Wat tweestapsverificatie doet
Na het wachtwoord vraagt WordPress om een code van 6 cijfers uit een authenticatie-app op je telefoon: Google Authenticator, Microsoft Authenticator, 2FAS, Aegis, 1Password… De code verandert elke 30 seconden (TOTP-standaard).
Eerst het begrip zelf? Lees onze definitie van tweefactorauthenticatie (2FA). Hoe je een methode kiest en invoert zonder iemand buiten te sluiten, lees je in onze gids zo kies en voer je tweestapsverificatie in op WordPress.
De QR-code voor de configuratie wordt op je eigen site gegenereerd: het geheim gaat naar geen enkele externe dienst. Het wordt versleuteld opgeslagen, en van de back-upcodes wordt alleen een hash bewaard.
Waarom dat helpt
Wachtwoorden lekken uit, worden geraden of worden op meerdere sites hergebruikt. Tweestapsverificatie beschermt je accounts ook dan, en het is de meest effectieve maatregel tegen het overnemen van een beheerdersaccount.
Wat erbij zit Pro-functie
- Elke gebruiker activeert het zelf vanuit zijn profiel, door een QR-code te scannen.
- Tien back-upcodes van 10 cijfers, die één keer worden getoond en elk één keer bruikbaar zijn. Je kunt ze opnieuw genereren.
- Verplicht per rol: de betreffende gebruikers worden naar hun profiel teruggestuurd zolang ze het niet hebben ingesteld. Sterk aanbevolen voor beheerders.
- Bescherming tegen gokpogingen: 5 foute codes per aanmelding, daarna terug naar het wachtwoord; na 5 mislukte pogingen een oplopende wachttijd (1, 2, 4… minuten, hooguit een uur).
- XML-RPC en REST API: een beveiligd account accepteert daar alleen nog applicatiewachtwoorden.
- Blijvende bescherming: accounts die al tweestapsverificatie gebruiken, houden die ook als de licentie verloopt of wordt ingetrokken. De andere Pro-functies stoppen dan wel.
Zo schakel je het in
- Voor jezelf: Profiel → sectie ‘Tweestapsverificatie’. Scan de QR-code, voer de getoonde code in en klik op ‘Profiel bijwerken’. Bewaar je back-upcodes op een veilige plek.
- Voor een team: WP Masquerade (het maskerpictogram in het beheermenu) → Bescherming → ‘Verplicht voor deze rollen’.
- Telefoon kwijt: log in met een back-upcode. Een beheerder kan tweestapsverificatie ook uitschakelen vanuit het profiel van de gebruiker.
Beperkingen en voorzorgen
- De code hangt af van de klok van je telefoon: worden codes geweigerd, controleer dan of de tijd automatisch wordt ingesteld.
- Veranderen de beveiligingssleutels in wp-config.php, dan is het geheim niet meer leesbaar: log in met een back-upcode, schakel tweestapsverificatie uit en daarna weer in.
- Laatste redmiddel:
define('CMP_DISABLE_2FA', true);in wp-config.php schort tweestapsverificatie voor de hele site op. Verwijder die regel zodra het probleem is opgelost. - Externe inlogsystemen die het standaard inlogformulier van WordPress omzeilen, worden mogelijk niet gedekt.
Begin gratis, stap over op Pro wanneer je eraan toe bent
De gratis versie verbergt WordPress al, verplaatst de inlogpagina, blokkeert XML-RPC en telt robots. Pro schermt het inloggen af, hernoemt bestandsadressen en bewaakt je sites voor je: bekende kwetsbaarheden, integriteit van de kern, activiteitenlogboek, e-mailwaarschuwingen en de updatestatus van al je sites in je accountomgeving. Vanaf € 59 per jaar excl. btw, veel minder dan de opschoondiensten waarvan we de prijzen hebben opgezocht. Vergelijk de kosten.
