Dans l’article précédent on vous parlait de sécurité de WordPress pour votre page de login : « Changer l’URL de votre page de Login WordPress ». Il existe une autre technique de sécurité que l’on peut adjoindre à la précédente : l’authentification à deux facteurs pour une connexion WordPress.

Authentification à deux facteurs c’est quoi ?

Les mots de passe sont la norme de facto pour ouvrir une session sur le Web, mais ils sont relativement faciles à casser. Même si vous faites de bons mots de passe et que vous les changez régulièrement, ils doivent être stockés là où vous vous connectez, et une violation du serveur peut les fuir. Il existe trois façons d’identifier une personne, les choses qu’elles sont, les choses qu’ils ont, et les choses qu’ils connaissent.

Se connecter avec un mot de passe est une authentification en une seule étape. Il ne dépend que de quelque chose que vous connaissez. L’authentification en deux étapes, par définition, est un système où vous utilisez deux des trois facteurs possibles pour prouver votre identité, au lieu d’une seule. Dans la pratique, cependant, les implémentations en deux étapes actuelles comptent toujours sur un mot de passe que vous connaissez, mais utilisez votre téléphone ou un autre appareil pour vous authentifier avec quelque chose que vous avez.

Un peu de théorie : Trois facteurs possibles

Il existe trois façons possibles d’identifier les utilisateurs.

Quelque chose que vous êtes
Il existe beaucoup de propriétés propres à chaque utilisateur et peuvent être utilisées pour les identifier. Le plus populaire est l’empreinte digitale, mais les rétines, la voix, l’ADN, ou toute autre chose spécifique à un individu va fonctionner. C’est ce qu’on appelle l’information biométrique parce que ces informations appartiennent à la biologie d’une personne. La plupart des téléphones modernes haut de gamme utilisent cette technique (Iphone , Samsung Galaxy…)

Quelque chose que vous avez
Les utilisateurs peuvent être identifiés par les dispositifs qu’ils portent. Traditionnellement, une entreprise qui souhaitait activer l’authentification en deux étapes distribuerait des porte-clés sécurisés aux utilisateurs. Les porte-clés devraient afficher un nouveau nombre toutes les 30 secondes, et ce numéro serait nécessaire pour être tapé avec le mot de passe chaque fois qu’un utilisateur s’était connecté. Les banques fournissent parfois des clés usb pour signer des documents en plus du couple login/mot de passe. Ces clés usb contenant des bout de programme cryptées ayant pour objet d’authentifier le porteur.

L’authentification moderne en deux étapes repose plus fréquemment sur le téléphone intelligent d’un utilisateur. Un des modèles communs de ceci est l’utilisation de SMS pour fournir un second facteur facile. Lorsque l’utilisateur saisit son mot de passe, il envoie un message texte avec un code unique. Malheureusement, le SMS n’est pas un canal de communication sécurisé.

Quelque chose que vous connaissez
La forme d’authentification la plus familière est le facteur de connaissance ou le mot de passe. Les mots de passe ont longtemps été une norme pour l’authentification anonyme. Pour qu’un facteur de connaissance fonctionne, les deux parties doivent connaître le mot de passe, mais les autres parties ne doivent pas pouvoir la trouver ou la deviner.

Le premier défi consiste à échanger le mot de passe avec la partie de confiance en toute sécurité. Sur le Web, lorsque vous vous inscrivez à un nouveau site, votre mot de passe doit être envoyé aux serveurs de ce site et peut être intercepté dans le processus (c’est pourquoi vous devez toujours vérifier SSL lors de l’inscription ou de la connexion).
Enfin, le mot de passe doit être vérifié. Lorsqu’un utilisateur visite le site, il doit être capable de fournir le mot de passe et de le vérifier contre la copie stockée. Cet échange peut également être intercepté (et donc devrait toujours être fait sur SSL) et expose l’utilisateur à un autre risque.

Avantages
Il y a beaucoup d’endroits différents pour augmenter la sécurité d’un site, mais l’équipe de sécurité de WordPress a déclaré que «le lien le plus faible dans la sécurité de tout ce que vous faites en ligne est votre mot de passe». Il est donc logique de renforcer l’énergie pour renforcer Aspect de votre site.

Désavantages
Comme son nom l’indique, l’authentification en deux étapes ajoute une étape à un processus qui peut déjà être long et pénible. Alors que la plupart des connexions de sécurité très élevée sont protégées par l’authentification en deux étapes aujourd’hui, la plupart des applications grand public ne l’offrent que comme option si elles l’offrent. C’est parce que les utilisateurs sont moins susceptibles de s’inscrire et de se connecter à un service s’il est plus difficile.

Plugins pour l’authentification en deux étapes

Bon vous l’avez compris, il va falloir faire un choix entre sécurité et ergonomie pour vos utilisateurs inscrit de votre site WordPress. Pour implémenter cette double authentification dans votre WordPress, vous pouvez rechercher des plugins d’authentification en deux étapes disponibles dans le dépôt de plugins « WordPress.org ».

Voici quelques-uns des plus populaires (par ordre alphabétique):

Authy
Duo
Google Authenticator
Rublon
SecuPress
WordFence

Même si la version de base du plugin est gratuite, la fonctionnalité d’authentification à double facteur est en règle générale une fonction payante. L’image ci-dessus est pour le plugin « WordFence ». Notez que dans ce plugin la double authentification peut ce faire via un mobile ou bien via l’application « authenticator ».

Pour Secupress par exemple, la fonction est active à partir de la version Pro Lite soit celle à 59€/an.

Authentification à deux facteurs pour une connexion WordPress
Moyenne des notes : 4 (80%) 1 vote