❄️ 👩🏿‍🤝‍👨🏽 👨🏾‍🤝‍👨🏽 اختر مكونًا إضافيًا للمصادقة الثنائية في Wordpress 🚴🏼 🤛🏽 🚵

تعمل المصادقة ذات العاملين على زيادة مستوى أمان الموقع بشكل ملحوظ ، وفقًا للظروف المتبقية (مثل التحديث في الوقت المناسب لمحرك السمة ، والمكونات الإضافية ، وتطبيق ممارسات البرمجة الآمنة ، وما إلى ذلك).

في مواجهة مسألة ربط Google Authenticator بموقع على Wordpress ، أجريت بحثًا بسيطًا حول المكونات الإضافية الحالية وأريد اليوم مشاركة نتائج هذا العمل معك.

بادئ ذي بدء ، نشير إلى الشروط الأولية:

موقع الويب على Wordpress الإصدار 5.3.2 (الأكثر ملاءمة في ذلك الوقت) ؛
يتم نشر المحرك في الوضع متعدد المواقع بالاشتراك مع nginx ؛
لا أريد أن أدفع المال (كما هو الحال دائمًا).

على الرغم من وفرة المكونات الإضافية المناسبة للمهمة ، تم اختبار أربعة منها فقط ، والتي اجتازت اختبار التوافق مع الإصدار المثبت من Wordpress:

أداة مصادقة Google من miniOrange ؛
مصادقة عاملين من ديفيد نوتبورن وديفيد أندرسون ؛
عاملين من قبل المساهمين البرنامج المساعد .
Wordfence تسجيل الدخول الأمن من قبل Wordfence .

نتائج الفحص والاختبار

أداة مصادقة Google من miniOrange

صفحة المكوّن الإضافي: wordpress.org/plugins/miniorange-2-factor-authentication

الميزات المعلنة للإصدار المجاني من المكوّن الإضافي لـ Google Authenticator من miniOrange:

المصادقة ذات العاملين لمستخدم واحد ؛
دعم Google Authenticator و Authy و LastPass Authenticator ورموز QR وإشعارات PUSH و Soft Token والأسئلة ؛
منع هجمات القوة الغاشمة وحظر عناوين IP ؛
مراقبة أحداث تسجيل الدخول ؛
التعددية اللغوية.

الميزات الرئيسية للإصدارات المدفوعة من المكوّن الإضافي لـ Google Authenticator miniOrange:

المصادقة الثنائية بعدة مستخدمين (الدفع بعدد المستخدمين) ؛
دعم قنوات OTP إضافية ، على سبيل المثال ، OTP عبر البريد الإلكتروني ، OTP عبر SMS (يتم شراء خدمات SMS بشكل منفصل) ، تأكيد البريد الإلكتروني ؛
تخصيص طرق تسجيل الدخول للحسابات المختلفة ؛
استخدام مشكلات الأمان لاستعادة الوصول
دعم متعدد المواقع ؛
إعادة توجيه المستخدمين بعد تسجيل الدخول بناءً على دور المستخدم ؛
إدارة الجهاز الموثوق بها

بعد تثبيت وتفعيل المكون الإضافي ، يتم تقديم كمية لا تصدق من الإعدادات والوظائف لمسؤول الموقع. هنا يمكنك العثور على كل شيء من WAF إلى النسخ الاحتياطي التلقائي لقاعدة البيانات المجدولة. بصراحة ، يخافني الحصادون من هذا النوع دائمًا ، وتظهر الممارسة أنه نظرًا لوفرة الوظائف ، غالبًا ما يترك عمق تنفيذها الكثير مما هو مرغوب فيه.

نتائج الإختبار:

يتم تعيين الإعدادات فورًا للشبكة بالكامل في الوضع متعدد المواقع - فقط في الإصدارات المدفوعة ؛
يمكن توفير إمكانية استخدام المصادقة الثنائية لدور واحد أو عدة أدوار - فقط في الإصدارات المدفوعة ؛
«» — ;
graceful — ;
— ;
X — ;
IP-, — ;
XMLRPC — ;
ReCaptcha — ;
ReCaptcha ( ) — ;
Google Authenticator — .

Two Factor Authentication

صفحة المكوِّن الإضافي: wordpress.org/plugins/two-factor-authentication

الميزات المعلنة للإصدار المجاني من المكوّن الإضافي للمصادقة الثنائية:

تطبيق المصادقة ذات العاملين على دور محدد للموقع (يمكن تمكينه للمسؤولين ، ولكن لا يمكن تمكينه للمشتركين) ؛
القدرة على تعطيل المستخدم ؛
دعم متعدد المواقع.

الميزات الرئيسية للإصدار المدفوع من المكون الإضافي للمصادقة الثنائية:

القدرة على فرض تمكين المصادقة الثنائية لبعض الوقت بعد إنشاء حساب (على سبيل المثال ، لجميع حسابات المسؤول الأقدم من أسبوع) ؛
يمكن لمالكي المواقع تحديد الأجهزة الموثوقة التي سيتم تنفيذ طلب مصادقة إضافي لها مرة كل بضعة أيام ، وليس في كل مرة تقوم فيها بتسجيل الدخول إلى النظام ؛
دعم نماذج تسجيل الدخول من جهات خارجية ؛
.

multisite — ;
— ;
«» — Premium ;
graceful — ;
— ;
30 — Premium ;
IP-, — ;
XMLRPC — ;
في نافذة الإعدادات ، يمكنك تمكين Captcha وتكوين العتبة لتشغيلها - لا توجد إمكانية ؛
يمكن تشغيل كلمة التحقق في وضع الاختبار (بدون حظر المستخدمين) - لا توجد إمكانية ؛
عند توصيل Google Authenticator ، يُقترح تنزيل رموز الاسترداد - فقط في إصدار Premium.

عاملين

صفحة المكوِّن الإضافي: wordpress.org/plugins/two-factor

المكوِّن الإضافي المكون من عاملين من فريق المساعدين الإضافيين هو مكوّن إضافي مفتوح المصدر ويقدم الخيارات التالية:

استخدام البريد الإلكتروني لإرسال رموز المصادقة ذات العاملين ؛
الرموز الاحتياطية ؛
طريقة وهمية لأغراض الاختبار.

نتائج الإختبار:

لم أجد إعدادات الشبكة أو الموقع ، تم العثور على جميع الإعدادات الموجودة فقط في ملف تعريف المستخدم - هذا سيئ ؛
- , — - ;
— email , , , email, , ;
, .

Wordfence Login Security

صفحة المكون الإضافي: wordpress.org/plugins/wordfence-login-security

يعد Wordfence Login Security جزءًا منعزلاً من المكون الإضافي الشامل لـ Wordfence Security .

يوفر Wordfence Login Security الميزات التالية مجانًا:

المصادقة الثنائية باستخدام Google Authenticator ، Authy ، 1Password ، FreeOTP ؛
تمكين OTP لأي دور موقع ؛
عدم وجود قيود من أي نوع ؛
أضف Google Recaptha v3 لصفحات تسجيل الدخول والتسجيل
الحماية من الروبوتات ؛
الحماية من اختراق كلمة المرور واعتراض بيانات الاعتماد من خلال حجب مجموعات IP كبيرة ؛
حماية XMLRPC مع المصادقة الثنائية أو تعطيل هذه الوظيفة على الإطلاق.

نظرًا لأن هذا المكون الإضافي هو نسخة مبسطة من منتج تجاري معقد ، فمن المحتمل جدًا أنه لن يلبي أبسط الاحتياجات.

نتائج الإختبار:

يتم تعيين الإعدادات فورًا للشبكة بالكامل في الوضع متعدد المواقع - وهذا جيد جدًا ؛
يمكن توفير إمكانية استخدام المصادقة الثنائية لدور واحد أو عدة أدوار - وهذا أمر جيد جدًا ؛
بالنسبة لمجموعة المسؤولين ، يمكنك فرض تمكين المصادقة الثنائية - وهذا أمر جيد (إذا تم السماح لك بذلك لكل مجموعة من المستخدمين ، فسيكون ذلك جيدًا جدًا) ؛
عند فرض يمكنك تعيين فترة رشيقة وإرسال إخطارات - هذا جيد جدا ؛
التضمين القسري لمستخدم معين - غير متوفر (على الأقل في الإصدار المجاني) ؛
هناك خيار لتمكين الثقة في الجهاز لمدة 30 يومًا - هذا أمر جيد ؛
يمكنك تحديد قائمة بيضاء بعناوين IP التي لن يتم استخدام المصادقة ذات العاملين فيها - وهذا جيد جدًا (سيجعل الأمر أسهل بالنسبة لنا لإجراء اختبار الأمان التلقائي) ؛
يتم تضمين المصادقة ذات العاملين لـ XMLRPC بشكل منفصل - هذا أمر جيد ؛
في نافذة الإعدادات ، يمكنك تمكين ReCaptcha وتكوين حده - هذا أمر جيد ؛
يمكن تشغيل ReCaptcha في وضع الاختبار (بدون حظر المستخدمين) - هذا أمر جيد ؛
عند توصيل Google Authenticator ، يُقترح تنزيل رموز الاسترداد - وهذا أمر جيد.

في الوضع متعدد المواقع ، عمل المكون الإضافي بشكل صحيح مع جميع المواقع المتصلة ومع جميع المستخدمين (مسجلة في جميع المواقع / على أحد مواقع الشبكة).

الموجودات

بالنسبة إلى مدونة شخصية أو موقع واحد صغير ، حيث سيكون هناك مستخدم واحد أو أكثر ، فقد يكون المكون الإضافي ذو العاملين من Plugin Contributes مناسبًا . هذا هو الحل البسيط الذي سيسمح لك بالحصول على الوظيفة الرئيسية دون إعلانات وطلبات مزعجة للدفع مقابل كعكة معينة.

بالنسبة إلى الوضع متعدد المواقع وتلبية رغبات دفع المصادقة ، وعدم دفع المال مقابل ذلك ، فإن أفضل خيار ، في رأيي ، هو المكون الإضافي لـ Wordfence Login Security.

بالنسبة لنفس الوضع متعدد المواقع ، إذا كنت ترغب في دفع المصادقة والاستعداد للدفع مقابل الوظائف المطلوبة ، فقد يكون المكون الإضافي للمصادقة الثنائية مناسبًا.

لا تطرح MiniOrange أي توصيات تتعلق بـ Google Authenticator ، لأنها لم تعمل بشكل خاص على وظيفة المصادقة الثنائية وإدارة هذه الوظيفة في الإصدار المجاني ، وأنا دائمًا حريص جدًا بشأن هذا النوع من الحاصدة.