2026.10.23

WordPress 管理員登入沒有第二道驗證？用 Two Factor 安全加上 2FA

如果 WordPress 後台仍然只有帳號與密碼登入，即使密碼設定得很複雜，管理員帳號仍可能因釣魚網站、重複使用密碼、惡意程式或資料外洩而被接管。當你在登入紀錄中看到陌生 IP、異常國家或大量失敗嘗試，卻沒有第二道驗證時，就應該把 2FA（Two-Factor Authentication，雙因素驗證）列入維護工作。

你可以先參考站內的WordPress 登入安全與管理員帳號檢查，確認目前有哪些管理員、是否有異常登入，再進一步啟用 2FA。本文介紹的是 WordPress.org 上的 Two Factor 外掛，不是名稱相近的 WP 2FA。

為什麼只有密碼登入不夠安全？

管理員密碼可能已外洩：密碼若曾在其他服務使用，其他服務被入侵時也可能被拿來嘗試登入 WordPress。
登入紀錄出現異常：例如短時間內有大量失敗登入、來自不熟悉地區的成功登入，或出現不是由團隊執行的後台變更。
暴力破解不一定立即成功：限制登入嘗試可以降低風險，但不能取代第二道驗證。可搭配Limit Login Attempts Reloaded 的登入失敗檢查使用。

2FA 的作用是要求使用者除了密碼外，再提供另一項驗證資料。本文使用 TOTP（基於時間的一次性密碼）驗證器，登入時會輸入驗證器 App 顯示的短效數字。它能大幅降低「只有密碼被偷」造成的風險，但不是防護所有攻擊的萬靈丹；釣魚、惡意外掛、主機遭入侵與過期軟體仍需另外處理。

Two Factor 外掛與功能限制

WordPress.org 的 Two Factor 外掛可為個別使用者提供多種第二因素選項，其中最常用的是 TOTP 驗證器。它是 WordPress 外掛，不代表 WordPress 核心內建 2FA；安裝、更新與相容性仍由網站維護者負責。

請特別注意，此外掛不能單靠後台介面強制所有角色或所有使用者啟用 2FA。它主要是讓每位使用者在自己的個人資料中設定驗證方式。因此，網站若需要「所有管理員必須完成 2FA」的政策，還要搭配流程、權限管理或其他具備強制功能的安全方案，並先在測試環境驗證。

安裝 Two Factor 外掛

以管理員身分登入 WordPress 後台。
前往外掛 → 安裝外掛，搜尋 Two Factor。
確認作者與外掛頁面是 WordPress.org 的 Two Factor，而不是 WP 2FA 或其他相似名稱的外掛。
按立即安裝，完成後按啟用。
在正式網站安裝前，建議先完成備份，並依照既有的WordPress 外掛更新前安全檢查清單確認版本與相容性。

不要在沒有復原方案的情況下，直接替所有管理員啟用 2FA。先讓一個仍能正常登入的管理員完成設定、登出測試與復原演練。

每位使用者設定 TOTP 驗證器

以下流程要由每位需要保護的使用者各自執行，管理員帳號、編輯或其他高權限帳號都不能只由其中一人代為設定。

登入 WordPress 後台，前往使用者 → 個人資料。
找到 Two Factor 相關設定，在可用的驗證方式中啟用驗證器（TOTP）。
使用 Google Authenticator、Microsoft Authenticator、1Password 或其他支援 TOTP 的驗證器 App 掃描 QR Code；若無法掃描，也可以手動輸入密鑰。
輸入 App 當下顯示的一次性驗證碼，確認配對成功。
依畫面產生備用碼（Backup Codes），並在確認能安全保存後完成個人資料更新。

TOTP 的時間必須正確。若驗證碼一直被拒絕，先檢查手機的日期與時間是否設為自動同步，再確認沒有掃描到舊的 QR Code 或輸入錯誤的帳號設定。

備用碼要怎麼保存？

備用碼是手機遺失、換機或驗證器無法使用時的重要復原方式。每組備用碼通常只能使用一次，產生新的一組後，舊碼可能會失效；請依外掛畫面提示為準。

不要把備用碼貼在公開記事、工單、聊天群組或網站檔案中。
建議儲存在受密碼保護的密碼管理器，或以其他離線且只有授權人員能取得的方式保存。
不要只把備用碼放在與手機同一個裝置；手機遺失時可能兩邊一起失去。
使用過、遺失或疑似外洩時，應重新產生備用碼，並檢查帳號與登入紀錄。

一定要做：登出再登入測試

設定完成後，不要只看個人資料頁顯示成功就結束。請先確認備用碼已安全保存，再依序測試：

開啟無痕視窗或另一個瀏覽器，避免既有登入 Cookie 造成誤判。
登出 WordPress 後台，重新輸入帳號與密碼。
確認系統要求輸入 TOTP 驗證碼，並輸入驗證器 App 顯示的代碼。
再次登出，使用一組備用碼測試是否能完成登入；測試用的備用碼之後應視為已使用並重新產生。
確認另一位管理員仍能登入，且團隊知道復原方式。

遺失手機或被鎖定時怎麼復原？

先嘗試使用備用碼

如果只是手機遺失、換機或驗證器 App 被刪除，優先使用先前保存的備用碼登入。登入後立即重新設定 TOTP、撤銷舊的驗證器設定，並產生新的備用碼。

請另一位可用的管理員協助

若網站還有另一個能正常登入的管理員，先不要停用整個安全機制。請由該管理員協助檢查受影響帳號的個人資料與驗證設定，或依外掛支援文件採取重設方式。完成後仍要由帳號本人重新設定 TOTP，不能共用同一個驗證器密鑰。

沒有可用管理員時的主機層級復原

若所有管理員都被鎖定，且沒有備用碼，請先透過主機控制台、SFTP 或 SSH 保留備份，再暫時停用 Two Factor 外掛，讓網站回到只有密碼登入的狀態，登入後重新設定 2FA，再啟用外掛。維護者可使用 WP-CLI，例如：

wp plugin deactivate two-factor

實際外掛目錄名稱、主機權限與 WP-CLI 設定可能不同；若 WP-CLI 仍載入外掛造成問題，應依主機環境採用暫時重新命名外掛目錄或其他安全的停用方式。這是緊急復原措施，不應長期停用 2FA。若不熟悉檔案或資料庫操作，請先找主機商或 WordPress 維護人員，避免直接刪除不明的 user meta 資料。

若網站使用 Email 作為第二因素或復原通知，能否收到信會受到網站寄信設定、SMTP、寄件網域驗證與信件服務商影響。可以參考WP Mail SMTP 的測試信與基本檢查確認寄信功能，但 Email 2FA 的安全性與可用性仍取決於信箱帳號本身是否安全。

套用到其他帳號前的維護清單

先確認目前管理員有可用的 TOTP、備用碼或明確的主機層級復原方式。
逐一通知使用者設定，不要只在群組訊息中貼出共用密鑰或備用碼。
完成一個帳號的登出、TOTP 登入與備用碼測試後，再處理下一個帳號。
檢查管理員清單，移除不再需要的帳號與過高的權限。
持續更新 WordPress 核心、佈景主題與外掛，並搭配登入限制、備份、主機防火牆與異常監控。

WordPress 官方也建議採用多因素驗證來強化登入安全，並提醒網站維護者同時處理密碼管理與暴力破解風險：WordPress 多因素驗證說明、WordPress 暴力破解防護、WordPress 密碼最佳實務。

FAQ

Q1：Two Factor 是 WordPress 核心內建的 2FA 嗎？

不是。Two Factor 是 WordPress.org 上的外掛，需個別安裝、啟用與維護。WordPress 核心本身不等於已經內建並強制啟用 2FA。

Q2：安裝外掛後，所有使用者會自動啟用 2FA 嗎？

不會。每位使用者通常要到使用者 → 個人資料自行設定 TOTP。這個外掛不能單靠介面強制所有角色完成 2FA，因此需要另外建立管理政策或使用具有強制功能的解決方案。

Q3：手機遺失又沒有備用碼，最安全的做法是什麼？

若仍有另一位可登入的管理員，請先由對方協助檢查與重設；若所有人都無法登入，應先備份，再由具備主機或 SSH/SFTP 權限的維護者暫時停用外掛以復原登入，之後立即重新設定 TOTP、產生備用碼並重新啟用保護。不要直接刪除資料庫欄位，也不要把復原密鑰交給未授權人員。