No diretório de plugins do WordPress.org tem centenas de opções de plugins que implementam a 2FA.
Você vai encontrar no Google milhares de postagens com diferentes recomendações de qual deles fazer uso.
Mas vou fugir a regra.
Vou te indicar somente um plugin para implementar a autenticação de dois fatores.
Primeiro, para você não perder tempo agora pesquisando a respeito.
Segundo, para que você não perca tempo no futuro tendo que trocar de plugin.
Eu já escrevi sobre esse assunto em 2016.
Na época recomendei cinco plugins. Tive como critérios o fato deles serem gratuitos.
Alguns anos depois, três desses cinco já estavam descontinuados.
E por que dessa vez farei a aposta em somente um?
Por que o plugin Two-Factor está na lista do Feature Projects Overview.
Essa lista são de projetos a serem analisados, experimentados e testados para o core da plataforma.
Não tem nenhuma garantia dos plugins listados serem realmente incorporados, bem como se manterem como são atualmente.
Eles poderão ser alterados e adaptados para uma melhor interomperabilidade.
Mas considerando centenas de plugin que se dispõe a fazer o mesmo tipo de implementação, e um que foi selecionado entre esse montante. Eu vou na segunda opção.
Sobre o plugin Two Factor
O plugin Two Factor foi lançado em 2018.
Ele está disponível em 24 idiomas.
É desenvolvido, e mantido, por mais de 30 colaboradores.
Sua última atualização aconteceu há três meses.
Mais de 20.000 instalações WordPress a utilizam.
Como configurar o plugin Two Factor para implementar a 2FA
Uma vez instalado, o plugin adiciona as opções de autenticação de dois fatores na página de edição de dados do usuário no /wp-admin.
As configurações são simples e consistem basicamente em: habilitar uma entre as quatro opções de 2FA e definir qual será a opção primária.
A imagem acima ilustra as quatro possibilidades na tela de edição de dados do usuário.
- E-mail;
- Senha de uso único;
- FIDO – Universal 2nd Factor;
- Códigos de backup.
Alerta! Você precisa considerar a última opção listada: os códigos de backup.
Eles poderão ser um grande aliado quando tudo der errado e você precisar acessar a área administrativa.
Quando essa opção é ativada, e o botão de gerar os códigos de verificação acionado, 10 opções são listadas, além de uma opção de download.
A medida em que esses códigos vão sendo utilizados, a interface vai atualizando o total de códigos restantes.
A primeira opção, autenticação por e-mail, envia um código ao endereço eletrônico do usuário após uma autenticação bem sucedida.
Já a opção de Senha único, são tokens aleatórios, temporários e gerados por aplicativos diversos, como o Google Authenticator.
Habilitando essa opção, você precisará escanear um QR Code gerado pelo plugin e assim realizar a associação com o aplicativo de autenticação desejado.
O método FIDO é pouco utilizado, mas é uma opção relevante para quem possui esse tipo de dispositivo.
O vídeo abaixo demonstra esse tipo de aparelho em uso associado a uma conta Google, por exemplo.
O uso do plugin na prática
Após você realizar uma autenticação padrão bem sucedida, o segundo método de autenticação será exibido.
De acordo com o esquema escolhido, você aplicará o código de autenticação.
Esse código poderá ser enviado por e-mail ou obtido no aplicativo escolhido e vinculado à sua conta.
Em caso da impossibilidade de obter o código por algumas das vias escolhidas, você precisará recorrer aos códigos de backups.
Importante que após fazer uso do código de backup, considere realinhar seu método de autenticação de dois fatores.
Como implementar autenticação de dois fatores para todos os usuários
O plugin Two Factor, abordado neste post, considera a autenticação 2FA onde cada usuário precisa ativar o recurso em sua conta.
Considerando que alguns gestores podem desejar que suas instalações WordPress exija a autenticação complementar por todos os usuários, será preciso recorrer aos códigos.
O código abaixo implementa a autenticação de dois fatores via e-mail para todos os usuários.
add_filter(
'two_factor_enabled_providers_for_user',
function( $providers ) {
if ( empty( $providers ) && class_exists( 'Two_Factor_Email' ) ) {
$providers[] = 'Two_Factor_Email';
}
return $providers;
}
);Conclusão
Geralmente investimos vários recursos tecnológicos, tempo e conscientização sobre segurança em nossas empresas e aplicativos em uso.
E boa parte dos ataques acontecem por simples falhas humanas.
A principal delas é fazer o uso de senhas fracas.
Essa prática facilita os ataques de força bruta.
Forçar, ou incentivar ;), a implementação do 2FA é uma alternativa para coibir as brechas deixas pelos usuários.
E dessa forma, vamos além do método “o que você sabe” e consideramos a prática “o que você tem”.
Nesse contexto, temos dispositivos, como celulares e smartphones, que podemos ser utilizados para a segunda camada de autenticação.
