WordPress 后台还在裸奔？用 WP 2FA 4.0 给全站加上双重验证

WordPress 站点被黑的原因排前三的，永远有「admin 密码被爆破」这一项。你的站点如果只有一个密码保护后台，从今天起就该考虑加一层双重验证（2FA）——密码泄露只是时间问题，第二道验证码才是真正的门槛。

WP 2FA 是老牌的 WordPress 双重验证插件，最近发布的 4.0 版本把重点放在了「让配置变简单」上。

4.0 改了什么

• 设置页重新布局：相关功能分组展示，不再是一张翻不到头的长页面
• 配置向导重做：新用户按步骤走完就能完成全套设置，不容易漏项
• 功能可见化：各验证方式和版本差异直接展示在设置页，付费功能未购买时置灰，按需升级

配置步骤（管理员必做的 6 步）

1. 安装并启用 WP 2FA（WordPress 插件目录直接搜索），进入配置向导
2. 选择验证方式：验证器 App 生成的一次性码（推荐，不依赖手机信号）、邮件验证码等
3. 配置备用验证方式：手机丢了、验证器重装时的后路，务必设置
4. 决定强制范围：建议至少强制管理员和编辑角色；有会员/商城系统的话把用户角色也纳入
5. 设置宽限期：给已注册用户几天缓冲时间完成自己的 2FA 配置
6. 给自己的账号完成一次验证，确认登录流程正常

免费版够用吗

免费版包含核心的 2FA 功能和自定义验证码页面，个人站点完全够用。自定义邮件模板、品牌化向导这类「统一用户体验」的需求归在企业版——除非你是 agency 给客户统一交付，否则不用为它付费。

两个提醒

• 更新不丢配置：4.0 从旧版升级后原有 2FA 策略全部保留，但升级后建议检查一遍强制验证规则和备用登录方式是否正常
• 2FA 不是全部：它防的是密码泄露，防不了过期插件漏洞。双重验证 + 插件及时更新 + 定期备份，才是完整的站点安全组合

如果你的站有多作者、有会员体系、或者后台承载了 WooCommerce 交易，2FA 的优先级应该排在你本周待办的前面。