Standardowo strona logowania do panelu administracyjnego WordPressa znajduje się pod adresem `http://nasza-domena.pl/wp-login.php`. Adres ten nie wygląda zbyt przyjaźnie, co może mieć znaczenie gdy udostępniamy możliwość logowania użytkownikom naszej strony, a poza tym jest często wykorzystywany do ataków typu brute force. Można go jednak w łatwy sposób zmienić, podobnie jak adresy stron rejestracji i przypomnienia hasła.
Pisząc o bezpieczeństwie serwisów opartych na WordPressie najczęściej skupiam się na zabezpieczaniu stron przed atakami z zewnątrz. Jednak równie ważne jest zadbanie o jak najlepsze zabezpieczenie samego procesu logowania, tak aby nikt niepowołany nie uzyskał dostępu do konta z uprawnieniami administratora.
Jedną ze skuteczniejszych i najpowszechniej stosowanych metod zabezpieczania procesu logowania jest uwierzytelnianie dwuskładnikowe (two-factor authentication), nazywane też dwuetapowym. Metoda ta polega na dodaniu do procesu logowania dodatkowego składnika w postaci zmieniającego się co pewien czas kodu. Kod ten może być dostarczany użytkownikowi za pomocą SMSa, poczty e-mail (podobnie jak w opisywanej przeze mnie wtyczce Paswordless) czy generowany przez dedykowaną aplikację. Dzięki temu nawet jeśli ktoś wejdzie w posiadanie naszego loginu i hasła, to i tak nie będzie w stanie zalogować się na nasze konto.
Logując się do panelu administracyjnego WordPressa mamy możliwość zaznaczenia opcji Zapamiętaj mnie, dzięki której pozostaniemy zalogowani przez kolejne 14 dni – oczywiście przy założeniu, że korzystamy z tego samego komputera i przeglądarki oraz że nie usuniemy wcześniej ciasteczek utworzonych przez naszą stronę. WordPress nie daje nam żadnej kontroli nad działaniem tej funkcji. Możemy jednak skorzystać z darmowej wtyczki WP Login Timeout Settings, która pozwala na wydłużenie lub skrócenie okres, po którym użytkownik zostanie automatycznie wylogowany.
Standardowa strona logowania do panelu administracyjnego WordPressa jest… no cóż, po prostu standardowa. Spełnia swoją funkcję, ale wizualnie nie powala. I mimo że w sumie jej wygląd nie ma większego znaczenia, to wiele osób uważa, że warto poświęcić kilka minut i nieco ją zmodyfikować.
Narzędzi służących do dostosowywania wyglądu strony logowania jest sporo – zarówno darmowych, jak i płatnych. Jeszcze kilka tygodni temu moim faworytem była wtyczka Custom Login Page Customizer, głównie dzięki integracji z ekranem personalizacji. Jednak niedawno ekipa TeslaThemes wydała darmowe rozszerzenie Tesla Login Customizer, które moim zdaniem jest prostsze w obsłudze i ma nieco większe możliwości.
reCAPTCHA to powszechnie stosowana metoda zabezpieczania formularzy przed botami. We wrześniu Google udostępnił nową, udoskonaloną wersję tego narzędzia, nazwaną No CAPTCHA reCAPTCHA, która jest bardziej przyjazna dla użytkowników, a jednocześnie trudniejsza do obejścia przez automaty.
Na odpowiednie wtyczki dla WordPressa nie trzeba było długo czekać, ale dopiero niedawno pojawiło się kompleksowe rozwiązanie, które dodaje nowe zabezpieczenie do formularzy logowania, rejestracji oraz publikacji komentarza. Mowa o rozszerzeniu No CAPTCHA reCAPTCHA, dostępnym za darmo w oficjalnym repozytorium.
Koncepcja logowania bez użycia hasła nie jest nowa, a jej implementacji jest co najmniej kilka. Idea wszelkiego rodzaju jednorazowych kodów nie jest idealna, ponieważ taki kod to tak naprawdę kolejne hasło – trudne (jeśli nie niemożliwe) do złamania, ale wciąż wymagające wprowadzenia do formularza logowania. Znacznie lepszym (a raczej wygodniejszym) sposobem jest wysyłanie na powiązany z kontem adres e-mail specjalnego linku, po kliknięciu którego zostaniemy automatycznie zalogowani w serwisie. Link ten jest za każdym razem inny, a jego ważność jest stosunkowo krótka. I takie właśnie podejście postanowił wcielić w życie Cristian Antohe, który stworzył wtyczkę Passwordless Login dla WordPressa.
Domyślnie WordPress pozwala użytkownikom zarejestrowanym w serwisie na logowanie się tylko za pomocą nazwy użytkownika. Nic jednak nie stoi na przeszkodzie, aby udostępnić również możliwość logowania za pomocą powiązanego z kontem adresu e-mail – szczególnie, że podczas rejestracji konta sprawdzana jest jego unikalność (nie można zarejestrować dwóch konto z takim samym adresem).
Z ekranem logowania do panelu administracyjnego WordPressa w większości przypadków styczność mają tylko administratorzy serwisu – dla nich najczęściej wygląd formularza nie ma większego znaczenia. Inaczej jest jednak gdy możliwość rejestracji i logowania udostępniamy zwykłym użytkownikom – w takim przypadku możemy chcieć zmodyfikować nieco wygląd ekranu logowania, na przykład poprzez dostosowanie kolorystyki czy zmianę wyświetlanego logo. Wprowadzenie takich zmian nie jest wcale skomplikowane, a dodatkowo możemy je sobie ułatwić korzystając z jednej z dostępnych wtyczek.