Zugang Website nur mit 2 Faktor Authentifizierung erstellen

Wie der Name schon sagt, ist eine 2-Faktor-Authentifikation eine Authentifikation mit zwei getrennten Authentifizierungsmethoden, also z.B.

• Passwort und One-Time-Password
  (errechnet durch App wie Google Authenticator)
• Passwort und per E-Mail erhaltener Token
• Passwort und Eingabe eine UF2-Keys (z.B. Yubikey)

Der zweite Faktor ist immer personalisiert: Es wird das One-Time-Password-Geheimnis eines einzelnen Benutzers verwendet, dessen E-Mail-Adresse oder dessen persönlicher UF2-Key.

Wenn du also eine komplette Website sperren und eine 2-Faktor-Authentifikation erreichen möchtest, brauchst du mehrere registrierte Benutzer (oder zumindest einen, siehe unten).

Die müssen nach der Anmeldung nicht zwangsläufig im Backend landen. Für eine automatische Weiterleitung zur Startseite kannst du z.B. diese Funktion mit dem Plugin Code Snippets im Backend eintragen:

function wpdocs_my_login_redirect( $url, $request, $user ) {
    if ( $user && is_object( $user ) && is_a( $user, 'WP_User' ) ) {
        if ( $user->has_cap( 'administrator' ) ) {
            $url = admin_url();
        } else {
            $url = home_url();
        }
    }
    return $url;
}
 
add_filter( 'login_redirect', 'wpdocs_my_login_redirect', 10, 3 );

(Quelle: WordPress Dokumentation)

Für das Intranet eines Kaninchenzüchtervereins könntest du auch ein für alle Anwender genutztes Account anlegen und den Mitgliedern mitteilen, dass sie als Benutzername „Mitglied“, als Passwort „Rudi-der-Rammler“ und als Geheimnis für das One-Time-Password einen beigefügten QR-Code verwenden sollen. Damit jetzt keiner auf die schlaue Idee kommt, das Passwort zu ändern (und damit den Zugang für andere Mitglieder zu sperren), kannst du das Plugn Plainview Protect Passwords nutzen (ist schon etwas älter und nicht aktiv gepflegt, sollte aber funktionieren).

Möchtest du keine individuellen Nutzer, gibt es auch keine 2-Faktor-Authentifikation. Hier kannst du das von Hans-Gerd erwähnte Plugin Password Protected nutzen. Reicht dir das nicht, kannst du zusätzlich die gesamte Website mit einem .htpassword schützen, das ebenfalls eine Kombination aus (willkürlich gewähltem) Nutzernamen und Passwort abfragt. Hierfür brauchst du dann keine Benutzer in WordPress anlegen. Dazu trägst du in der .htaccess oberhalb des von WordPress eingefügten Blocks sinngemäß folgendes ein:

AuthType Basic
AuthName "Passwortgeschützter Bereich"
AuthUserFile /[pfad-zu-deinem-webstammverzeichnis]/.htpasswd
require valid-user Mitglied

Mit einem Passwort-Generator (z.B. https://hostingcanada.org/htpasswd-generator/) kannst du dann das Passwort in einen Hashwert übertragen, den du in einer neuen Datei .htpasswd einträgst.

Was muss ich in dem Code noch anpassen?
Ich kann nicht programmieren, frei übersetzt steht da
wenn der (angemeldete) User ein Administrator ist, soll er zur admin_url kommen, wenn er kein Administrator ist, soll er zur home_url kommen.

Ja, genau. Was gefällt dir daran nicht? 🙂

@ Hans-Gerd: natürlich ginge es mit einem starken Passwort. Aber das sehe ich persönlich als komplizierter (bei der Eingabe) und unsicherer an.

Hm, das sehe ich entschieden anders.

Ein starkes Passwort braucht nur ausreichend lang sein und eine gewisse Entropie haben.

type-quickly-prove
above-firm-left
like-voice-entered
musik-tannenzapfen-fahrrad

sind Passwörter, die nicht kompliziert zu tippen, aber für ein Brute-Force-Skript wegen der Länge des Passworts immer noch schwer zu knacken sind. Leuten, die technisch weniger versiert (oder interessiert?) sind, die Anwendung einer OTP-App zu erklären (und vorauszusetzen, dass jeder über ein entsprechendes Gerät zur Nutzung verfügt), dürfte komplizierter werden.

Ich halte die Nutzung einer 2-Faktor-Authentifikation für einen breiten Benutzerkreis mit Abonennten-Accounts für ziemlich vermurkst. (Webshop ist was anderes!)

Du musst nur das Plugin Code Snippets installieren und den von Bego geposteten Code da als Snippet zu speichern. Das hat mit der URL nichts zu tun.

Bego war flotter und hat das exakter beschrieben 🚀

• Diese Antwort wurde vor 4 Jahren, 7 Monaten von Hans-Gerd Gerhards geändert.