Elija un complemento para la autenticación de dos factores en Wordpress

• Sitio web en Wordpress versión 5.3.2 (la más relevante en ese momento);
• el motor se implementa en modo multisitio junto con nginx;
• No quiero pagar dinero (bueno, como siempre).

• Autenticador de Google de miniOrange ;
• Autenticación de dos factores de David Nutbourne y David Anderson ;
• Dos factores por contribuidores de complementos ;
• Seguridad de inicio de sesión de Wordfence por Wordfence .

Resultados de inspección y pruebas

Autenticador de Google de miniOrange

• autenticación de dos factores de un usuario;
• Soporte para Google Authenticator, Authy, LastPass Authenticator, códigos QR, notificaciones PUSH, Soft Token y preguntas;
• prevenir ataques de fuerza bruta y bloquear direcciones IP;
• monitoreo de eventos de inicio de sesión;
• multilingüismo

• autenticación de dos factores de múltiples usuarios (pago por el número de usuarios);
• Soporte para canales OTP adicionales, por ejemplo, OTP por correo electrónico, OTP por SMS (los servicios de SMS se compran por separado), confirmación por correo electrónico;
• personalización de métodos de inicio de sesión para varias cuentas;
• Uso de problemas de seguridad para restaurar el acceso
• soporte multisitio;
• redirigir a los usuarios después de iniciar sesión en función del rol del usuario;
• Administración confiable de dispositivos

• la configuración se establece inmediatamente para toda la red en modo multisitio, solo en versiones pagas;
• la posibilidad de usar la autenticación de dos factores se puede proporcionar a uno o varios roles, solo en versiones pagas;
• «» — ;
• graceful — ;
• — ;
• X — ;
• IP-, — ;
• XMLRPC — ;
• ReCaptcha — ;
• ReCaptcha ( ) — ;
• Google Authenticator — .

Two Factor Authentication

• aplicar la autenticación de dos factores a un rol específico del sitio (se puede habilitar para administradores, pero no para suscriptores);
• la capacidad de deshabilitar al usuario;
• Soporte multisitio.

• la capacidad de forzar la autenticación de dos factores para que se habilite algún tiempo después de crear una cuenta (por ejemplo, para todas las cuentas de administrador anteriores a una semana);
• los propietarios del sitio pueden especificar dispositivos confiables para los cuales se ejecutará una solicitud de autenticación adicional una vez cada pocos días, y no cada vez que inicie sesión en el sistema;
• soporte para formularios de inicio de sesión de terceros;
• .

• multisite — ;
• — ;
• «» — Premium ;
• graceful — ;
• — ;
• 30 — Premium ;
• IP-, — ;
• XMLRPC — ;
• en la ventana de configuración, puede habilitar Captcha y configurar el umbral para su funcionamiento; no hay posibilidad;
• Captcha se puede ejecutar en modo de prueba (sin bloquear usuarios): no hay posibilidad;
• al conectar Google Authenticator, se propone descargar códigos de recuperación, solo en la versión Premium.

Dos factores

• use el correo electrónico para enviar códigos de autenticación de dos factores;
• códigos de respaldo;
• Método ficticio para fines de prueba.

• No encontré la configuración de la red o el sitio, todas las configuraciones encontradas se encontraban solo en el perfil del usuario; esto es malo;
• - , — - ;
• — email , , , email, , ;
• , .

Wordfence Login Security

• autenticación de dos factores usando Google Authenticator, Authy, 1Password, FreeOTP;
• habilitar OTP para cualquier rol del sitio;
• falta de restricciones de cualquier tipo;
• Agregue Google Recaptha v3 para las páginas de inicio de sesión y registro
• protección contra bots;
• protección contra el descifrado de contraseñas y la interceptación de credenciales mediante el bloqueo de grandes grupos de IP;
• Protección XMLRPC con autenticación de dos factores o deshabilitar esta funcionalidad.

• la configuración se establece inmediatamente para toda la red en modo multisitio; esto es muy bueno;
• La posibilidad de utilizar la autenticación de dos factores se puede proporcionar a uno o varios roles; esto es muy bueno;
• para el grupo Administradores, puede forzar la habilitación de la autenticación de dos factores: esto es bueno (si se le permitiera hacer esto para cada grupo de usuarios, sería muy bueno);
• cuando lo fuerza, puede establecer el período de gracia y enviar notificaciones; esto es muy bueno;
• inclusión forzada para un usuario específico: no disponible (al menos en la versión gratuita);
• hay una opción para habilitar la confianza en el dispositivo durante 30 días; esto es bueno;
• puede especificar una lista blanca de direcciones IP para las que no se utilizará la autenticación de dos factores; esto es muy bueno (nos facilitará realizar pruebas de seguridad automatizadas);
• la autenticación de dos factores para XMLRPC se incluye por separado; esto es bueno;
• en la ventana de configuración, puede habilitar ReCaptcha y configurar su umbral; esto es bueno;
• ReCaptcha se puede ejecutar en modo de prueba (sin bloquear usuarios), esto es bueno;
• al conectar Google Authenticator, se propone descargar códigos de recuperación; esto es bueno.

recomendaciones