วิธีเปิด Two-Factor Authentication ใน WordPress

Two-Factor Authentication (2FA) เพิ่มขั้นตอนยืนยันตัวตนหลังกรอกรหัสผ่าน ช่วยป้องกันบัญชีผู้ดูแลได้แม้รหัสผ่านถูกเดาหรือรั่วไหล WordPress แบบติดตั้งเองไม่มี 2FA ในตัว จึงต้องติดตั้งปลั๊กอินหรือใช้ระบบยืนยันตัวตนที่รองรับ

❶ เลือกปลั๊กอิน 2FA ที่เหมาะกับเว็บไซต์

จากหลังบ้านไปที่ ปลั๊กอิน > เพิ่มปลั๊กอินใหม่ แล้วค้นหาปลั๊กอิน 2FA ก่อนติดตั้ง ให้ตรวจชื่อผู้พัฒนา ประวัติการอัปเดต ความเข้ากันได้กับ WordPress รุ่นที่ใช้ และวิธีติดต่อขอความช่วยเหลือ

เลือกปลั๊กอินที่รองรับแอปยืนยันตัวตนและมีวิธีกู้คืนบัญชี เช่น รหัสสำรอง หลีกเลี่ยงการติดตั้งไฟล์ปลั๊กอินจากแหล่งที่ไม่รู้จัก

❷ ติดตั้งและเปิดใช้งานปลั๊กอิน

① ติดตั้งปลั๊กอิน

คลิก ติดตั้ง แล้วเลือก เปิดใช้งาน จากนั้นเปิดหน้าตั้งค่าของปลั๊กอิน ชื่อเมนูอาจต่างกันตามปลั๊กอินที่เลือก

② เริ่มตั้งค่าให้บัญชีผู้ดูแล

ปลั๊กอินบางตัวให้ผู้ใช้ตั้งค่าแยกกันที่ ผู้ใช้ > โปรไฟล์ของคุณ ส่วนบางตัวให้ผู้ดูแลกำหนดนโยบายจากหน้าตั้งค่าปลั๊กอิน ทำตามขั้นตอนบนหน้าจอและเลือกวิธียืนยันตัวตนที่ต้องการ

❸ เชื่อมต่อแอปยืนยันตัวตน

หากเลือกใช้แอป Authenticator ให้เปิดแอปบนโทรศัพท์และสแกน QR code ที่ปลั๊กอินแสดง หากสแกนไม่ได้ ให้กรอกรหัสตั้งค่าที่ปลั๊กอินแสดงด้วยตนเอง

แอปจะสร้างรหัสยืนยันแบบใช้ครั้งเดียว โดยรหัสจะเปลี่ยนตามช่วงเวลา ให้นำรหัสปัจจุบันมากรอกใน WordPress เพื่อยืนยันว่าการเชื่อมต่อสำเร็จ

❹ เก็บรหัสสำรองก่อนออกจากระบบ

เมื่อปลั๊กอินแสดงรหัสสำรอง ให้บันทึกไว้ในที่ปลอดภัยแยกจากโทรศัพท์ เช่น โปรแกรมจัดการรหัสผ่านที่มีการป้องกัน รหัสสำรองช่วยให้เข้าสู่ระบบได้เมื่อโทรศัพท์สูญหายหรือแอปยืนยันตัวตนใช้งานไม่ได้

อย่าเผยแพร่ QR code หรือรหัสตั้งค่าให้ผู้อื่น เพราะผู้ที่มีข้อมูลเหล่านี้อาจเพิ่มบัญชีเว็บไซต์ของคุณเข้าแอปยืนยันตัวตนของตนเองได้

❺ ทดสอบการเข้าสู่ระบบก่อนออกจากระบบเดิม

เปิดหน้าต่างส่วนตัวของเบราว์เซอร์หรือใช้อุปกรณ์อีกเครื่อง แล้วลองเข้าสู่ระบบด้วยรหัสผ่านและรหัสยืนยัน หากเข้าได้ครบทั้งสองขั้น แสดงว่าการตั้งค่าพร้อมใช้งาน

อย่าเพิ่งออกจากระบบเดิมจนกว่าจะทดสอบสำเร็จ หากเข้าไม่ได้ ให้ใช้หน้าต่างเดิมที่ยังล็อกอินอยู่เพื่อตรวจการตั้งค่า หรือใช้รหัสสำรองตามขั้นตอนของปลั๊กอิน

❻ บังคับใช้ 2FA กับผู้ดูแลทุกบัญชี

หากเว็บไซต์มีผู้ดูแลหลายคน ให้แต่ละคนตั้งค่า 2FA ในบัญชีของตนเอง หากปลั๊กอินรองรับการบังคับใช้ตามบทบาท ให้เริ่มจากบัญชีผู้ดูแลระบบก่อน แล้วทดสอบกับบัญชีอื่นเพื่อให้แน่ใจว่าทุกคนยังเข้าสู่ระบบได้

ComSiam แนะนำให้แจ้งทีมล่วงหน้าก่อนบังคับใช้ 2FA และกำหนดวิธีช่วยเหลือกรณีสมาชิกเปลี่ยนหรือทำโทรศัพท์หาย

❼ เช็กลิสต์หลังเปิดใช้ 2FA

• ปลั๊กอินมาจากแหล่งที่เชื่อถือได้และได้รับการอัปเดต
• เชื่อมต่อแอปยืนยันตัวตนกับบัญชีผู้ดูแลแล้ว
• เก็บรหัสสำรองไว้อย่างปลอดภัย
• ทดสอบเข้าสู่ระบบจากหน้าต่างหรืออุปกรณ์อื่นแล้ว
• ผู้ดูแลแต่ละคนตั้งค่า 2FA ในบัญชีของตน
• ทราบวิธีกู้คืนบัญชีหากโทรศัพท์ใช้งานไม่ได้

การเปิด 2FA ช่วยเพิ่มความปลอดภัยให้บัญชี WordPress แต่ยังควรใช้รหัสผ่านที่ไม่ซ้ำและอัปเดตปลั๊กอินสม่ำเสมอ สำหรับเว็บไซต์ของ ComSiam ควรตรวจว่าผู้ดูแลทุกคนเข้าใช้งานและกู้คืนบัญชีได้ก่อนออกจากระบบเดิม