Tweefactorauthenticatie voor WordPress: complete gids

Tweefactorauthenticatie voor WordPress, vaak afgekort als 2FA, voegt naast een wachtwoord een tweede controle toe bij het inloggen. Daardoor is een gestolen of geraden wachtwoord op zichzelf niet genoeg om een account te gebruiken. Maak 2FA in elk geval verplicht voor beheerdersaccounts en regel vooraf back-upcodes, herstel en beheer van verloren apparaten.

Wat is tweefactorauthenticatie in WordPress?

Bij tweefactorauthenticatie bewijst een gebruiker zijn identiteit met twee verschillende factoren. Meestal is dat:

• iets wat de gebruiker weet: een wachtwoord;
• iets wat de gebruiker heeft: bijvoorbeeld een authenticator-app, hardware security key of passkey.

Na het invullen van gebruikersnaam en wachtwoord vraagt WordPress dus om een aanvullende bevestiging. Dat kan een tijdelijke code uit een app zijn, een beveiligingssleutel of een goedkeuring op een apparaat.

De termen 2FA, tweestapsverificatie en MFA worden vaak door elkaar gebruikt. 2FA gebruikt precies twee factoren. MFA, multifactor authentication, is de bredere term voor inloggen met meerdere factoren. In de dagelijkse praktijk wordt een WordPress-oplossing met wachtwoord plus authenticator-app vaak zowel 2FA als MFA genoemd.

Waarom is alleen een wachtwoord niet voldoende?

Een sterk, uniek wachtwoord blijft noodzakelijk, maar kan alsnog buitgemaakt worden via phishing, hergebruik op een andere dienst, malware of een datalek buiten je organisatie. Een tweede factor maakt misbruik moeilijker, omdat een aanvaller ook toegang moet hebben tot die extra factor.

2FA is wel een aanvulling, geen volledige beveiligingsstrategie. Houd WordPress, thema's en plugins actueel, beperk beheerdersrechten en zorg dat je herstelproces werkt. Een bruikbare basis voor herstel vind je in onze gids over back-ups voor WordPress maken, testen en herstellen.

Welke tweede factor kies je?

De beste keuze hangt af van het type account, het aantal beheerders en de manier waarop je organisatie werkt. Kies niet alleen op gemak. Kijk ook naar phishingweerstand, beschikbaarheid bij verlies van een telefoon en beheerbaarheid.

Tweede factor	Geschikt voor	Sterk punt	Belangrijk aandachtspunt
Authenticator-app met tijdgebonden code	Beheerders en vaste redacteuren	Praktisch zonder afhankelijkheid van e-mail of sms	Leg back-upcodes en apparaatvervanging vooraf vast
Passkey	Gebruikers met moderne, beheerde apparaten	Kan phishingweerstand en gebruiksgemak combineren	Controleer of de gekozen WordPress-oplossing en apparaten dit goed ondersteunen
Hardware security key	Hoofdbeheerders en accounts met grote impact	Fysieke, sterke aanvullende factor	Regel een reserve-exemplaar en veilige uitgifte
E-mailcode	Alleen als tijdelijke of laagdrempelige route	Geen aparte app nodig	De beveiliging hangt sterk samen met de beveiliging van de mailbox
Sms-code	Alleen wanneer betere opties niet haalbaar zijn	Breed toegankelijk	OWASP wijst op risico's rond sms als authenticatiefactor; kies waar mogelijk een sterkere optie

Voor veel mkb-websites is een authenticator-app een werkbare basis voor beheerders. Overweeg voor het belangrijkste beheerdersaccount daarnaast een hardware security key of passkey, mits je herstelprocedure en compatibiliteit op orde zijn.

Voor welke WordPress-accounts maak je 2FA verplicht?

Begin met accounts die instellingen kunnen wijzigen, plugins kunnen installeren, gebruikers kunnen beheren of content met zakelijke impact kunnen publiceren. Dat zijn doorgaans beheerders. Kijk daarna naar andere rollen op basis van risico.

• Beheerders: maak 2FA verplicht.
• Ontwikkelaars, externe beheerders en bureaus: maak 2FA verplicht zolang toegang nodig is; verwijder toegang wanneer de opdracht eindigt.
• Redacteuren: overweeg 2FA wanneer zij regelmatig publiceren of toegang hebben tot bedrijfsgevoelige informatie.
• Abonnees of klanten: beoordeel dit op basis van de gegevens en functies die achter de login beschikbaar zijn.

Werk volgens het principe van minimale rechten: geef ieder account alleen de mogelijkheden die voor het werk nodig zijn. Gebruik geen gedeelde beheerdersaccounts. Zo blijft duidelijk wie toegang heeft en kun je toegang per persoon intrekken.

Tweefactorauthenticatie instellen in WordPress

WordPress-configuraties verschillen per hostingomgeving, loginoplossing, pluginset en gebruikersrollen. Volg daarom dit stappenplan en test eerst buiten je belangrijkste beheerdersaccount.

1. Breng accounts en rollen in kaart. Maak een overzicht van alle accounts met beheerrechten, externe partijen en ongebruikte accounts. Verwijder accounts die niet meer nodig zijn.
2. Kies de factor en implementatieroute. Bepaal welke tweede factor je ondersteunt. Controleer of je gekozen WordPress-oplossing actief wordt onderhouden, past bij je versie en samengaat met je bestaande login- of securityplugins.
3. Maak een herstelprocedure voordat je afdwingt. Leg vast wie een gebruiker mag helpen, hoe identiteit wordt gecontroleerd en hoe een verloren apparaat wordt afgehandeld. Bewaar back-upcodes niet alleen op de telefoon waarop de authenticator-app staat.
4. Test met een apart testaccount. Test inloggen, uitloggen, een verkeerde code, een verloren tweede factor, back-upcodes en herstel. Controleer ook of beheerders nog bij noodzakelijke beheerfuncties kunnen.
5. Activeer 2FA eerst voor beheerders. Laat iedere beheerder de factor zelf instellen en bevestigen. Hanteer zo nodig een korte invoerperiode, maar communiceer helder wanneer 2FA verplicht wordt.
6. Leg de werkwijze vast. Documenteer welke rollen 2FA gebruiken, waar herstelverantwoordelijkheid ligt en hoe toegang van medewerkers en leveranciers wordt beëindigd.
7. Controleer na updates opnieuw. Test de login na grote wijzigingen aan WordPress, thema's, plugins, hosting of de gekozen authenticatieoplossing.

Back-upcodes en herstel bij een verloren apparaat

Account recovery is een cruciaal onderdeel van 2FA. Zonder voorbereiding kan een medewerker na verlies of vervanging van een telefoon zichzelf buitensluiten. Een te soepel herstelproces creëert juist een ingang voor misbruik.

Maak daarom onderscheid tussen gemak en controle. Gebruik back-upcodes als noodoplossing, bewaar ze op een veilige plek en behandel ze als gevoelige inloggegevens. Definieer daarnaast wie herstel mag uitvoeren en hoe je de identiteit van de aanvrager verifieert. Een herstelactie moet ook leiden tot het intrekken of vervangen van de oude tweede factor.

Veelgemaakte fouten bij 2FA voor WordPress

• Alleen 2FA instellen voor één beheerder: zorg dat ieder afzonderlijk beheerdersaccount beschermd is.
• Geen reserve- of herstelroute regelen: dit veroorzaakt uitval bij verlies, defect of vervanging van een apparaat.
• Back-upcodes in een onbeveiligd document bewaren: wie de codes bezit, kan ze mogelijk gebruiken voor toegang.
• Een plugin installeren zonder compatibiliteitstest: controleer de werking met je loginflow, caching, andere securityplugins en gebruikersrollen.
• 2FA zien als vervanging voor onderhoud: kwetsbare plugins, verouderde software en te ruime rechten blijven risico's.
• Toegang van oud-medewerkers of leveranciers laten bestaan: verwijder of verlaag rechten zodra toegang niet meer nodig is.

2FA combineren met WordPress-beheer

Een veilige WordPress-website vraagt om samenhang. Combineer tweefactorauthenticatie met unieke wachtwoorden, beperkte gebruikersrechten, actuele software, gecontroleerde back-ups en periodieke controles. Bij wijzigingen aan de site is het ook verstandig om de technische kwaliteit te bewaken. Gebruik bijvoorbeeld onze uitleg over 404- en soft-404-fouten om na wijzigingen te controleren of belangrijke pagina's en URL's correct blijven werken.

Wil je beveiliging, beheer en doorontwikkeling structureel meenemen in je websiteaanpak? Bekijk dan wat LYNX doet op het gebied van strategisch en creatief webdesign en het volledige overzicht van webdesign, SEO en Google Ads-diensten.

Periodieke 2FA-checklist

Controlepunt	Wat controleer je?	Actie bij afwijking
Beheerdersaccounts	Heeft ieder beheerdersaccount 2FA actief?	Activeer 2FA of verwijder ongebruikte accounts
Gebruikersrechten	Past elke rol nog bij de actuele werkzaamheden?	Verlaag rechten of trek toegang in
Herstelprocedure	Zijn verantwoordelijke personen, identiteitscontrole en escalatie duidelijk?	Werk de procedure bij en deel deze met bevoegde beheerders
Back-upcodes	Zijn codes veilig opgeslagen en nog beschikbaar voor de juiste persoon?	Vervang codes wanneer ze mogelijk zijn ingezien of kwijtgeraakt
Wijzigingen aan de site	Werkt de login nog na updates of wijzigingen aan plugins en hosting?	Test met een niet-kritisch account en herstel problemen direct
Vertrokken gebruikers	Zijn accounts van oud-medewerkers en leveranciers verwijderd?	Deactiveer accounts en controleer gekoppelde herstelmethoden

Wanneer schakel je hulp in?

Schakel hulp in wanneer meerdere beheerders, externe partijen, een complexe loginflow of gevoelige klantgegevens betrokken zijn. Ook wanneer je onzeker bent over plugincompatibiliteit, herstelprocessen of de combinatie met bestaand WordPress-beheer is een technische beoordeling verstandig.

Bespreek je website of online groeikansen met LYNX Media.