קוד כניסה ב-SMS לוורדפרס: שכבת הגנה נוספת למנהלי האתר

חלק גדול מההשתלטויות על אתרי וורדפרס מתחילות בסיסמה: סיסמה חלשה, סיסמה שחוזרת על עצמה באתרים אחרים, או סיסמה שדלפה. (חלק אחר מתחיל בתוספים שלא עודכנו, ולכן גם עדכונים שוטפים הם חלק מההגנה.) שלב שני בכניסה, קוד חד-פעמי שמגיע לנייד, אומר שסיסמה לבדה כבר לא מספיקה.

איך זה עובד

המשתמש מזין שם משתמש וסיסמה כרגיל. אם הסיסמה נכונה, ובתפקיד שלו נדרש קוד, הוא עובר למסך שמבקש את הקוד שנשלח לנייד שבפרופיל שלו. רק כשהקוד נכון, החיבור לאתר נוצר.

מה חשוב לבדוק בפתרון כזה

• שהחיבור לא נוצר לפני הקוד. פתרונות שמנתקים את המשתמש רק אחרי שהחיבור כבר נוצר עלולים להשאיר פרצה. החיבור צריך להיווצר רק אחרי שהקוד נבדק.
• שאין דלת אחורית. כניסה עם הסיסמה הרגילה דרך XML-RPC או דרך טופס כניסה אחר צריכה להיחסם למשתמשים שנדרש להם קוד.
• שאי אפשר להעביר את הקודים לטלפון אחר. מי שהשיג גישה לחשבון לא אמור להיות מסוגל לשנות את המספר בפרופיל בלי לאמת גם את המספר הנוכחי.
• שיש מגבלה על ניסיונות. קוד ננעל אחרי כמה ניחושים שגויים, וקודי כניסה ארוכים מספיק, 6 ספרות לפחות.

למי להפעיל

בדרך כלל למנהלים ולעורכים, כלומר למי שיכול לשנות את האתר. ללקוחות של חנות אפשר להשאיר כניסה רגילה, ולאמת אצלם את המספר דווקא בהזמנה.

בתוסף של מסר 10

התוסף Meser10 OTP לוורדפרס עושה את כל מה שברשימה: החיבור נוצר רק אחרי הקוד, כניסה ב-XML-RPC עם הסיסמה הרגילה נחסמת, ומשתמש שמשנה את המספר בפרופיל של עצמו צריך קוד גם למספר הנוכחי וגם לחדש. אתם בוחרים לאילו תפקידים לדרוש קוד, ומה קורה למשתמש שעוד לא הוסיף מספר. השלבים במדריך ההתקנה של התוסף.