Zwei-Faktor-Authentifizierung für WooCommerce im Stil Ihres Shops
Die Zwei-Faktor-Authentifizierung für WooCommerce mit ReportedIP Hive fragt Kunden auf einer Seite im Stil Ihres Shops nach dem zweiten Faktor, nicht auf dem nackten WordPress-Anmeldebildschirm. Sie deckt die Anmeldung unter „Mein Konto“, den klassischen Checkout und den Block-Checkout ab und schickt Kunden direkt dorthin zurück, wo sie waren.
Diese Anleitung erklärt, welche Anmeldungen geschützt sind, was Kunden sehen, wie sie sich einrichten und wie Sie die Funktion einschalten. Sie gehört zum Tarif Professional.
Warum schadet die übliche WordPress-2FA einem WooCommerce-Shop?
Die meisten 2FA-Plugins schicken jede Anmeldung über wp-login.php. Für einen Shop heißt das: Ein Kunde, der sich an der Kasse anmeldet, landet plötzlich auf einem grauen WordPress-Bildschirm mit anderem Logo und muss danach den Weg zurück zum Warenkorb suchen. Kundenkonten lohnen den Schutz, denn sie enthalten Adressen, Bestellhistorien und oft gespeicherte Zahlungsverweise, doch ein zweiter Faktor, der wie eine andere Website aussieht, lässt Menschen den Kauf abbrechen oder dem Shop misstrauen.
Welche WooCommerce-Anmeldungen sind geschützt?
| Anmeldung | Zweiter Faktor |
|---|---|
| Anmeldung unter „Mein Konto“ | Bestätigungsseite im Shop-Stil |
| Anmeldung im klassischen Checkout | Bestätigungsseite im Shop-Stil, danach zurück zur Kasse |
| Anmeldung im Block-Checkout | Bestätigungsseite im Shop-Stil, danach zurück zur Kasse |
| wp-login.php, etwa für Mitarbeiter | Die normale WordPress-Abfrage |
Nur Anmeldungen, die in WooCommerce beginnen, gehen auf die Seite im Shop-Stil. Mitarbeiter, die sich über wp-admin anmelden, behalten die normale Abfrage, eine Website bedient also beide Gruppen ohne zusätzliche Einrichtung.
Was Kunden bei der Anmeldung sehen
Nach dem richtigen Passwort landet der Kunde auf einer eigenen Bestätigungsseite, die das Stylesheet Ihres Themes lädt, Schriften und Farben passen also zum Shop. Sie zeigt die Methoden, die der Kunde eingerichtet hat, die Option, dem Gerät zu vertrauen, und einen Weg zurück zur Anmeldung. Bei einem E-Mail-Code wird nichts verschickt, bevor der Kunde auf Code per E-Mail senden klickt.
Nach der Bestätigung kehrt der Kunde zu „Mein Konto“ zurück oder, wenn die Anmeldung an der Kasse stattfand, zur Kasse. Der Warenkorb bleibt, wie er war, weil die Bestätigung die WooCommerce-Sitzung nicht berührt.
So richten Kunden ihren zweiten Faktor ein
Kunden und Abonnenten, die einen zweiten Faktor nutzen müssen, werden zu einer Einrichtungsseite im Shop geführt, statt nach wp-admin geschickt zu werden. Die Seite führt durch die Wahl der Methode, das Scannen des QR-Codes oder das Registrieren eines Passkeys und das Sichern der Wiederherstellungscodes. Ist eine Methode aktiv, schickt die Seite den Kunden zurück zu „Mein Konto“.
Kunden können dieselben Methoden nutzen wie Mitarbeiter: eine Authenticator-App, einen Passkey oder Sicherheitsschlüssel und einen E-Mail-Code in jedem Tarif, dazu SMS-Codes über das EU-Relay ab dem Tarif Professional im Community-Netzwerk. Wiederherstellungscodes und vertrauenswürdige Geräte funktionieren wie auf wp-login.php, und ein an der Kasse vertrautes Gerät gilt auch bei der nächsten Anmeldung über wp-login.php als vertraut.
So schalten Sie die WooCommerce-2FA ein
- Öffnen Sie Schutz, Karte Zwei-Faktor-Authentifizierung.
- Schalten Sie Zwei-Faktor-Authentifizierung aktiviert ein, falls noch nicht geschehen.
- Schalten Sie Zweiter Faktor im Shop-Design ein.
- Haken Sie unter Rollen mit 2FA-Pflicht die Rolle Kunde an, wenn jeder Kunde einen zweiten Faktor nutzen muss. Ohne diesen Haken dürfen Kunden sich einrichten, werden aber nicht gezwungen.
- Speichern Sie und testen Sie den Ablauf mit einem Test-Kundenkonto.
Der Expertenmodus im Seitenkopf zeigt weitere Optionen für Shops: ob Kunden den zweiten Faktor ablehnen dürfen, ob Shop-Nutzer auf die Einrichtungsseite im Shop-Stil geschickt werden und die Adressen der Bestätigungs- und Einrichtungsseite, falls Sie eigene wünschen.
2FA bei Bestandskunden einführen
- Beginnen Sie freiwillig: Schalten Sie die Shop-Option ein, lassen Sie die Rolle Kunde aber ohne Haken, damit Kunden sich ohne Druck einrichten können.
- Kündigen Sie es im Newsletter oder in der Bestellbestätigung mit einem Satz an, warum es ihre gespeicherten Adressen und Bestellungen schützt.
- Beobachten Sie die Seite 2FA-Status mit dem Rollenfilter Kunde, um zu sehen, wie viele eine Methode eingerichtet haben.
- Sind die meisten Stammkunden eingerichtet, setzen Sie den Haken bei der Rolle Kunde. Die Schonfrist gibt den übrigen Zeit, eine Methode einzurichten, bevor die Anmeldung darauf besteht.
Zuerst die Shop-Manager schützen
Shop-Manager sehen jede Bestellung und jeden Kunden, ihre Konten sind also das wertvollere Ziel. Haken Sie die Rolle Shop-Manager unter Rollen mit 2FA-Pflicht an, bevor Sie Kundenkonten angehen. Mitarbeiter melden sich über wp-admin an und erhalten die normale Abfrage, für sie ist ein Passkey oder eine Authenticator-App die richtige Methode.
Was bei einem Tarifwechsel nach unten passiert
Die Seiten im Shop-Stil sind eine Funktion des Tarifs Professional. Wechselt die Website in einen niedrigeren Tarif, fallen WooCommerce-Anmeldungen auf die normale WordPress-Abfrage zurück. Kunden, die bereits einen zweiten Faktor eingerichtet haben, behalten ihn und können sich weiter anmelden, niemand wird ausgesperrt, weil ein Abonnement ausgelaufen ist.
Kunden helfen, die ihr Telefon verloren haben
Ein Kunde, der sein Telefon verloren hat, meldet sich mit einem der bei der Einrichtung gesicherten Wiederherstellungscodes an. Sind auch diese weg, setzt ein Shop-Administrator den zweiten Faktor dieses Kontos zurück, etwa mit wp reportedip 2fa reset <user_id>, und der Kunde richtet bei der nächsten Anmeldung eine neue Methode ein. Erwähnen Sie die Wiederherstellungscodes in Ihrer Willkommensmail, dieser eine Satz erspart die meisten Supportanfragen.
Fragen zur Zwei-Faktor-Authentifizierung für WooCommerce
Kostet 2FA an der Kasse Umsatz?
Die Bestätigung erscheint nur, wenn sich ein Kunde anmeldet, nicht beim Gastkauf, und die Seite behält das Aussehen des Shops. Nach dem Code kehrt der Kunde mit unverändertem Warenkorb zur Kasse zurück. Dank vertrauenswürdiger Geräte sehen Stammkunden den zweiten Schritt auf ihren eigenen Geräten nur gelegentlich.
Können Kunden einen Passkey statt eines Codes nutzen?
Kunden können bei der Einrichtung einen Passkey wie Face ID, Touch ID oder Windows Hello registrieren und damit die Anmeldung unter „Mein Konto“ und an der Kasse bestätigen. Das ist die schnellste Option für Kunden und lässt sich nicht abphishen, weil der Passkey nur auf Ihrer echten Shop-Domain funktioniert.
Gibt es die WooCommerce-2FA im kostenlosen Tarif?
Die Bestätigung im Shop-Stil gehört zum Tarif Professional. Im kostenlosen Tarif können Kunden 2FA trotzdem nutzen, die Abfrage erscheint dann aber auf der normalen Seite wp-login.php. Die Erkennung von Angriffen auf die WooCommerce-Anmeldungen ist in jedem Tarif enthalten.
Muss ich jeden Kunden zur 2FA verpflichten?
Nein, die Pflicht ist eine Entscheidung. Haken Sie die Rolle Kunde unter Rollen mit 2FA-Pflicht an, um sie verbindlich zu machen, oder lassen Sie sie frei, damit Kunden sich freiwillig einrichten. Viele Shops beginnen freiwillig und machen es später verbindlich, wenn die Kunden die Funktion kennen.
Weiterlesen
- Alle 2FA-Methoden in Hive
- Passkeys für WordPress
- Mail- und SMS-Relay für 2FA
- Der Härtungsmodus unter Angriff
Die Hive-Dokumentation beschreibt die WooCommerce-Anmeldung im Frontend und die Zwei-Faktor-Authentifizierung im Detail.