WordPress giriş ekranı, internetteki otomatik saldırıların en çok denediği yerlerden biri. Sadece kullanıcı adı ve şifreyle korunan bir panel, şifren sızarsa ya da tahmin edilirse açık kapı demek. İki faktörlü doğrulama (2FA) girişe ikinci bir doğrulama adımı ekler: şifreyi bilsen bile telefonundaki koda sahip olmayan giremez. Bu yazıda 2FA’yı bir eklentiyle nasıl kuracağını ve ekip için nasıl yöneteceğini anlatıyorum.
İki faktörlü doğrulama neyi çözer
Normal girişte tek bir şey kanıtlarsın: bildiğin bir şey, yani şifre. 2FA buna sahip olduğun bir şeyi ekler, genelde telefonundaki bir uygulamanın ürettiği altı haneli kod. Bu kod her 30 saniyede değişir ve internetten erişilemez; sadece o cihazda üretilir. Böylece birisi şifreni ele geçirse bile ikinci adımı geçemez. Kaba kuvvet denemeleriyle şifre tahmin eden botlar da bu duvara takılır çünkü kodu bilemezler. Şifrelerin sızması sandığından daha sık yaşanır; başka bir sitede kullandığın parolan oradan sızarsa ve aynısını burada da kullanıyorsan, saldırgan hazır listelerle doğrudan dener. 2FA tam da bu senaryoda devreye girer, çünkü sızan şifre tek başına işe yaramaz. Özellikle birden fazla yöneticinin olduğu kurumsal sitelerde bu ikinci adım, zayıf bir parolayı bile büyük ölçüde telafi eder.
Eklentiyle 2FA kurulumu
WordPress’te 2FA için ayrı bir araca gerek yok, bir eklenti yeterli. Wordfence Login Security ya da WP 2FA yaygın ve ücretsiz seçenekler. Telefonuna da Google Authenticator veya Authy gibi bir doğrulama uygulaması kur.
- Eklentiyi kur ve etkinleştir, ardından kendi kullanıcı profilinin güvenlik ayarlarına gir.
- Eklenti sana bir QR kod gösterir. Telefonundaki doğrulama uygulamasını aç ve bu kodu tarat; hesabın uygulamaya eklenir.
- Uygulamanın ürettiği altı haneli kodu kutuya girerek eşleşmeyi doğrula.
- Eklentinin verdiği yedek kodları güvenli bir yere kaydet. Telefonunu kaybedersen tek giriş yolun bunlar olur.
Bundan sonra her girişte şifreni yazdıktan sonra uygulamadaki güncel kodu da soracak. İsteğe bağlı olarak kodu e-postayla alma seçeneği de var ama uygulama tabanlı yöntem daha güvenli, çünkü e-posta hesabın da ele geçebilir. Doğrulama uygulamaları internet bağlantısı olmadan da çalışır; kodu sunucudan değil, kurulum sırasında paylaşılan gizli anahtardan ve o anki saatten üretir. Bu yüzden uçakta ya da kapsama alanı dışında bile giriş yapabilirsin. Telefonunu değiştirirsen aynı hesabı yeni cihazdaki uygulamaya taşımayı unutma, yoksa eski kodlar artık geçmez.
Ekip ve yedek kodlar için dikkat
Siteye birden fazla kişi giriyorsa 2FA’yı herkes için zorunlu yapmak en doğrusu. Eklentilerin çoğunda belirli kullanıcı rolleri için 2FA’yı mecbur kılan bir ayar vardır; yönetici ve editör rollerinde bunu açık tut. Yeni bir kişi eklediğinde ona ilk girişte kendi doğrulamasını kurdur. Yedek kodları herkesin kendi parola yöneticisinde saklaması gerektiğini hatırlat, çünkü kaybolan telefon en sık yaşanan kilitlenme sebebi. Bir kullanıcı tamamen kilitlendiyse, başka bir yönetici panelden onun 2FA kaydını sıfırlayabilir; tek yöneticiysen ve sen kilitlendiysen, hosting üzerinden veritabanına erişip eklentinin kaydını silmen gerekir. 2FA, sitenin genel güvenliğinin bir parçası; konunun tamamını WordPress güvenlik rehberi yazımdan okuyabilirsin.
Sık sorulan sorular
Telefonumu kaybedersem siteye nasıl girerim?
Kurulumda sana verilen yedek kodlarla girersin; her kod bir kez çalışır. Yedek kodun da yoksa, başka bir yöneticinin hesabını sıfırlaması ya da veritabanından 2FA kaydının silinmesi gerekir. Bu yüzden kodları baştan güvenli bir yere kaydet.
SMS ile mi uygulama ile mi doğrulama daha iyi?
Uygulama tabanlı kod daha güvenli. SMS, SIM kart devralma gibi yöntemlerle ele geçirilebilir; uygulamanın ürettiği kod ise yalnızca o cihazda kalır ve internete çıkmaz.
2FA kurulumunu ve giriş güvenliğini kendin ayarlamak istemiyorsan, WordPress bakım ve teknik destek hizmetiyle ben tüm kullanıcılar için kurabilirim. Sitenin güvenlik durumunu konuşmak için ücretsiz ön analiz isteyebilirsin.
Bu konunun tüm rehberi: WordPress Güvenlik Rehberi