只靠密碼保護 WordPress 管理員帳戶並不足夠。雙重驗證會在密碼以外要求另一項證明，例如驗證器產生的一次性密碼或硬體安全金鑰。即使密碼因釣魚、重用或資料外洩被取得，攻擊者仍缺少第二項因素。
雙重驗證不是兩個密碼
可靠的第二因素應屬於不同類別，例如你知道的密碼，加上你持有的手機或安全金鑰。把兩條安全問題、兩個密碼或同一電郵內的兩個代碼疊加，並不能提供同等保護。選擇方案時要分清因素類型。
先保護最高權限帳戶
首先為管理員、主機控制台、網域、Cloudflare 和備份服務啟用雙重驗證。WordPress 編輯和商店經理亦可按風險逐步加入。若電郵帳戶未受保護，攻擊者可能透過重設密碼繞過網站上的防護。
選擇仍有維護的整合方案
WordPress 可透過安全外掛加入雙重驗證。選擇近期仍更新、支援現有 WordPress 和 PHP 版本、清楚說明後備方法及角色強制政策的方案。不要同時安裝多個登入安全外掛，否則可能重複攔截或令登入頁失效。
驗證器 App 適合作為起點
以時間為基礎的一次性密碼通常容易部署，驗證器 App 每隔短時間產生代碼，不依賴電話短訊。掃描 QR Code 後，立即輸入一次代碼確認時鐘同步。不要把 QR Code 截圖放在相簿、聊天或公開雲端資料夾。
安全金鑰提供更強抗釣魚能力
支援 WebAuthn 或 FIDO 的硬體安全金鑰可把驗證綁定到正確網站來源，比手動輸入代碼更能抵抗仿冒登入頁。重要管理員可登記至少兩把金鑰，一把日常使用，一把存放在安全位置作後備。
短訊只作有限後備
SMS 比沒有第二因素好，但可能受電話號碼轉移、訊息攔截和收訊問題影響。若方案同時支援驗證器或安全金鑰，應優先使用較強方式。不要把所有管理員的後備都綁在同一個容易失效的電話號碼。
先在測試帳戶啟用
建立一個非主要管理員測試帳戶，確認登入、登出、記住裝置和後備流程正常，再為主要帳戶啟用。測試期間保留另一個已登入的管理頁分頁，避免設定錯誤後立即失去所有修正入口。
下載並離線保存復原碼
復原碼通常每個只能使用一次，應下載、列印或存入可信密碼管理器，不要只保存在同一部手機。完成設定後實際驗證其中一個後備流程，並在使用復原碼後重新產生或更新保存副本。
為團隊設定寬限期
若要強制所有管理員或編輯啟用，可先通知原因、截止日期和支援方法，並給予合理寬限期。直接強制而沒有後備安排，容易在員工換手機或外判人員交接時造成停工。離職帳戶仍應立即停用，而不是只移除第二因素。
不要無限信任裝置
「記住這部裝置」能減少每天輸入代碼，但只適用於受管理的私人裝置。共用電腦、網吧、外判裝置或遺失風險高的手機不應長期信任。設定合理有效期，並在裝置遺失或人員離職時撤銷工作階段。
保護復原與支援流程
最弱的環節往往是人工解除雙重驗證。團隊應訂明誰有權重設、需要哪些身份證明，以及如何記錄操作。不要因對方能說出帳戶名稱便關閉保護。復原完成後要求重設密碼並重新登記第二因素。
定期檢查帳戶和工作階段
每季檢查管理員名單、最後登入、已登記因素和長期工作階段。刪除不用帳戶，將不需要最高權限的人降級，並確認備用管理員仍可使用。雙重驗證不能修補過多權限或長期未更新的外掛。
準備外掛故障的安全處理
更新前先做可還原備份，並確保能進入主機檔案管理或 SSH。若登入安全外掛與網站衝突，應按照該方案的正式復原文件處理，不要隨意刪除資料庫欄位。恢復登入後再找出相容性原因和重新啟用保護。
配合其他登入防護
雙重驗證應與強而獨立的密碼、密碼管理器、登入速率限制、更新、最低權限和登入通知配合。它可降低帳戶接管風險，但不能阻止已登入裝置被盜、惡意外掛或伺服器漏洞。
結語
WordPress 雙重驗證應先覆蓋最高權限和關鍵外部服務，再逐步擴展到團隊。選擇驗證器或安全金鑰，保存離線復原碼，測試支援流程並定期撤銷舊裝置，才能把額外登入步驟真正轉化為可持續的安全層。
