Dvofaktorska autentifikacija za tvrtke: vodič za CMS

Najčešća pogreška u zaštiti poslovnih pristupa nije slaba lozinka, nego uvjerenje da je jaka lozinka dovoljna. Taj propust rješava uvođenje dvofaktorske autentifikacije za tvrtke: čak i kad netko sazna lozinku administratora web stranice ili poslovnog e-maila, prijava bez drugog koraka provjere više nije moguća. Za vlasnike malih tvrtki i administratore bez internog IT tima to zvuči kao zahvat koji traži stručnjaka, no uključivanje 2FA na najčešćim CMS-ovima i poslovnim alatima traje svega nekoliko minuta po alatu. U nastavku slijedi redoslijed prioriteta, usporedba SMS koda i aplikacije za autentifikaciju te koraci uključivanja na WordPressu, Google Workspaceu i Microsoft 365.

Zašto dodatna razina zaštite pristupa više nije opcionalna

Lozinke cure iz baza podataka drugih servisa, a ljudi ih često ponavljaju na više mjesta - uključujući administratorski pristup CMS-u ili poslovni e-mail. Automatizirani botovi svakodnevno isprobavaju kombinacije poznatih lozinki na prijavnim stranicama poput /wp-admin, bez obzira je li riječ o maloj obrtničkoj stranici ili velikom webshopu. Česta je i varijanta phishing e-maila koji oponaša prijavnu stranicu CMS-a ili e-maila, s ciljem da korisnik sam upiše lozinku na lažnoj stranici.

Dvofaktorska autentifikacija dodaje drugi, neovisan korak provjere: uz nešto što korisnik zna (lozinku) traži i nešto što korisnik ima, najčešće mobitel s aplikacijom ili SMS porukom. Čak i ako lozinka procuri, prijava bez tog drugog koraka ne uspijeva. Koncept uostalom nije stran ni hrvatskim poduzetnicima - prijava u sustav e-Porezna ili e-Građani preko NIAS-a već traži dodatni korak provjere uz korisničko ime i lozinku. Primjena istog principa na poslovne alate i CMS samo proširuje već poznatu logiku na mjesta gdje najčešće nedostaje.

Checklist: koje poslovne pristupe prvo zaštititi

Prije uključivanja 2FA svugdje odjednom, vrijedi odrediti redoslijed prema tome koliko bi šteta bila velika da netko neovlašteno pristupi računu:

• Administratorski pristup CMS-u (WordPress, Joomla ili prilagođeni sustav) - gotovo je kad prijava traži kod nakon lozinke za svaki administratorski račun, ne samo za glavni.
• Poslovni e-mail (Google Workspace, Microsoft 365) - gotovo je kad je provjera u dva koraka prisilno uključena za cijelu organizaciju, a ne ostavljena kao izbor pojedinom zaposleniku.
• Kontrolna ploča hostinga (cPanel, Plesk) - gotovo je kad je prijava na hosting panel zaštićena odvojeno od CMS-a, jer pristup hostingu otvara vrata svemu što na njemu radi. Više o razlikama shared, VPS i cloud hostinga pročitajte u vodiču o hostingu za poslovnu web-stranicu.
• Newsletter i marketinški alati poput Mailchimpa - gotovo je kad je uključena na računu koji ima pristup bazi kontakata i slanju kampanja.
• Upravljanje domenom i DNS zapisima (Cloudflare, registrar .hr domene) - gotovo je kad je uključena, jer promjena DNS zapisa može preusmjeriti cijelu stranicu, a to se ne primijeti odmah.
• Alati s pristupom financijskim podacima i plaćanjima - gotovo je kad svaki korisnik s takvim pristupom ima aktivnu dvofaktorsku prijavu, ne samo vlasnik računa.

SMS kod ili aplikacija za autentifikaciju: što odabrati

Kad uključujete 2FA za CMS ili bilo koji poslovni alat, gotovo svaki sustav nudi dvije uobičajene metode provjere: kod poslan SMS porukom ili kod generiran u aplikaciji za autentifikaciju poput Google Authenticatora ili Microsoft Authenticatora. Razlika nije samo u udobnosti prijave - utječe i na to koliko je zaštita stvarno otporna na prijevaru, jer se SMS poruke mogu presresti zamjenom SIM kartice, dok kod u aplikaciji ostaje vezan uz uređaj.

Kako uključiti 2FA za CMS: WordPress i slični sustavi

Za WordPress, najrašireniji CMS s otvorenim kodom, postoji više provjerenih dodataka koji omogućuju uključivanje provjere u dva koraka bez diranja u kod, a razlikuju se uglavnom po tome nude li prisilno uključivanje po korisničkoj ulozi ili samo kao opciju pojedinom korisniku. Isti princip - obavezna provjera za administratore, preporučena za ostale uloge - vrijedi i za Joomlu i Drupal, gdje se postavka obično nalazi unutar upravljanja korisnicima ili sigurnosnih proširenja. Kod prilagođenih sustava izrađenih po mjeri, uključujući headless arhitekture u kojima WordPress služi isključivo kao izvor sadržaja (headless CMS), a javni dio stranice je izrađen u Next.js, 2FA se postavlja isključivo na razini CMS administracije - frontend koji posjetitelji vide nema prijavni ekran pa tu zaštitu nije ni moguće dodati. Dodavanje mogućnosti dvofaktorske prijave u takvom slučaju, kao i u svakom drugom prilagođenom sustavu bez ugrađene 2FA opcije, zahtijeva razvojnu intervenciju kroz izradu web-aplikacija.

Kako uključiti 2FA na e-mailu i poslovnim alatima

Kod Google Workspacea postavka se nalazi u administratorskoj konzoli, pod Sigurnost i Provjera u dva koraka, gdje se može postaviti kao obaveza za cijelu organizaciju ili samo za odabrane skupine korisnika. Microsoft 365 nudi slično rješenje kroz administratorski centar, putem sigurnosnih zadanih postavki ili uvjetovanog pristupa. Mailchimp uključivanje nudi unutar postavki računa, u odjeljku za sigurnost, a Cloudflare unutar osobnog profila pod autentifikacijom. U svim slučajevima vrijedi isto pravilo kao i kod CMS-a: uključivanje na razini pojedinog korisnika štiti samo taj račun, dok prisilno uključivanje na razini cijele organizacije štiti sve pristupe odjednom, uključujući i račune bivših ili privremenih suradnika koji su u međuvremenu dobili pristup.

Kako provjeriti da je zaštita pristupa web stranici stvarno uključena

Uključena opcija u postavkama nije dovoljan dokaz da zaštita stvarno radi. Provjera se radi odjavom i ponovnom prijavom - ako sustav ne zatraži drugi korak provjere, postavka nije aktivna za taj račun. Kod CMS-a vrijedi provjeriti popis svih korisnika s administratorskim pravima, ne samo glavni račun, jer se ponekad doda novi urednik ili suradnik bez da itko naknadno uključi 2FA za njega. Vrijedi provjeriti i jesu li sigurnosni (backup) kodovi sačuvani na sigurnom mjestu, odvojeno od uređaja na kojem se inače prijavljujete.

Poseban rubni slučaj su alati koji se s drugim sustavima povezuju putem API ključa ili aplikacijske lozinke (app password) umjesto standardnog ekrana za prijavu - primjerice dodatak koji šalje narudžbe iz webshopa u računovodstveni program. Takva veza zaobilazi 2FA ekran u potpunosti, pa tu zaštitu treba postaviti drugačije: ograničiti dozvole API ključa na najmanji potreban opseg i redovito ga mijenjati (rotacija), jer dvofaktorska autentifikacija ne pokriva pristupe koji ne prolaze kroz klasičnu prijavu.

Za širu provjeru svih sigurnosnih postavki web-stranice, ne samo prijave, pogledajte checklist sigurnosti web stranice. Ako postavljanje 2FA na prilagođenim ili headless sustavima djeluje presloženo za interno rješavanje, razlike u pristupu i mogućnostima pojašnjene su u vodiču WordPress ili Next.js za poslovnu web-stranicu.