Passkeys für WordPress: phishingsichere Anmeldung mit WebAuthn
Eine WordPress-Anmeldung mit Passkey bestätigt ReportedIP Hive per Face ID, Touch ID, Windows Hello oder Fingerabdruck am Telefon, und das funktioniert nur auf Ihrer echten Domain. Eine gefälschte Anmeldeseite kann nichts Brauchbares abgreifen, deshalb ist der Passkey der stärkste zweite Faktor, den Sie Redakteuren und Administratoren geben können.
Diese Anleitung erklärt, was ein Passkey ist, wie Sie ihn im WordPress-Profil hinzufügen, wie die Anmeldung aussieht und wie Sie die üblichen Probleme lösen. Für Hardware-Schlüssel wie den YubiKey gibt es eine eigene Anleitung zur YubiKey-Einrichtung.
Was ist ein Passkey?
Ein Passkey ist ein Schlüsselpaar, das Ihr Gerät für genau eine Website erzeugt. Der private Schlüssel bleibt auf dem Gerät und ist durch dessen Bildschirmsperre geschützt, die Website speichert nur den öffentlichen Schlüssel. Zur Anmeldung schickt die Website eine zufällige Aufgabe, das Gerät signiert sie, nachdem Sie in die Kamera geschaut oder den Sensor berührt haben, und die Website prüft die Signatur. Der Standard dahinter ist W3C Web Authentication (WebAuthn), Teil von FIDO2, und jeder aktuelle Browser unterstützt ihn.
Warum lässt sich ein Passkey nicht abphishen?
Ein App-Code oder SMS-Code ist nur eine Zahl. Eine überzeugende gefälschte Anmeldeseite kann danach fragen und ihn innerhalb von Sekunden an die echte Website weiterreichen. Ein Passkey ist an die Domain gebunden, für die er erzeugt wurde: Der Browser teilt dem Gerät mit, welche Website fragt, und das Gerät signiert nicht für eine nachgeahmte Domain. Es gibt kein gemeinsames Geheimnis zum Stehlen und keinen Code zum Weiterreichen, ein Phishing-Kit geht also leer aus.
Passkey oder Sicherheitsschlüssel: Was nehmen?
| Option | Am besten für | Zu beachten |
|---|---|---|
| Dieses Gerät (Face ID / Windows Hello) | Die tägliche Anmeldung am eigenen Laptop oder Telefon | An dieses Gerät oder seinen synchronisierten Passwortmanager gebunden |
| Sicherheitsschlüssel (USB / NFC) | Gemeinsam genutzte Rechner und Konten mit den höchsten Rechten | Ein physischer Schlüssel, den Sie mitnehmen, etwa ein YubiKey |
Beide Optionen nutzen denselben Standard und dieselbe Stelle im Profil. Passkeys, die über den iCloud-Schlüsselbund oder den Google Passwortmanager synchronisiert werden, sind kompatibel und funktionieren auf jedem Gerät, das mit diesem Konto angemeldet ist. Ein Passkey oder Schlüssel je Konto ist in jedem Tarif kostenlos, mehrere Schlüssel je Konto, etwa ein Ersatzschlüssel, gehören zum Tarif Business.
Was Ihre Website für Passkeys braucht
- HTTPS. Browser bieten Passkeys nur auf sicheren Seiten an. Eine Staging-Website ohne HTTPS zeigt die Meldung, dass der Browser keine Sicherheitsschlüssel unterstützt.
- OpenSSL in PHP. Es ist auf praktisch jedem Hosting vorhanden und prüft die Signaturen.
- Eingeschaltete Zwei-Faktor-Authentifizierung unter Schutz, Karte Zwei-Faktor-Authentifizierung. Passkeys gehören standardmäßig zu den erlaubten 2FA-Methoden.
- Eine feste Domain. Setzen Sie in Multisite-Netzwerken mit Domain-Mapping den Filter
reportedip_hive_webauthn_rp_id, bevor Nutzer Schlüssel registrieren, denn für eine Domain erzeugte Schlüssel funktionieren auf einer anderen nicht.
So fügen Sie in WordPress einen Passkey hinzu
- Öffnen Sie Ihr WordPress-Profil und scrollen Sie zu Ihre Anmeldemethoden.
- Klicken Sie unter Passkey oder Sicherheitsschlüssel auf Sicherheitsschlüssel hinzufügen.
- Geben Sie im Feld Key-Name einen Namen ein, den Sie später wiedererkennen, etwa das Gerät, auf dem er liegt.
- Klicken Sie auf Dieses Gerät (Face ID / Windows Hello) für einen Passkey auf dem Rechner oder Telefon, das Sie gerade nutzen, oder auf Sicherheitsschlüssel (USB / NFC) für einen Hardware-Schlüssel.
- Bestätigen Sie mit Gesicht, Fingerabdruck oder PIN, wenn der Browser fragt. Der Passkey erscheint in der Liste mit seinem Typ, dem Datum der Registrierung und der letzten Verwendung.
Umbenennen ändert den Namen eines Schlüssels, Entfernen löscht ihn. Sichern Sie nach der Registrierung Ihre Wiederherstellungscodes, falls noch nicht geschehen: Sie sind der Weg zurück, wenn das Gerät verloren geht. Als Standard festlegen bei der Passkey-Methode macht sie zum Ersten, wonach die Anmeldung fragt.
So sieht die Anmeldung mit Passkey aus
Sie geben wie gewohnt Benutzername und Passwort ein. Hive zeigt dann Bestätigung erforderlich mit geöffnetem Reiter Passkey. Klicken Sie auf Passkey oder Sicherheitsschlüssel verwenden, und der Browser öffnet seinen eigenen Dialog für Face ID, Touch ID, Windows Hello oder den Schlüssel. Eine Berührung später sind Sie angemeldet.
In Hive ist ein Passkey ein zweiter Faktor, kein Ersatz für das Passwort: Erst wird das Passwort geprüft, dann der Passkey. Diesem Gerät vertrauen überspringt den zweiten Schritt in diesem Browser für eine festgelegte Zahl von Tagen. Derselbe Passkey-Schritt erscheint im Tarif Professional bei der Anmeldung im WooCommerce-Shop und bei der Sperre beim Passwort-Reset, wo ein Passkey als Faktor zählt, der nicht E-Mail ist.
Kopierte Schlüssel werden erkannt
Jede Signatur trägt einen Zähler, den ein echter Schlüssel bei jeder Nutzung erhöht. Läuft der Zähler rückwärts, wurde der Schlüssel höchstwahrscheinlich aus seiner Hardware kopiert. Hive verweigert dann die Anmeldung, protokolliert ein Sicherheitsereignis und informiert den Kontoinhaber. Passkeys, die berechtigterweise keinen Zähler melden, wie viele synchronisierte Passkeys, funktionieren weiter.
Passkeys für ein ganzes Team einführen
Haken Sie unter Rollen mit 2FA-Pflicht die Rollen an, die einen zweiten Faktor nutzen müssen, dann wird jedes Mitglied dieser Rollen bei der nächsten Anmeldung gebeten, einen einzurichten, mit einer Schonfrist dafür. Empfehlen Sie in Ihrer Ankündigung den Passkey: Er ist in einer Minute hinzugefügt, und danach muss niemand mehr Codes abtippen. Die Seite 2FA-Status zeigt, wer noch fehlt, und ihr Filter nach Methode listet genau, wer sich mit Passkey anmeldet. Für Administratoren im Tarif Business beseitigt ein zweiter Schlüssel je Konto an einem sicheren Ort den letzten einzelnen Ausfallpunkt.
Probleme mit Passkeys lösen
| Meldung oder Symptom | Ursache und Lösung |
|---|---|
| Dieser Browser unterstützt keine Sicherheitsschlüssel | Die Seite wird nicht über HTTPS ausgeliefert. Stellen Sie die Website auf HTTPS um. |
| Die Anfrage ist abgelaufen oder wurde abgebrochen | Der Browser-Dialog wurde geschlossen oder nicht rechtzeitig bestätigt. Klicken Sie erneut auf die Schaltfläche. |
| Die Domain dieser Seite passt nicht zur Registrierung des Schlüssels | Der Schlüssel wurde auf einer anderen Domain erzeugt, etwa auf Staging. Registrieren Sie ihn auf der Live-Domain neu. |
| Dieser Schlüssel ist für dieses Konto bereits registriert | Dasselbe Gerät oder derselbe Schlüssel steht schon in der Liste. Nichts zu tun. |
| Windows Hello öffnet sich statt des YubiKey | Nutzen Sie die Schaltfläche Sicherheitsschlüssel (USB / NFC) statt Dieses Gerät. |
Websites, bei denen das Gerät immer nach Gesicht, Fingerabdruck oder PIN fragen soll, heben die Nutzerprüfung mit dem Filter reportedip_hive_webauthn_user_verification an. Standardmäßig genügt eine Berührung, weil das Passwort den ersten Faktor bereits abdeckt.
Fragen zu Passkeys in WordPress
Kann ich mich allein mit einem Passkey ohne Passwort bei WordPress anmelden?
ReportedIP Hive nutzt den Passkey ausschließlich als zweiten Faktor: Erst wird das Passwort geprüft, dann der Passkey. Die passwortlose Anmeldung ist ein anderes Sicherheitsmodell mit anderen Fragen zur Wiederherstellung, und einen zweiten Faktor als Passwortersatz zu behandeln würde das Konto schwächen statt stärken.
Was passiert, wenn ich das Gerät mit meinem Passkey verliere?
Melden Sie sich mit einem der 10 Wiederherstellungscodes an, die Sie bei der Einrichtung gesichert haben, entfernen Sie dann den verlorenen Passkey aus der Liste in Ihrem Profil und fügen Sie einen auf dem neuen Gerät hinzu. Sind auch die Codes weg, kann ein Administrator Ihren zweiten Faktor mit dem WP-CLI-Befehl des Plugins zurücksetzen.
Funktionieren synchronisierte Passkeys aus iCloud oder Google?
Passkeys im iCloud-Schlüsselbund oder im Google Passwortmanager sind kompatibel und lassen sich mit der Schaltfläche Dieses Gerät registrieren. Sie stehen dann auf jedem Gerät bereit, das mit demselben Apple- oder Google-Konto angemeldet ist, was Sie auch vor dem Verlust eines einzelnen Telefons schützt.
Kann ich mich mit dem Passkey vom Telefon an einem Computer anmelden?
Aktuelle Browser bieten an, ein Telefon in der Nähe zu nutzen: Der Computer zeigt einen QR-Code, Sie scannen ihn und bestätigen auf dem Telefon. Dafür muss der Passkey auf dem Telefon auf der Website registriert sein, und auf beiden Geräten muss Bluetooth für die Näheprüfung eingeschaltet sein.
Weiterlesen
Die Hive-Dokumentation beschreibt die Zwei-Faktor-Authentifizierung und Hardware-Sicherheitsschlüssel Einstellung für Einstellung.