Почему пароля недостаточно
Пароль сайта могут угадать, получить из утечки с другого сервиса или подсмотреть. Если на всех сервисах один пароль, достаточно взлома одного из них. Базы украденных паролей давно продаются и автоматически проверяются на тысячах сайтов, поэтому подобрать пароль к админке без всякого особого интереса к вам вполне возможно.
Что такое второй фактор
После пароля система просит одноразовый код из приложения на телефоне или аппаратный ключ. Без телефона войти нельзя, даже зная пароль. Код меняется каждые полминуты, поэтому украсть его заранее нельзя.
Что сделать
- Включить двухфакторный вход в админке сайта, на хостинге и в почте домена.
- Использовать приложение-аутентификатор, а не SMS: код по SMS можно перехватить.
- Сохранить резервные коды в надёжном месте.
- Выдавать права по необходимости: редактору не нужен доступ администратора.
Начните с самых важных учётных записей: почта домена, хостинг, админка сайта. Именно через них сайт можно потерять целиком. Остальные сервисы подключайте по очереди.
Ещё три мелочи
- Уникальный пароль для каждого сервиса, лучше через менеджер паролей.
- Адрес админки, отличный от стандартного, и ограничение числа попыток входа.
- Обновление плагинов и системы — см. безопасность WordPress.
Как не усложнить жизнь команде
- Объясните сотрудникам, что это занимает пять секунд при входе.
- Выберите одно приложение для всех, чтобы не было путаницы.
- Храните резервные коды у руководителя в запертом месте или менеджере паролей.
- При уходе сотрудника сразу отзывайте его доступ и сбрасывайте второй фактор.
Если сайт уже взломан, второй фактор не поможет: сначала нужно восстановить из чистой копии — см. резервные копии.