Кожен день боти сканують тисячі WordPress-сайтів у пошуках вразливої сторінки входу. Пароль «admin123», кличка собаки або дата народження як облікові дані — це не захист, а запрошення для атакуючого. За даними Wordfence, bruteforce-атаки становлять левову частку шкідливого трафіку на WP, а скомпрометований пароль адміністратора означає повне захоплення сайту.

Двофакторна автентифікація (2FA) закриває цей вектор практично повністю: навіть якщо пароль витік, без другого фактора зловмисник не ввійде. Принцип простий: після введення логіна та пароля система запитує одноразовий код (TOTP), який генерується застосунком-автентифікатором, надходить через SMS або на email.

Але вибір плагіна, окреме завдання. У репозиторії WordPress.org десятки 2FA-рішень: від легковагих open-source до enterprise-комбайнів з апаратними токенами. З нашого досвіду, далеко не всі з них однаково зручні в налаштуванні та стабільні в роботі. Ми відібрали 7 робочих плагінів двофакторної автентифікації, актуальних у 2026 році, і розклали по поличках: що ставити на особистий блог, а що, на сайт із командою редакторів.

💡 Швидкий огляд:

• miniOrange 2FA, максимум методів автентифікації з коробки, безплатно для одного користувача
• Two-Factor, open-source стандарт від core-розробників WordPress
• WP 2FA, найкращий для примусової 2FA на всю команду
• Duo Universal, enterprise-варіант від Cisco з push-автентифікацією
• Rublon MFA, польський MFA-комбайн з email, SMS, QR та апаратними ключами
• GatewayAPI, SMS-рушій зі вбудованою 2FA для WooCommerce-магазинів
• WP 2-Step Verification, мінімалістичний варіант із застосунком та email-кодами

Порівняльна таблиця плагінів 2FA

1. MiniOrange 2FA

🔗 miniOrange 2FA на WordPress.org | 🔗 Жива демонстрація

Найпопулярніший 2FA-плагін у репозиторії WordPress з аудиторією понад 200 000 активних установок. miniOrange, відомий розробник security-рішень для WordPress, і їхній флагманський продукт повністю виправдовує рейтинг 4,5 зірки.

З коробки ви отримуєте підтримку TOTP (Google Authenticator, Authy, Microsoft Authenticator), одноразові коди через SMS та email, push-сповіщення, кастомні секретні запитання й апаратні токени. Окремо варто відзначити захист від bruteforce з IP-блокуванням і сумісність із GDPR.

Безплатна версія працює для одного користувача та покриває переважну більшість сценаріїв: особистий блог, невеликий сайт-портфоліо. Якщо потрібна 2FA для команди, доведеться дивитися в бік Premium (від $9/міс за 5 користувачів), але для адміністратора-одинака це найкращий баланс «функції на $».

Плюси: максимум методів автентифікації в безплатній версії, інтуїтивний інтерфейс, українська мова в адмінці. Мінуси: Premium-стіна для кількох користувачів, агресивний апсейл в адмінці.

2. Two-Factor

🔗 Two-Factor на WordPress.org | 🔗 Жива демонстрація

Open-source плагін під крилом команди розробників на чолі з George Stephanis. Жодного Premium, жодного апсейлу, чистий мінімалізм і код, який потенційно може увійти в ядро WordPress.

Після активації налаштування з’являються в розділі Користувачі → Ваш профіль → Two-Factor Options. Підтримує чотири методи: TOTP (Google Authenticator та аналоги), коди електронною поштою, FIDO U2F (апаратні ключі на кшталт YubiKey) і резервні коди відновлення. Є фіктивний метод для тестування, зручно, якщо налаштовуєте на staging-середовищі.

Плагін перекладено 15 мовами та має понад 30 000 активних встановлень. Для тих, хто цінує «vanilla WordPress» і не хоче зайвого коду, найкращий вибір. Але будьте готові: жодних SMS, push-сповіщень і гарних дашбордів. Чиста функція.

Плюси: open-source без Premium, від core-розробників, мінімальне навантаження на сайт. Мінуси: немає SMS і push, спартанський інтерфейс, лише базова 2FA.

3. WP 2-Step Verification

🔗 WP 2-Step Verification на WordPress.org | 🔗 Жива демонстрація

Плагін від в’єтнамського розробника as247 із несподівано приємним інтерфейсом на Vue.js. Виглядає сучасніше за багатьох конкурентів, а налаштування займає менше ніж 10 хвилин, навіть з інтеграцією WooCommerce на фронтенді.

WP 2-Step Verification підтримує multisite, коди електронною поштою та через TOTP-застосунок (Google Authenticator), резервні коди й відновлення через FTP, що рятує, якщо телефон загублено. З цікавого: app passwords для застосунків, які не підтримують двоетапну верифікацію (XML-RPC, Jetpack), і можливість вимкнути 2FA на довірених пристроях.

Важливий нюанс: плагін не підтримує редактор Gutenberg, знадобиться класичний редактор. Розробник обіцяв додати сумісність, але поки цього не сталося. На момент написання протестовано аж до WordPress 6.8.5, оновлювався 8 місяців тому.

Плюси: сучасний інтерфейс на Vue.js, інтеграція з WooCommerce, app passwords. Мінуси: немає підтримки Gutenberg, лише 1 000+ встановлень, один розробник (ризик abandonment).

4. Rublon MFA

🔗 Rublon MFA на WordPress.org | 🔗 Жива демонстрація

Польський MFA-комбайн, який вийшов далеко за межі «просто плагіна 2FA». Rublon позиціонується як корпоративне рішення для multi-factor authentication і покриває не лише WordPress, а й VPN, сервери, технології Microsoft і десятки хмарних застосунків.

Методи автентифікації вражають: Mobile Push, SMS Passcode, Email Link, QR Code та WebAuthn/U2F (апаратні ключі безпеки). Після встановлення плагін підключається до Rublon API через системний токен і секретний ключ, налаштування інтуїтивне, але потребує реєстрації на rublon.com.

Безкоштовний тариф (Free) покриває базові сценарії, Premium додає кастомні політики, compliance-звіти та пріоритетну підтримку. 10 000+ активних встановлень на WordPress.org і підтримка 5 мов підтверджують: продукт живий і розвивається.

Плюси: найширший спектр методів MFA, корпоративний рівень, WebAuthn/U2F. Мінуси: обов’язкова реєстрація у вендора, надлишковий для простого блогу.

5. GatewayAPI

🔗 GatewayAPI на WordPress.org | 🔗 Жива демонстрація

GatewayAPI — це не класичний плагін 2FA, а повноцінний SMS-рушій для WordPress із функцією двофакторної автентифікації як вбудованим модулем. Якщо у вас магазин на WooCommerce і ви вже надсилаєте клієнтам SMS про замовлення, 2FA через GatewayAPI стане логічним доповненням без встановлення окремого плагіна.

Ключові можливості: SMS-сповіщення про замовлення WooCommerce, масові SMS-кампанії, імпорт отримувачів із CSV, сегментація контактів і шорткоди для кастомних повідомлень. Модуль 2FA дає змогу надсилати одноразовий код на номер телефону користувача та запам’ятовувати пристрій на 30 днів.

Для старту потрібен безплатний акаунт на GatewayAPI.com. Після реєстрації ви отримуєте API-ключ і покроковий посібник зі скриншотами, документація англійською, але інтуїтивно зрозуміла. Недолік очевидний: 2FA лише через SMS, жодних TOTP-застосунків чи email-кодів.

Плюси: потужний SMS-рушій для WooCommerce, чистий інтерфейс, масові розсилки. Мінуси: лише SMS-автентифікація, залежність від зовнішнього SMS-провайдера.

6. WP 2FA

🔗 WP 2FA на WordPress.org | 🔗 Жива демонстрація

Якщо miniOrange — це «максимум методів», а Two-Factor, «мінімум коду», то WP 2FA від Melapress займає золоту середину: примусова двофакторна автентифікація для всіх користувачів сайту з гнучкими політиками та білим списком довірених пристроїв.

Плагін налічує понад 200 000 активних установок і рейтинг 4,5 зірки. Після активації вас зустрічає майстер налаштування (first-time wizard), який за пару хвилин налаштовує 2FA для вибраних ролей. Підтримуються TOTP-застосунки (Google Authenticator, Authy, FreeOTP), email-коди та резервні коди відновлення.

Версія 3.0 (вересень 2025) принесла перероблений інтерфейс, покращену обробку multisite і політику «довірених пристроїв» із настроюваним терміном дії. Безплатна версія покриває практично все, Premium ($29/рік) додає WooCommerce-інтеграцію, white-label і пріоритетну підтримку.

Плюси: примусова 2FA для всіх ролей, майстер налаштування, 200 000+ установок. Мінуси: Premium для WooCommerce, немає SMS з коробки (лише через сторонній шлюз).

7. Duo Universal

🔗 Duo Universal на WordPress.org | 🔗 Жива демонстрація

Enterprise-рішення від Cisco для тих, хто вже використовує Duo Security в інфраструктурі компанії. Це не просто плагін для WordPress — це частина екосистеми Duo, яка охоплює VPN, сервери, хмарні застосунки та адмінки десятків CMS.

Duo Universal прийшов на зміну старому плагіну Duo Two-Factor Authentication, підтримку якого завершено у вересні 2024. Нова версія використовує Universal Prompt, сучасний iframe з адаптивним інтерфейсом замість застарілого Duo Prompt.

Методи автентифікації: Duo Push (один дотик у застосунку, найшвидший спосіб), TOTP-коди, SMS, телефонний дзвінок та OATH-сумісні апаратні токени. Безкоштовно до 10 користувачів, далі від $3/користувача на місяць. Для агенції, яка обслуговує десятки сайтів і вже працює на Duo, безальтернативний вибір.

Плюси: enterprise-рівень від Cisco, Push-автентифікація в один дотик, апаратні токени. Мінуси: прив'язка до екосистеми Duo, надлишковий для окремого сайту.

Окрім спеціалізованих 2FA-плагінів, двофакторну автентифікацію «з коробки» пропонують популярні security-комбайни. Якщо ви вже використовуєте один із них, окремий плагін не потрібен: Shield Security (раніше WP Simple Firewall) містить 2FA та захист від bruteforce, Wordfence (4+ млн встановлень) підтримує будь-який TOTP-застосунок, Solid Security (колишній iThemes Security Pro) додав passkeys та Patchstack-інтеграцію, а ManageWP вбудував 2FA в панель централізованого керування сайтами.

⁉️🤔 Часті запитання

Чим TOTP відрізняється від SMS-коду?

TOTP (Time-based One-Time Password) генерується застосунком-автентифікатором на вашому телефоні та змінюється кожні 30 секунд. Код не передається мережею, він обчислюється локально на основі спільного секрету та поточного часу. SMS-код надсилається через стільникову мережу, що робить його вразливим до SIM-swap-атак. TOTP безпечніший і не потребує прийому стільникового сигналу.

Чи обов'язково встановлювати окремий плагін для 2FA?

Ні, якщо ви вже використовуєте Wordfence, Solid Security або Shield Security, усі три містять двофакторну автентифікацію у складі загального пакета. Але функціональність 2FA в security-комбайнах зазвичай базова (TOTP + резервні коди). Якщо потрібні SMS, push-сповіщення або примусова 2FA за ролями, беріть спеціалізований плагін.

Що станеться, якщо я загублю телефон із застосунком-автентифікатором?

Усі перелічені плагіни генерують резервні коди відновлення під час налаштування 2FA. Збережіть їх у надійному місці (менеджер паролів, роздруківка в сейфі). Якщо коди втрачено, відновлення залежить від плагіна: miniOrange пропонує security questions, WP 2-Step Verification дозволяє скидання через FTP, Two-Factor потребує доступу до бази даних. Перед активацією 2FA обов'язково перевірте процедуру відновлення в документації конкретного плагіна.

Чи потрібна 2FA, якщо в мене складний пароль і двофакторна автентифікація хостингу?

Так. Пароль може витекти через фішинг, кейлогер, витік бази даних або перехоплення через незахищений Wi-Fi. 2FA хостингу захищає доступ до панелі керування хостингом, але не до адмінки WordPress — це два різні вектори атаки. Двофакторна автентифікація на рівні WordPress закриває саме вхід до CMS, що критично важливо в разі компрометації облікових даних адміністратора.

Який плагін обрати, якщо сайт на WooCommerce із сотнями клієнтів-користувачів?

WP 2FA від Melapress. Він єдиний із безкоштовних пропонує примусову 2FA для всіх ролей із гнучкими політиками, можна зобов'язати адміністраторів і редакторів використовувати 2FA, а покупцям (customer) залишити опціонально. Плюс у Premium-версії є пряма WooCommerce-інтеграція з 2FA в особистому кабінеті користувача. Якщо магазину критичні SMS-сповіщення, додатково підключіть GatewayAPI як SMS-шлюз.

Що ставити у 2026: підсумковий розклад за завданнями

Вибір плагіна двофакторної автентифікації зводиться до трьох сценаріїв.

Якщо у вас особистий блог або невеликий сайт, ставте miniOrange 2FA. Максимум методів автентифікації в безкоштовній версії, дружній інтерфейс українською та 200 000+ встановлень із live-підтримкою на форумі WordPress.org. Альтернатива для мінімалістів, Two-Factor: open-source, без Premium-стін і від core-розробників.

Команда редакторів або клієнтські сайти, однозначно WP 2FA. Примусова 2FA за ролями, майстер налаштування за 2 хвилини та 200 000+ активних встановлень. Платний тариф за $29/рік додає WooCommerce і white-label, копійки порівняно з наслідками зламу.

Агентство або enterprise з Duo-інфраструктурою, Duo Universal від Cisco. Якщо ви вже використовуєте Duo для VPN і серверів, додати WordPress до тієї самої консолі управління, логічний крок. Push-автентифікація в один дотик економить час усієї команди.

І останнє: двофакторна автентифікація — це не магія і не срібна куля. Вона не замінює складні паролі, регулярні бекапи та оновлення плагінів. Але серед усіх заходів захисту wp-admin це найвищий ROI за 5 хвилин налаштування. Не відкладайте.