WordPressに二段階認証を入れる。Two-Factor プラグインの設定手順

WordPressの二段階認証がなぜ要るか

9月に姉妹会社が対応した乗っ取りは、管理者のパスワードがどこかで漏れて、ふつうにログインされたものでした。ログイン画面が開いていて、二段階認証がなくて、管理者が何人もいる。それだけで成り立ちます。「日本のIPだけ許可」にしていたサイトでしたが、攻撃する側も日本のVPSを踏み台にしていたので防げませんでした。

二段階認証を入れると、パスワードが合っていても、手元のスマホに出る6桁の数字がないと入れません。漏れたパスワードだけでは、ログイン画面の前で止まります。

Two-Factor プラグインの入れ方

Two-Factorは公式のプラグインディレクトリにある無料のプラグインで、WordPress本体の開発に関わっている人たちが作っています。管理画面のプラグイン → 新規追加で「Two-Factor」と検索して、今すぐインストール → 有効化を押します。

有効化しただけでは、まだ何も変わりません。このプラグインは、使う人が自分のプロフィールで設定して初めて効きます。

各管理者がプロフィールで有効にする

ユーザー → プロフィールを開いて、下の方の「Two-Factor Options」まで下ります。「Time Based One-Time Password (TOTP)」の行にチェックを入れると、QRコードが出ます。スマホの認証アプリでそれを読み取って、アプリに出た6桁を入力して「Enable」を押します。同じ画面の「Backup Verification Codes」で「Generate Verification Codes」を押して、出てきた10個のコードを印刷するか、パスワード管理ツールに保存してください。締め出されたときの鍵になります。「Primary」はTOTPにしておきます。

メールで6桁を受け取る方式も選べますが、避けた方がいい理由が2つあります。メールのパスワードも一緒に漏れていることがあること、メールが届かないと自分も入れなくなることです。

気をつけてほしいのは、これは管理者ひとりひとりが自分のプロフィールでやる作業だということです。管理者が3人いれば3人とも設定します。ひとりでも設定していない管理者が残っていると、そこが入口になります。使っていない管理者は、設定する代わりに消してください。全員に強制したい場合は、Two-Factorの設定を必須にする別のプラグインを足すか、有効にしていない人の権限を編集者に落とす手があります。

認証アプリの選び方

Google Authenticator、Microsoft Authenticator、Authy、1PasswordやBitwardenのようなパスワード管理ツールに付いているものなど、どれでも同じ6桁が出ます。選ぶときの基準はひとつで、スマホを替えたときに引き継げるかです。クラウドに同期される種類のものか、同じQRコードを2台のスマホで読んでおくかで、機種変更の日に締め出されるのを防げます。会社のサイトなら、担当者の個人のスマホだけに登録して終わりにせず、バックアップコードを会社の側で保管しておいてください。

締め出されたときの復旧

6桁が出せなくなったら、ログイン画面でバックアップコードを入れます。1つずつ使い切りです。それもないときは、ホスティングのファイルマネージャーかFTPで wp-content/plugins/two-factor というフォルダの名前を two-factor-off のように変えてください。プラグインが無効になって、パスワードだけで入れるようになります。入ったら名前を戻して、プロフィールでもう一度QRコードを読み直します。ほかに管理者がいるなら、その人にログインしてもらって、ユーザーの編集画面から自分の二段階認証を外してもらう方が早いです。

この診断でできること

中まで点検は、管理者の人数と、それぞれが二段階認証を有効にしているかを赤黄緑の判定まで無料で確かめます。3,000円の「今すぐ改善する」は、Two-FactorとSiteGuardを入れて有効化するところまでを自動でやります。そのあとの各管理者のプロフィールでの設定は、上の手順でご本人にやってもらうことになります。