Bir editörün parolası başka bir hizmetteki veri ihlalinde açığa çıktığında, ikinci faktör saldırganın WordPress oturumunu tamamlamasını engelleyebilir. Ancak 2FA aceleyle zorunlu tutulursa bu kez telefonunu kaybeden veya doğrulayıcı uygulamasını değiştiren gerçek kullanıcılar site dışında kalabilir.
Sağlam bir kurulum yalnızca bir seçeneği açmaktan ibaret değildir. Hangi hesapların korunacağını belirlemek, her kullanıcıyı kendi cihazıyla kaydetmek, kurtarma kodlarını güvenli yerde saklamak ve acil erişim yolunu önceden sınamak gerekir.
İki faktörlü kimlik doğrulama nedir?
İki faktörlü kimlik doğrulama, giriş sırasında farklı kategorilerden iki kanıt ister. WordPress parolası kullanıcının bildiği bilgidir; doğrulayıcı uygulamadaki süreli kod veya fiziksel güvenlik anahtarı ise kullanıcının sahip olduğu ikinci faktördür. Aynı e-posta hesabına gönderilen iki ayrı kod her zaman bağımsız iki faktör sayılmaz.
En yaygın yöntem TOTP tabanlı doğrulayıcı uygulamadır. Kodların çalışması için sunucu ve telefon saatinin doğru olması gerekir. Kullanılan eklenti veya güvenlik çözümü WebAuthn, güvenlik anahtarı ya da yedek kodlar da sunuyorsa bunların kayıt ve kurtarma davranışı ayrı ayrı sınanmalıdır.
Gerçekçi bir WordPress örneği
Bir WooCommerce sitesinde yöneticiler ve mağaza sorumluları 2FA kullanırken müşteriler yalnızca parolayla giriş yapar. Ekip önce ayrı bir deneme yöneticisini kaydeder, iki ardışık TOTP koduyla girişi doğrular ve tek kullanımlık kurtarma kodunu güvenli bir kasada saklar. Pilot hesap sorunsuz çalıştıktan sonra zorunluluk diğer yetkili rollere kademeli olarak uygulanır.
Telefonunu değiştiren bir yönetici, eski cihazı silmeden önce yeni doğrulayıcıyı kaydeder. Cihaz kaybolmuşsa kimliği kurumun belirlediği yöntemle doğrulanır; ikinci faktör yalnızca yetkili kişi tarafından sıfırlanır ve bu işlem güvenlik kaydına eklenir.
Neden ve ne zaman kullanılmalı?
2FA özellikle yönetici, editör, mağaza yöneticisi, destek personeli ve site yapılandırmasını değiştirebilen diğer hesaplarda önemlidir. Parola yeniden kullanımı, kimlik avı veya sızdırılmış kimlik bilgileri riskini azaltır; fakat zayıf parola, gereğinden geniş yetki ya da ele geçirilmiş bir yönetici oturumunu tek başına çözmez.
Dağıtımın kapsamı role ve tehdide göre belirlenmelidir. Ortak yönetici hesapları yerine kişisel hesaplar kullanılmalı, otomasyon ve entegrasyon kullanıcıları etkileşimli giriş hesaplarından ayrılmalıdır. 2FA zorunluluğu getirilmeden önce erişilebilirlik ihtiyacı ve çevrim dışı çalışan ekiplerin koşulları da değerlendirilmelidir.
Temel kurulum adımları
- Güncel bir yedek alın ve işlem boyunca ikinci bir yönetici oturumunu açık tutun.
- Önce yalnızca bir deneme yöneticisinde 2FA’yı etkinleştirin.
- QR kodunu veya gizli anahtarı kişisel doğrulayıcıya kaydedin; gizli anahtarı ekran görüntüsüyle paylaşmayın.
- Art arda iki giriş deneyerek süreli kodların doğru çalıştığını doğrulayın.
- Kurtarma kodlarını üretin, şifreli ve hesap sahibinden bağımsız bir yerde saklayın.
- Pilot tamamlandıktan sonra 2FA’yı önce yetkili rollere, ardından gerekiyorsa diğer kullanıcılara uygulayın.
İleri düzey denetimler
Kayıt, faktör değiştirme ve faktör sıfırlama işlemleri normal giriş kadar sıkı korunmalıdır. Saldırgan mevcut oturumu ele geçirip kendi doğrulayıcısını ekleyebiliyorsa 2FA beklenen korumayı sağlamaz. Bu nedenle yeniden doğrulama, yönetici onayı ve kayıt bildirimi gibi seçenekleri destekleyen çözüm tercih edilmelidir.
- Sunucu saatini NTP ile eşitleyin; sürekli reddedilen TOTP kodlarında önce saat sapmasını kontrol edin.
- Rol değişikliklerinin 2FA politikasını doğru uyguladığını doğrulayın.
- Hatırlanan cihaz özelliği kullanılıyorsa süresini, çerez güvenliğini ve iptal davranışını sınayın.
- Parola sıfırlama, REST API, XML-RPC ve uygulama parolalarının 2FA politikasındaki yerini açıkça belirleyin.
- Faktör sıfırlama taleplerini, gizli anahtarları kaydetmeden, tarih ve onay bilgisiyle izleyin.
Riskler, yedek ve geri dönüş
En büyük operasyonel risk, bütün yöneticilerin aynı anda dışarıda kalmasıdır. 2FA’yı herkese tek seferde zorunlu tutmayın; pilot hesap, açık yönetici oturumu ve belgelenmiş sunucu erişimi olmadan dağıtıma başlamayın. Kurtarma kodlarını WordPress hesabının e-postasında veya aynı telefonda saklamak da tek hata noktasını ortadan kaldırmaz.
Giriş başarısız olursa önce saat sapmasını, doğru kullanıcı hesabını ve seçilen yöntemi kontrol edin. Geri dönüş gerekiyorsa yalnız 2FA zorunluluğunu, ürünün desteklediği güvenli yöntemle ve belirli hesaplar için kaldırın. Eklentiyi dosya sisteminden rastgele silmek kullanıcı meta verisini veya diğer güvenlik ayarlarını belirsiz bırakabilir.
AIOWS nasıl yardımcı olur?
AIOWS Giriş Yöneticisi
AIOWS Giriş Yöneticisi, desteklenen giriş koruması ve doğrulama ayarlarını WordPress yönetiminde tek yerde incelemeye yardımcı olur. 2FA dağıtımında bu merkezî görünüm, pilot hesapta yapılan değişiklikle diğer giriş kurallarını birbirinden ayırmayı kolaylaştırır. Böylece özel giriş yolu, IP kuralları veya başka bir koruma aynı anda değiştirilmeden yalnız hedeflenen doğrulama ayarı sınanabilir.
Kuruluma başlamadan önce mevcut ayarları kaydedin, çalışan bir yönetici oturumunu açık tutun ve kurtarma yolunu doğrulayın. Değişiklikten sonra normal girişin yanı sıra yanlış kodu, süresi dolmuş kodu, kurtarma kodunu, parola sıfırlamayı ve rol değişikliğini de deneyin. IP tabanlı bir kural kullanılıyorsa reverse proxy’nin gerçek istemci adresini doğru ilettiğinden emin olun; aksi hâlde güvenilir kullanıcı engellenebilir veya kural beklenmedik biçimde genişleyebilir.
Giriş Yöneticisi güçlü parola, en az yetki, güvenli hosting ve olay müdahalesinin yerine geçmez. Ayrıca üçüncü taraf doğrulayıcı uygulamasını, kullanıcının telefonunu veya kurumun kimlik doğrulama sürecini yönetmez. Bir sorun oluştuğunda yeni kurallar eklemek yerine son değişikliği geri alın, bilinen çalışan giriş davranışını yeniden doğrulayın ve faktör sıfırlamasını yetkili süreç üzerinden tamamlayın.
AIOWS Giriş Yöneticisi’ni inceleyinAIOWS planlarını karşılaştırın
İlgili AIOWS yazıları
- WordPress giriş denemelerini sınırlandırma
- 2FA telefonunu kaybeden kullanıcı için erişim kurtarma
- WordPress giriş loglarını okuma
Sonuç
Önce tek bir yöneticiyle pilot kurulum yapın, olağan girişi ve kurtarmayı doğrulayın, ardından politikayı rol bazında genişletin. Güvenli bir 2FA kurulumu; benzersiz parola, kişisel hesap, bağımsız ikinci faktör ve önceden sınanmış kurtarma yolunu birlikte kullanır.
