Ja, er zijn meerdere 2FA-plugins beschikbaar voor WordPress. Populaire opties zijn WP 2FA, Wordfence Login Security, miniOrange Google Authenticator en de lichte Two Factor-plugin van WordPress-bijdragers. WordPress biedt geen ingebouwde twee-factor-authenticatie, dus je hebt altijd een plugin nodig om deze beveiliging aan je loginpagina toe te voegen. Hieronder beantwoorden we de meestgestelde vragen over twee-factor-authenticatie voor WordPress, van de werking tot herstel bij verlies van toegang.
Welke 2FA-plugins zijn beschikbaar voor WordPress?
De meest aanbevolen 2FA-plugins voor WordPress zijn WP 2FA (door Melapress), Wordfence Login Security, miniOrange Google Authenticator, Two Factor (onderhouden door WordPress-bijdragers) en Shield Security. Elke plugin heeft zijn eigen sterktes, afhankelijk van de grootte van je team en de authenticatiemethoden die je wilt ondersteunen.
De keuze hangt af van jouw situatie. Hier is een overzicht van de vier meest gebruikte opties:
- WP 2FA is de aanbevolen standaardkeuze voor websites met meerdere gebruikers. De gratis versie ondersteunt authenticator-apps (TOTP) en e-mailcodes, biedt rolbeleid, respijtperiodes en back-upcodes, en werkt ook in WordPress Multisite-omgevingen.
- Wordfence Login Security biedt gratis 2FA zonder gebruikerslimiet. Gebruik je Wordfence al als beveiligingsplugin, dan is dit de logische keuze: alles zit in één dashboard.
- miniOrange Google Authenticator ondersteunt meer dan vijftien 2FA-methoden, waaronder TOTP, SMS, e-mail, WhatsApp en Telegram. Ideaal als je gebruikers maximale flexibiliteit wilt geven.
- Two Factor is een lichte, gratis plugin zonder poespas. Ondersteunt TOTP en back-upcodes, en voegt vrijwel geen gewicht toe aan je WordPress-installatie.
Als vuistregel geldt: gebruik Two Factor als je één of twee beheerders hebt, WP 2FA als je 2FA per gebruikersrol wilt afdwingen, Wordfence Login Security als je Wordfence al actief hebt, en miniOrange als je SMS, WhatsApp of Telegram als authenticatiemethode nodig hebt.
Hoe werkt twee-factor-authenticatie op een WordPress-site?
Twee-factor-authenticatie voor WordPress voegt een tweede verificatiestap toe aan het inlogproces. Na het invoeren van je gebruikersnaam en wachtwoord vraagt WordPress om een extra code, meestal een tijdelijke code uit een authenticator-app op je telefoon. Pas als je die code correct invult, krijg je toegang tot het dashboard.
Het principe is simpel: iets dat je weet (je wachtwoord) gecombineerd met iets dat je hebt (je telefoon). Een aanvaller die alleen je wachtwoord heeft, komt dus niet verder. TOTP-codes, de meestgebruikte variant, worden elke dertig seconden automatisch vernieuwd door de authenticator-app en werken ook zonder internetverbinding.
WordPress ondersteunt 2FA niet standaard in de kern. Je installeert een 2FA-plugin, koppelt je account aan een authenticator-app via een QR-code, en vanaf dat moment verloopt elke login via die twee stappen. Volgens onderzoek naar WordPress-loginbeveiliging Deze link opent in een nieuw tabblad blokkeert 2FA vrijwel alle op inloggegevens gebaseerde aanvallen, omdat een aanvaller vrijwel nooit tegelijkertijd je wachtwoord én je telefoon in handen heeft.
Wat zijn de verschillen tussen 2FA-methoden voor WordPress?
WordPress 2FA-plugins ondersteunen doorgaans vier soorten authenticatiemethoden: authenticator-apps (TOTP), e-mailcodes, sms en hardware-sleutels. Ze verschillen sterk in veiligheid en gebruiksgemak. De authenticator-app is voor de meeste websites de beste keuze; de andere methoden hebben elk hun eigen voor- en nadelen.
Authenticator-app (TOTP)
TOTP via een app zoals Google Authenticator, Authy of Microsoft Authenticator is de aanbevolen basismethode. De codes worden lokaal gegenereerd, werken offline en zijn gratis. Omdat de code elke dertig seconden verandert en nooit over het netwerk wordt verstuurd, is dit de veiligste gangbare optie voor de meeste WordPress-sites.
E-mailcodes
E-mailcodes zijn de zwakste optie. Het e-mailadres dat je gebruikt voor WordPress-login is doorgaans ook het herstelkanaal voor je wachtwoord. Een aanvaller die toegang heeft tot je inbox, kan zo zowel je wachtwoord als de tweede factor onderscheppen. Gebruik e-mailcodes alleen als terugvaloptie, niet als primaire methode.
SMS
Sms wordt als minder veilig beschouwd dan TOTP. Het is kwetsbaar voor sim-swapping, waarbij een aanvaller jouw telefoonnummer naar een eigen simkaart overdraagt. Beveiligingsrichtlijnen van NIST raden sms al jaren af als primaire tweede factor. Sommige plugins bieden sms wel aan als extra optie voor gebruikers die geen authenticator-app willen installeren.
Hardware-sleutels
Hardware-sleutels zoals YubiKey of FIDO2-apparaten zijn de sterkste optie. De sleutel verlaat het apparaat nooit en is gekoppeld aan een specifiek domein, waardoor phishing vrijwel onmogelijk is. Dit is de juiste keuze voor beheerders van kritieke systemen of organisaties met hoge beveiligingseisen.
Moet ik 2FA verplicht stellen voor alle WordPress-gebruikers?
Voor beheerders en redacteuren is het verplicht stellen van 2FA sterk aan te raden. Zij hebben de meeste rechten op je WordPress-site, en één account zonder 2FA is voldoende voor een aanvaller om volledige toegang te krijgen. Voor gebruikers met minder rechten, zoals abonnees, is 2FA optioneel maar nooit overbodig.
Goede 2FA-plugins zoals WP 2FA en ProfilePress bieden handhaving op basis van gebruikersrollen. Je stelt in dat 2FA verplicht is voor beheerders, terwijl het voor bijdragers optioneel blijft. WP 2FA biedt daarnaast een respijtperiode: gebruikers krijgen een paar dagen de tijd om 2FA in te stellen voordat ze worden geblokkeerd, in plaats van directe uitsluiting. Dat scheelt je een belletje naar de IT-afdeling.
Let op één technisch aandachtspunt: sommige 2FA-plugins haken alleen in op de standaard WordPress-inlogpagina (wp-login.php). Als jouw site gebruikmaakt van een aangepast inlogformulier, kan het zijn dat gebruikers de tweede factor automatisch omzeilen. Controleer bij de installatie of de plugin ook werkt met jouw inlogoplossing.
Wat gebeurt er als een gebruiker zijn 2FA-toegang kwijtraakt?
Als een gebruiker geen toegang meer heeft tot zijn 2FA-methode, zijn er meerdere herstelroutes beschikbaar. De snelste oplossing is het gebruik van een eerder opgeslagen back-upcode. Zonder back-upcode zijn er technische alternatieven, maar die kosten meer tijd.
De meest gangbare herstelstappen in volgorde van eenvoud zijn:
- Back-upcode gebruiken: Goede 2FA-plugins genereren bij de installatie eenmalige herstelcodes. Sla deze op in een wachtwoordmanager of print ze uit. Na gebruik is een code ongeldig.
- Plugin deactiveren via FTP: Hernoem de pluginmap in /wp-content/plugins/ via FTP. WordPress herkent de plugin dan niet meer en je kunt inloggen zonder 2FA. Daarna activeer je de plugin opnieuw en stel je 2FA opnieuw in.
- Gebruikersmeta verwijderen via phpMyAdmin of WP-CLI: Een meer technische optie waarbij je de 2FA-koppeling van een specifieke gebruiker verwijdert uit de database.
- Contact opnemen met de hostingprovider: Als FTP-toegang ook niet mogelijk is, kan de hostingprovider noodtoegang verlenen.
Krijg je een foutmelding terwijl je authenticator-app nog beschikbaar is? Dan kan een klokverschil de oorzaak zijn. TOTP-codes zijn tijdgebonden; als de klok op je telefoon niet gesynchroniseerd is, worden codes geweigerd. Synchroniseer de klok van je apparaat en probeer opnieuw. Meer herstelstappen vind je in deze praktische 2FA-herstelgids Deze link opent in een nieuw tabblad.
Heeft een 2FA-plugin invloed op de snelheid van WordPress?
Nee, een 2FA-plugin heeft in de praktijk geen merkbare invloed op de laadtijd van je website. 2FA-plugins worden alleen geladen tijdens het inlogproces en zijn volledig onzichtbaar voor gewone bezoekers. De front-end van je site wordt er niet langzamer van.
De reden is simpel: de plugin activeert zich alleen op de inlogpagina, niet op elke pagina die een bezoeker opent. Bezoekers die je website browsen, merken er helemaal niets van. Alleen de beheerder of redacteur die inlogt, ziet de extra stap. Zelfs lichtgewicht plugins zoals de Two Factor-plugin van WordPress-bijdragers voegen vrijwel geen gewicht toe aan de installatie.
De performance-impact van een WordPress-plugin hangt altijd af van waar die plugin wordt geladen. Plugins die alleen actief zijn in het beheerdersgebied of bij specifieke acties, raken de snelheid van je website voor bezoekers niet. 2FA-plugins vallen in die categorie.
Is een 2FA-plugin voldoende om WordPress volledig te beveiligen?
Nee, een 2FA-plugin alleen is niet voldoende om je WordPress-site volledig te beveiligen. Twee-factor-authenticatie beschermt de login uitstekend, maar biedt geen bescherming tegen aanvallen die geen inloggegevens vereisen, zoals kwetsbaarheden in verouderde plugins of thema’s. De meeste hacks op WordPress-sites ontstaan juist door verouderde software of zwakke hosting, niet alleen door een ontbrekende tweede factor.
De grootste winst zit in een combinatie van maatregelen. Denk aan:
- Regelmatige updates van WordPress, thema’s en plugins, want verouderde software is de meest voorkomende ingang voor aanvallers.
- Sterke, unieke wachtwoorden beheerd via een wachtwoordmanager, zodat één gelekt wachtwoord niet meteen alle accounts in gevaar brengt.
- Beperking van inlogpogingen om brute force-aanvallen te vertragen.
- Een firewall (WAF) en malware-scanner om verdacht verkeer te blokkeren voordat het je site bereikt.
- Veilige hosting met serverfirewalls, malware-scans en automatische patches, zodat veel problemen worden ondervangen voordat WordPress zelf wordt geladen.
- Automatische back-ups op een externe locatie, zodat je bij een incident snel kunt herstellen.
Geen enkele maatregel is op zichzelf waterdicht. Gestapelde maatregelen maken inbreken zo lastig dat aanvallers verder zoeken naar een makkelijker doelwit. 2FA is een krachtige schakel in die keten, maar werkt het best als onderdeel van een bredere beveiligingsstrategie. Meer weten over hoe je een solide en veilige WordPress-website opbouwt? Bekijk wat er allemaal komt kijken bij een WordPress-website laten maken.
Bij Stuurlui bouwen we WordPress-sites met beveiliging als fundament, van strenge pluginselectie en veilige code tot regelmatige pentests. Wil je weten hoe we dat aanpakken voor jouw organisatie? Neem gerust contact op.