Двухфакторная аутентификация в WordPress

miniOrange 2-factor

Использую сейчас этот плагин для бесплатной двухфакторной аутентификации по паролю + OTP (one-time-password) из Google Authenticator, полет нормальный. Не auth0 конечно по дизайну/функционалу, но плагин не заброшен, а это в безопасности зачастую куда важнее. Да и настройки никакой не требует, в отличии от auth0, что снижает порог входа.

 

Auth0

Использовал сначала auth0, но они его перестали поддерживать (нет версий для актуальных wordpress) и не решали баги, которые не позволяли нормально обновляться. В конце концов устал ждать и удалил.. а жаль, решение очень прокаченное по функционалу.

Как настраивал:

Для настройки в wordpress плагина auth0, в настройках auth0 нужно указать адрес домена, на который будет редирект при аутентификации и уникальные client_id/client_secret. В настройках API нужно указать адрес своего сайта, на который будет произведен редирект после аутентификации.

$auth0 = new Auth0(array(
 'domain' => 'weril.auth0.com',
 'client_id' => 'xxxxx',
 'client_secret' => 'xxxxx',
 'redirect_uri' => 'http://weril.me/callback'
));

Через Plugin auth0 сделал двухфакторную аутентификацию в WordPress  и оключил аутентификацию по умолчанию. Сначала делал по sms, но оказалось, что SMS в auth0 только через Сервис twilio (дается сто бесплатных и до 10 в час). Все бы клево, только в списке номеров нет России (хотя при регистрации смс от twilio придет). В результате сделал через Google Authentication. Тупил только тут, не понимал почему не работает, хотя нужно было просто прочитать – не вводил ClientID свой в коде перед апдейтом.

Чтобы отключить регистрацию пользователей в Database -> Settings ставим Disable Sign Ups. Новых пользователей при желании можно создать в WEB auth0.

Check this if you want to prevent sign ups to your application. You will still be able to create users with your api credentials or from the dashboard.

Чтобы сбросить токен (поменялось устройство) в лк auth0 тыкаем:

Users -> User -> Actions -> Reset Multi Factor (Google)

Leave a Reply

Your email address will not be published. Required fields are marked *