Двухэтапная авторизация в WordPress без плагинов: практическое руководство

Почему нужна двухэтапная авторизация в WordPress

Двухэтапная авторизация (2FA) значительно повышает безопасность сайта, добавляя дополнительный уровень проверки пользователя при входе. Это особенно актуально для администраторов и редакторов, чьи аккаунты имеют расширенные права.

Встроенных механизмов 2FA в WordPress нет, а плагины часто вызывают конфликты или замедляют сайт. В этой статье покажу, как реализовать 2FA с помощью кастомного кода, используя Google Authenticator, без сторонних плагинов.

Диагностика проблемы: как понять, что 2FA нужен именно вам

Если вы:

• Испытываете подозрение на взлом сайта или подозрительную активность;
• Имеете несколько администраторов с разными уровнями доступа;
• Используете простые пароли или не уверены в безопасности текущих;
• Храните на сайте чувствительные данные;

— двухэтапная авторизация поможет минимизировать риски взлома.

Пошаговое решение: реализация 2FA через Google Authenticator

Шаг 1. Установка библиотеки PHP для генерации OTP

Используем библиотеку sonata-project/google-authenticator. Установите её через Composer в корне сайта:

composer require sonata-project/google-authenticator

Если Composer не используется, можно скачать библиотеку и подключить вручную, но Composer предпочтительнее.

Шаг 2. Добавляем поле 2FA для пользователей

В файл functions.php темы или в собственный плагин добавьте код для генерации и сохранения секретного ключа:

use Sonata\GoogleAuthenticator\GoogleAuthenticator;
use Sonata\GoogleAuthenticator\GoogleQrUrl;

add_action('show_user_profile', 'wplessons_show_2fa_field');
add_action('edit_user_profile', 'wplessons_show_2fa_field');

function wplessons_show_2fa_field($user) {
    $secret = get_user_meta($user->ID, 'wplessons_2fa_secret', true);
    if (!$secret) {
        $g = new GoogleAuthenticator();
        $secret = $g->generateSecret();
        update_user_meta($user->ID, 'wplessons_2fa_secret', $secret);
    }
    $qrCodeUrl = GoogleQrUrl::generate($user->user_login, $secret, 'wplessons');
    echo '<h3>Двухэтапная авторизация (2FA)</h3>';
    echo '<p>Отсканируйте QR-код в приложении Google Authenticator или аналогичном:</p>';
    echo '<img src="' . esc_url($qrCodeUrl) . '" alt="QR код 2FA">';
    echo '<p>Если вы не можете сканировать QR-код, используйте ключ: <code>' . esc_html($secret) . '</code></p>';
}

Шаг 3. Проверка кода 2FA при входе

Добавим проверку второго фактора при попытке авторизации. Для этого используем хук wp_authenticate_user:

add_filter('wp_authenticate_user', 'wplessons_verify_2fa', 10, 2);
function wplessons_verify_2fa($user, $password) {
    if (is_wp_error($user)) {
        return $user;
    }

    // Разрешаем вход в админ-зону только с 2FA
    if (is_admin()) {
        if (empty($_POST['wplessons_2fa_code'])) {
            return new WP_Error('2fa_required', __('Требуется код двухэтапной авторизации.'));
        }

        $secret = get_user_meta($user->ID, 'wplessons_2fa_secret', true);
        if (!$secret) {
            return $user; // Если 2FA не настроена, пропускаем
        }

        $g = new GoogleAuthenticator();
        $code = sanitize_text_field($_POST['wplessons_2fa_code']);
        if (!$g->checkCode($secret, $code)) {
            return new WP_Error('2fa_invalid', __('Неверный код двухэтапной авторизации.'));
        }
    }

    return $user;
}

Шаг 4. Добавляем поле ввода кода 2FA на страницу входа

Для этого используем хук login_form:

add_action('login_form', 'wplessons_add_2fa_input_field');
function wplessons_add_2fa_input_field() {
    echo '<p><label for="wplessons_2fa_code">Код двухэтапной авторизации</label><br>';
    echo '<input type="text" name="wplessons_2fa_code" id="wplessons_2fa_code" class="input" value="" size="20" /></p>';
}

Как проверить, что двухэтапная авторизация работает

• Зайдите в профиль пользователя и убедитесь, что отображается QR-код и секретный ключ.
• При выходе с сайта и повторном входе в админ-панель должно появляться поле для ввода кода 2FA.
• Попробуйте ввести неправильный код — вход будет заблокирован с сообщением об ошибке.
• Введите правильный код из приложения Google Authenticator — вход должен пройти успешно.

Частые ошибки при реализации 2FA и их исправление

• Ошибка: Код 2FA не проверяется или всегда отклоняется.
  Причина: Неправильное время сервера или несовпадение секретного ключа.
  Решение: Синхронизируйте время сервера, убедитесь, что секретный ключ корректно сохраняется и используется.
• Ошибка: Нет поля для ввода кода 2FA на странице входа.
  Причина: Хук login_form не сработал из-за конфликта с другими плагинами или темой.
  Решение: Проверьте порядок подключения кода, отключите конфликтующие плагины для теста.
• Ошибка: Пользователь не может войти, хотя код правильный.
  Причина: Кэширование страницы входа или AJAX-запросы мешают правильной обработке.
  Решение: Отключите кэширование на странице входа, проверьте консоль браузера на ошибки JS.

Практические советы по безопасности и производительности

• Сохраняйте секретные ключи 2FA в user_meta с префиксом, чтобы избежать конфликтов.
• Регулярно проверяйте логи попыток входа и ошибок 2FA.
• Для больших сайтов с множеством пользователей подумайте о кешировании запросов и оптимизации базы данных.
• Не храните секреты в открытом виде в базе — можно использовать шифрование с помощью openssl_encrypt.
• Используйте SSL (HTTPS) для защиты данных при авторизации.

Сравнение вариантов реализации 2FA