Login-Schutz und 2FA
Ein zweiter Faktor schützt ein Konto, wenn sein Passwort bekannt wird. Hive bringt im kostenlosen Plugin Authenticator-Apps, E-Mail-Codes, Passkeys und Hardware-Schlüssel mit, dazu Wiederherstellungscodes, vertrauenswürdige Geräte und eine Pflicht je Rolle. Das Pro-Add-on ergänzt SMS-Codes, das verwaltete Relay für Codes, die Abfrage innerhalb eines WooCommerce-Shops und adaptive Richtlinien. Die Anmeldesensoren selbst stehen unter Sensoren und Sperren.
Die Methoden
| Methode | So funktioniert sie | Verfügbarkeit |
|---|---|---|
| Authenticator-App (TOTP) | RFC 6238, sechs Ziffern, 30-Sekunden-Fenster. Google Authenticator, Authy, 1Password, Bitwarden und ähnliche. Ein Code wird nur einmal angenommen. | Kostenlos |
| Passkey oder Sicherheitsschlüssel (WebAuthn) | Face ID, Touch ID, Windows Hello, YubiKey und jeder andere FIDO2-Authenticator. | Kostenlos, ein Schlüssel pro Konto; mehrere Schlüssel mit Business |
| E-Mail-Code | Sechs Ziffern per Mail. Drei Codes in 15 Minuten, fünf Versuche je Code, 60 Sekunden zwischen zwei Sendungen. | Kostenlos; mit dem Pro-Add-on über das verwaltete Relay |
| SMS-Code | Sechs Ziffern über das verwaltete SMS-Relay von reportedip.com, ein Konto bei einem SMS-Anbieter ist nicht nötig. Die Telefonnummer wird verschlüsselt gespeichert. Ein erneuter Versand wartet jedes Mal etwas länger: 0 s, 30 s, 1 min, 2 min, 5 min, 15 min. | Ab Professional, mit dem Pro-Add-on |
| Wiederherstellungscodes | Zehn Einmalcodes im Format xxxx-xxxx, gehasht gespeichert; ab drei verbleibenden erscheint eine Warnung. | Kostenlos |
| Vertrauenswürdiges Gerät | Optional: Das Gerät überspringt den zweiten Faktor standardmäßig für 30 Tage. Gespeichert als SHA-256-Hash. | Kostenlos |
Geheimnisse werden mit libsodium verschlüsselt gespeichert, mit OpenSSL als Rückfall. Auf der Profilseite sieht jeder Benutzer seine Methoden als Karten, fügt eine hinzu oder entfernt sie und wählt die Methode, die die Anmeldung zuerst anbietet.
Pflicht je Rolle
Unter Grundschutz → Zwei-Faktor-Authentifizierung wählen Sie die Methoden, die die Website anbietet, und die Rollen, die eine davon nutzen müssen; Administratoren sind vorbelegt. Ein verpflichteter Benutzer erhält bei der nächsten Anmeldung einen Einrichtungsassistenten und eine Übergangsfrist von 7 Tagen. Sind Frist und Überspringen aufgebraucht, wird er angemeldet und direkt in die Einrichtung geführt, ohne Schaltfläche zum Überspringen. Die strengere Richtlinie Anmeldung sperren gibt es, aber Administratoren und Super-Admins nehmen immer den Weg über die Einrichtung, eine Website verliert also nie ihren letzten Administrator.
Benutzer ohne Pflicht sehen ein Erinnerungsbanner. Administratoren, Redakteure und Shop-Manager, die es fünf Anmeldungen lang übergehen, müssen die Einrichtung abschließen, bevor sie weitermachen können. Auch das Zurücksetzen des Passworts fragt nach dem zweiten Faktor, und E-Mail-Codes werden dort nicht angenommen, ein gestohlenes Postfach allein übernimmt also kein Konto.
Passkeys und YubiKeys
Die YubiKey-5-Serie (USB-A, USB-C, Lightning und NFC), der Security Key by Yubico und jeder andere CTAP2-Authenticator funktionieren bei der Abfrage in wp-login, beim Zurücksetzen des Passworts und bei der Shop-Abfrage. Ältere Schlüssel, die nur U2F beherrschen, werden nicht unterstützt.
- Einrichten: Wählen Sie unter Benutzer → Profil → Zwei-Faktor-Authentifizierung die Option Sicherheitsschlüssel hinzufügen, geben Sie ihm einen Namen, stecken Sie den Schlüssel ein und berühren Sie ihn, wenn der Browser danach fragt. Am Telefon halten Sie einen NFC-Schlüssel an die Rückseite. Eine FIDO2-PIN ist nicht nötig.
- Ein Schlüssel pro Konto ist kostenlos. Business ergänzt mehrere Schlüssel pro Konto, sodass ein zweiter YubiKey an einem sicheren Ort warten kann, dazu die Modellerkennung („YubiKey 5 Series with NFC“) und eine Mail, sobald ein Schlüssel hinzugefügt oder entfernt wird.
- Schlüssel verloren: Melden Sie sich mit einem Wiederherstellungscode an, bei Business auch mit dem Ersatzschlüssel, und entfernen Sie den verlorenen Schlüssel auf der Profilseite.
- Geklonte Schlüssel: Jede Anmeldung erhöht den Signaturzähler des Schlüssels. Eine Anmeldung, deren Zähler nicht steigt, wird abgewiesen, protokolliert und dem Kontoinhaber per Mail gemeldet, in jedem Tarif.
- Algorithmen: ES256 auf jedem Schlüssel, RS256 und Ed25519 auf YubiKey-Firmware 5.2.3 und neuer, wenn der Server libsodium hat. WebAuthn braucht HTTPS.
Schutz vor Raten
Falsche Codes bremsen den nächsten Versuch: nach 3 für 30 Sekunden, nach 5 für 5 Minuten, nach 10 für 30 Minuten,
nach 15 für eine Stunde. Darüber hinaus wird die Adresse gesperrt wie bei jedem anderen Sensortreffer (Ereignis
2fa_brute_force), mit Eskalation und im Community Network mit Meldung.
Shop-2FA für WooCommerce
Teil des Pro-Add-ons ab dem Tarif Professional. Kunden, die sich über Mein Konto, die klassische Kasse oder die
Warenkorb- und Kassen-Blöcke von WooCommerce anmelden, bestätigen den zweiten Faktor auf einer Seite in Ihrem Theme
statt auf wp-login.php. Warenkorb und Kasse überstehen den Umweg, und das Cookie für vertrauenswürdige
Geräte wird mit der Anmeldung in wp-admin geteilt.
- Adressen: Abfrage
reportedip-hive-2faund Einrichtungreportedip-hive-2fa-setupals Standard, beide änderbar und auf Konflikte geprüft. In einem Netzwerk kann jede Website ihre eigene Adresse setzen. - Andere 2FA-Plugins: Wenn Solid Security, das Plugin Two-Factor oder Wordfence 2FA das Anmeldeformular übernimmt, weist Hive darauf hin und lässt seine Shop-Abfrage aus, damit niemand doppelt gefragt wird.
- Tarifwechsel: In einem niedrigeren Tarif pausiert die Shop-Abfrage; Einstellungen und Einrichtungen bleiben und kommen mit dem Tarif zurück.
Adaptive Nachabfrage
Teil des Pro-Add-ons ab dem Tarif Professional. Die Pflicht fragt bei jeder Anmeldung; die adaptive Nachabfrage fragt einen Benutzer mit Methode nur dann erneut, wenn sich an der Anmeldung etwas geändert hat. Die Matrix unter Erweitert → Adaptive Nachabfrage hat eine Zeile je Rolle und eine Spalte je Auslöser.
- Neues Land, neue IP-Adresse, neues Netz (/24 oder IPv6 /64) oder neues Gerät, jeweils gegen den eigenen Verlauf des Benutzers. Das Land braucht das Community Network.
- Alle N Tage seit der letzten Abfrage und alle N Anmeldungen.
- Mehr als N gleichzeitige Sitzungen dieses Benutzers.
Eine ausgelöste Abfrage übergeht das Cookie für vertrauenswürdige Geräte: Dem Gerät wird vertraut, den Umständen
nicht. Die 2FA-IP-Freigabeliste und der Filter reportedip_2fa_bypass gelten weiter. Ein Benutzer ohne
Methode wird nie ausgesperrt; das Überspringen wird protokolliert, und er wird erinnert. Die erste Anmeldung nach
dem Einschalten eines Auslösers fragt nie, und die Zeile für Administratoren lässt sich erst scharf schalten,
nachdem ein Administrator auf der Website eine Abfrage bestanden hat.
Wie Codes zugestellt werden
Mails laufen standardmäßig über wp_mail(), Ihr SMTP-Plugin greift also. Mit dem Pro-Add-on ab dem
Tarif Professional laufen 2FA-Codes, Sicherheitsalarme und die übrigen Mails des Plugins über das verwaltete Relay
von reportedip.com mit eingerichtetem SPF, DKIM und DMARC, SMS-Codes über das SMS-Relay. Sind das monatliche
Kontingent und ein eventuelles Zusatzpaket aufgebraucht, fällt Mail auf wp_mail() zurück; die anderen
Methoden arbeiten weiter. Kontingente und Pakete stehen unter
Pro-Add-on und Tarife.
Zuletzt aktualisiert: · Betreut vom ReportedIP-Team