Comment protéger votre compte WordPress avec une authentification à deux facteurs sur Ubuntu 14.04

La sécurité est l’un des aspects les plus importants de l’exploitation d’un site WordPress. Beaucoup d’entre nous sont tentés de penser que les pirates informatiques ne s’ennuieront pas de nos sites Web, mais en réalité, les tentatives de connexion non autorisées font partie du fonctionnement d’un serveur sur l’Internet public.

Dans ce didacticiel, nous allons apprendre à ajouter une couche de sécurité supplémentaire au processus de connexion dans WordPress: * authentification à deux facteurs *. C’est l’un des développements les plus importants dans le domaine de la cybersécurité.

L’authentification à deux facteurs ou «2FA» comprend deux étapes lors de la connexion à un site ou à un système:

Vous pouvez accéder à l’OTP de différentes manières:

Tandis que les systèmes à haut risque tels que les banques et les comptes de négociation utilisent la transmission par SMS pour les transactions sensibles, nous utiliserons le _ mode hors ligne_ de génération de l’OTP. L’utilisation d’une application mobile est gratuite et établit un équilibre optimal entre haute disponibilité, coût de mise en œuvre et facilité d’utilisation.

Dans cette étape, nous installerons le plugin Google Authenticator pour votre site WordPress.

image: https: //assets.digitalocean.com/articles/wordpress_2fa/1.png [Installez et activez le plug-in Google Authenticator pour WordPress]

Le moyen le plus simple d’installer le plugin est d’utiliser le tableau de bord WordPress. Connectez-vous à votre tableau de bord WordPress maintenant.

Suivez les étapes mentionnées ci-dessous pour une installation en douceur:

_ * Remarque: * S’il s’agit de la première installation d’un plug-in pour cette instance WordPress, vous devrez peut-être entrer vos informations d’identification SSH. Entrez votre nom d’utilisateur et votre mot de passe * utilisateur sudo * Linux (ou pour plus de sécurité, téléchargez une clé publique), puis sélectionnez l’option * SSH2 *. _

Dans cette étape, nous téléchargerons et installerons l’application OTP gratuite sur votre appareil mobile.

FreeOTP est une application à source ouverte qui prend en charge l’authentification à deux facteurs pour les systèmes dotés de protocoles de mot de passe à utilisation unique. En d’autres termes, c’est une alternative à Google Authenticator. Nous utiliserons cette application pour générer nos mots de passe à usage unique pour se connecter à notre site WordPress.

image: https: //assets.digitalocean.com/articles/wordpress_2fa/2.png [Application FreeOTP dans le Google Play Store]

FreeOTP est sponsorisé par RedHat et propose des applications pour Android et iOS. Voici des liens pour obtenir l’application et son projet officiel.

Dans cette étape, nous allons activer le plugin WordPress pour le profil d’administrateur WordPress et le configurer pour qu’il fonctionne avec notre application FreeOTP.

Dans le tableau de bord WordPress, accédez à la page * Profil * située sous * Utilisateurs> Votre profil *. Recherchez la sous-section intitulée * Paramètres de Google Authenticator *.

image: https: //assets.digitalocean.com/articles/wordpress_2fa/3.png [Configuration du plug-in Google Authenticator]

Jetons un coup d’œil aux différentes options de configuration du plugin:

image: https: //assets.digitalocean.com/articles/wordpress_2fa/4.png [scannez le code QR dans l’application freeotp]

Dans cette étape, nous vérifierons que l’authentification à deux facteurs est activée.

Déconnectez-vous de votre site WordPress et essayez de vous reconnecter. Vous devriez être accueilli avec le même écran de connexion, plus une zone de saisie * Code Google Authenticator *.

image: https: //assets.digitalocean.com/articles/wordpress_2fa/5.png [Formulaire de connexion WordPress activé 2fa]

Lancez l’application FreeOTP sur votre appareil mobile. Cliquez sur le bouton WordPress pour générer un nouveau mot de passe à usage unique.

Tapez cette valeur dans la zone de saisie. Vous devriez pouvoir vous connecter à WordPress.

Si vous perdiez votre téléphone, votre site WordPress serait bloqué. C’est un inconvénient majeur de la mise en œuvre de l’authentification à deux facteurs. Heureusement, nous avons une * solution très simple * pour une telle situation.

Tout ce que vous avez à faire est de désactiver le plug-in * Google Authenticator *.

Lancez le shell de votre DigitalOcean Droplet et accédez au répertoire + plugins +.

Renommez le dossier + google-authenticator en quelque chose d’autre.

Ceci désactive le plugin car WordPress ne pourra pas trouver le répertoire de travail du plugin.

Ensuite, connectez-vous à votre compte WordPress comme d’habitude. Cette fois, il ne demandera pas le jeton supplémentaire, mais simplement votre mot de passe habituel.

Une fois que vous avez accès au tableau de bord administrateur WordPress et que vous avez récupéré votre ancien appareil ou obtenu un nouvel appareil sur lequel FreeOTP est installé, vous devez activer le gain du plug-in. Depuis le shell de votre Droplet, utilisez la commande suivante:

+ mv 'google-authentator' +

Si vous utilisez votre ancien appareil, cela devrait suffire. Vous pouvez suivre * l’étape 4 * à nouveau pour tester le processus de connexion. Ou vous devrez peut-être accéder à * WP Dashboard> Plugins> Plugins installés * et réactiver le plugin Google Authenticator.

Accédez à votre profil utilisateur sous * Utilisateurs> Votre profil * et recherchez la sous-section * Paramètres de Google Authenticator *.

Si vous utilisez un nouveau périphérique cette fois-ci, cliquez sur * Créer un nouveau secret *. Un nouveau code QR est généré et l’ancien est annulé. Scannez le nouveau code QR sur votre nouveau appareil. C’est la même chose que nous avons faite lorsque nous avons activé l’authentification à deux facteurs et connecté l’application FreeOTP comme illustré à la * Étape 3 *.

Vous pouvez également désactiver l’authentification à deux facteurs jusqu’à ce que vous trouviez votre appareil. Une fois que vous avez sélectionné l’option appropriée, veillez à enregistrer les modifications en cliquant sur le bouton * Mettre à jour le profil *.