Как добавить двухуровневую авторизацию в WordPress: практическое руководство

Автор: Максим Карпов | Опубликовано: 11.03.2026

В современном веб-пространстве безопасность сайтов становится одной из приоритетных задач, особенно для платформы WordPress, которая является самой популярной CMS в мире. Одним из эффективных способов повысить защиту учетных записей пользователей и администратора является двухуровневая авторизация (двухфакторная аутентификация, 2FA). В этой статье мы подробно рассмотрим, как добавить двухуровневую авторизацию в WordPress, используя готовые плагины и собственные решения.

Что такое двухуровневая авторизация и зачем она нужна в WordPress

Двухуровневая авторизация — это метод проверки личности пользователя с помощью двух независимых факторов. Обычно это что-то, что пользователь знает (пароль), и что-то, что у него есть (например, код из мобильного приложения или SMS).

Основная цель 2FA — предотвратить несанкционированный доступ даже в случае, если пароль пользователя был скомпрометирован. Для WordPress это особенно важно из-за частых попыток взлома через подбор паролей и уязвимости плагинов.

Преимущества двухфакторной аутентификации

Значительное повышение уровня безопасности.
Защита от фишинговых атак и кражи паролей.
Простая интеграция с большинством сайтов на WordPress.
Поддержка мобильных приложений для генерации кодов (Google Authenticator, Authy и др.).

Как реализовать двухуровневую авторизацию в WordPress самостоятельно

Для разработчиков и тех, кто хочет гибко контролировать процесс, возможно написать собственный механизм 2FA. Рассмотрим пример с использованием TOTP (Time-based One-Time Password) по стандарту RFC 6238.

Шаг 1. Генерация и сохранение секретного ключа пользователя

Секретный ключ сгенерируем и сохраним как пользовательское мета-поле. Рекомендуется использовать библиотеку spomky-labs/otphp для генерации секретных ключей и кодов.

function wptavern_generate_user_2fa_secret($user_id) {
    if (!class_exists('OTPHP\TOTP')) {
        require_once __DIR__ . '/vendor/autoload.php'; // Подключаем библиотеку otphp
    }
    $totp = new OTPHP\TOTP();
    $secret = $totp->getSecret();
    update_user_meta($user_id, 'wptavern_2fa_secret', $secret);
    return $secret;
}

Этот код можно запускать при регистрации пользователя или по запросу администратора.

Шаг 2. Отображение QR-кода для настройки в Google Authenticator

Для удобства пользователя нужно сгенерировать QR-код, который можно отсканировать в приложении.

function wptavern_get_2fa_qrcode_url($user_id) {
    $secret = get_user_meta($user_id, 'wptavern_2fa_secret', true);
    if (!$secret) {
        $secret = wptavern_generate_user_2fa_secret($user_id);
    }
    $totp = new OTPHP\TOTP($secret);
    $issuer = urlencode('WP Tavern');
    $label = urlencode(get_userdata($user_id)->user_login);
    return $totp->getProvisioningUri() . "?issuer={$issuer}&label={$label}";
}

Для генерации самого QR-кода можно использовать Google Charts API или библиотеку PHP QR Code.

Шаг 3. Проверка кода при входе

Добавим проверку кода из приложения при логине через хук wp_authenticate_user.

function wptavern_check_2fa_code($user, $password) {
    if (is_wp_error($user)) {
        return $user;
    }
    // Предполагаем, что код 2FA передается в POST-параметре 'wptavern_2fa_code'
    if (!isset($_POST['wptavern_2fa_code'])) {
        return new WP_Error('2fa_required', 'Требуется код двухфакторной аутентификации.');
    }
    $code = sanitize_text_field($_POST['wptavern_2fa_code']);
    $secret = get_user_meta($user->ID, 'wptavern_2fa_secret', true);
    if (!$secret) {
        return new WP_Error('2fa_not_setup', 'Двухфакторная аутентификация не настроена.');
    }
    $totp = new OTPHP\TOTP($secret);
    if (!$totp->verify($code)) {
        return new WP_Error('2fa_invalid', 'Неверный код двухфакторной аутентификации.');
    }
    return $user;
}
add_filter('wp_authenticate_user', 'wptavern_check_2fa_code', 10, 2);

Таким образом, при попытке входа пользователь должен будет ввести дополнительный код из приложения.

Настройка пользовательского интерфейса для 2FA в профиле

Чтобы пользователи могли самостоятельно настроить двухуровневую авторизацию, нужно добавить поля на страницу профиля.

Добавление поля для отображения QR-кода

function wptavern_show_2fa_qrcode($user) {
    $secret = get_user_meta($user->ID, 'wptavern_2fa_secret', true);
    if (!$secret) {
        echo '<p>Двухфакторная аутентификация не настроена.</p>';
        return;
    }
    $url = wptavern_get_2fa_qrcode_url($user->ID);
    $qr_code_url = 'https://chart.googleapis.com/chart?chs=200x200&cht=qr&chl=' . urlencode($url);
    echo "<img src='{$qr_code_url}' alt='QR код для 2FA' />";
}
add_action('show_user_profile', 'wptavern_show_2fa_qrcode');
add_action('edit_user_profile', 'wptavern_show_2fa_qrcode');

Выводы и рекомендации

Двухуровневая авторизация значительно повышает безопасность WordPress-сайта, снижая риски взлома через стандартные пароли. Использование готовых плагинов обеспечивает быстрое подключение и минимальные усилия.

Если же нужна тонкая настройка или интеграция с корпоративными системами — можно написать собственное решение с использованием стандарта TOTP, как показано в примерах выше.

Рекомендуется также сочетать 2FA с другими мерами безопасности, например, ограничением попыток входа и использованием SSL.

Для удобной установки и настройки вы можете использовать плагин WP 2FA от WPSHOP, который предоставляет многие возможности из коробки.

Как добавить двухуровневую авторизацию в WordPress

Что такое двухуровневая авторизация и зачем она нужна в WordPress

Преимущества двухфакторной аутентификации

Популярные плагины для двухуровневой авторизации в WordPress

1. Google Authenticator – простой и бесплатный плагин

2. Two Factor – расширенный функционал и гибкие настройки

3. WP 2FA – для корпоративных сайтов и мультисайтов