| Etapa | Objetivo | Check de validação |
|---|---|---|
| 1. Escolher o plugin | Definir Two Factor, All in One Security ou Wordfence | Plugin ativo e atualizado no painel |
| 2. Instalar e ativar | Habilitar o módulo de 2FA | Opção de 2FA visível no perfil |
| 3. Configurar o método | Vincular um app autenticador (TOTP) | Código de 6 dígitos aceito no login |
| 4. Salvar recuperação | Guardar códigos de backup | Códigos copiados em local seguro |
| 5. Forçar por role | Tornar o 2FA obrigatório para admin e editor | Novo usuário não loga sem 2FA |
Legenda: o segundo fator vincula o login a um dispositivo físico, não só à senha.
--- ## Por que a senha forte não basta na autenticação de dois fatores A senha forte sozinha não resolve porque é um segredo estático: vazou em 1 data breach, vale até você trocar. Os ataques de força bruta testam milhões de combinações por hora, e credenciais vazadas circulam em listas públicas. A autenticação de dois fatores muda a regra do jogo. Com o segundo fator, mesmo a senha correta não basta. O atacante precisaria também do celular físico onde o código TOTP é gerado a cada 30 segundos. A gente vê no suporte da FULL que boa parte dos acessos indevidos não quebrou a senha: usou uma senha real reaproveitada de outro serviço já comprometido. Vale combinar o 2FA com senhas fortes no WordPress e com limite de tentativas de login: as 3 camadas juntas tornam a conta praticamente impenetrável por automação. --- ## Como o cenário de ataque justifica a autenticação de dois fatores A autenticação de dois fatores precisa andar junto de um firewall, e o dado de ataque mostra por quê. Nos últimos dias, segundo o Cloudflare Radar (medição de 09/06/2026 no Brasil), 82,4% dos ataques de camada de aplicação foram DDoS e 16,4% foram mitigados por WAF. O 2FA protege a credencial; o firewall filtra o volume antes do login. Por isso a recomendação técnica é dupla. O Two Factor cuida do segundo fator, mas não filtra requisições maliciosas no perímetro. Já o All in One Security entrega 2FA e firewall no mesmo plugin. A FULL é a única empresa brasileira credenciada como CNA (CVE Numbering Authority) pela CISA desde maio de , ou seja, quem escreve isto aqui literalmente cataloga CVE oficial. A leitura do cenário de ameaça vem desse lugar. --- ## Como ativar a autenticação de dois fatores em 4 etapas Ativar a autenticação de dois fatores leva menos de 10 minutos com qualquer um dos 3 plugins recomendados. A escolha do método importa mais que a do plugin: o app autenticador (TOTP) é forte, enquanto o código por e-mail é fraco porque a própria caixa pode estar comprometida. Os passos abaixo usam o Two Factor, mas valem para o All in One Security e o Wordfence. ### Passo 1: Instale e ative o plugin de 2FA Acesse Plugins, Adicionar novo, pesquise por Two Factor e clique em instalar e ativar. Segundo o perfil público do WPVulnerability, o Two Factor não tem nenhum CVE registrado até hoje, sinal de base de código enxuta e bem mantida. Confirme que a versão é a mais recente antes de seguir. ### Passo 2: Configure o aplicativo autenticador (TOTP) Vá em Usuários, seu perfil, e marque a opção Authenticator App. Abra o Google Authenticator ou o Authy no celular, escaneie o QR Code e digite o código de 6 dígitos que aparece. O método TOTP gera um novo código a cada 30 segundos e funciona até sem internet no aparelho. ### Passo 3: Salve os códigos de recuperação Ainda no perfil, gere e copie os códigos de backup (recovery codes). Esses códigos são a única forma de entrar se você perder o celular. Guarde-os em um gerenciador de senhas, nunca em um arquivo de texto no mesmo servidor do site. ### Passo 4: Force a autenticação de dois fatores por role No All in One Security, em WP Security, 2FA, marque a obrigatoriedade para os papéis administrator e editor. Isso impede que uma conta secundária com senha fraca vire a porta de entrada, fechando o elo mais frágil da operação. --- ## Tabela de segurança: Cves reais dos plugins de 2FA A escolha do plugin de autenticação de dois fatores também pesa no histórico de vulnerabilidades. Entre os 3 recomendados, 2 não têm nenhum CVE com patch pendente hoje, e o terceiro tem falhas já corrigidas. Histórico de CVEs corrigidas não é defeito: é sinal de auditoria ativa. O que importa é o risco atual, sem correção neste momento.| Plugin | Risco atual | CVE de referência |
|---|---|---|
| Two Factor | Seguro, 0 CVE registrado | Sem CVE conhecido |
| Wordfence | Seguro, 0 sem patch | CVE-2019-9669 (CVSS 6.1, já corrigida) |
| All in One Security | Atenção, 0 crítica sem patch | CVE-2026-8438 (CVSS 7.2, patch 5.4.8) |
Não protege porque a senha é um segredo estático que, uma vez vazado em um data breach, vale até você trocá-la. Credenciais reaproveitadas circulam em listas públicas e os ataques de força bruta testam milhões por hora. A autenticação de dois fatores adiciona um código TOTP que muda a cada 30 segundos, então mesmo a senha correta não abre o painel sem o segundo fator.
Sim, é possível usar 2FA por e-mail ou por código SMS, mas ambos são mais fracos. O e-mail pode estar comprometido junto com a senha, e o SMS é vulnerável a SIM swap. O método mais seguro é o aplicativo autenticador (TOTP), como Google Authenticator ou Authy, que gera o código localmente no celular sem depender de rede. Para contas de administrador, o app é a escolha recomendada.
O melhor método é o aplicativo autenticador via TOTP, que gera um código de 6 dígitos a cada 30 segundos offline. Plugins como Two Factor, All in One Security e Wordfence suportam TOTP nativamente. Para quem busca o padrão mais resistente a phishing, o WebAuthn com chave física é superior, mas o TOTP já cobre a grande maioria dos cenários de risco com custo zero.
O plugin Two Factor é gratuito, então ativar o 2FA em um site não custa nada além do tempo. Para gerenciar vários sites com 2FA e firewall padronizados, o plano PRO da FULL custa R$849,90 e cobre até 10 sites, o que dá R$85 por site, com o All in One Security incluído e ativado em 1 clique. A economia aparece na escala, não no site único.
Se você salvou os códigos de recuperação na configuração, basta usar um deles para entrar e revincular o autenticador a um novo dispositivo. Sem os códigos de backup, a única saída é desabilitar o 2FA direto no banco de dados ou via acesso ao servidor. Por isso o Passo 3 deste guia é gerar e guardar os recovery codes em um gerenciador de senhas, nunca no mesmo servidor do site.