, рекламы и обращений «домой». Единственный внешний сервис — Telegram, и только если вы подключите бота.

Как получить

Бесплатно при покупке любого плагина. Купили хотя бы один платный плагин — Two-Factor появится в «Моих плагинах» сам, вместе со всеми обновлениями.