Desenvolvedores de plugins e temas para o WordPress.org foram informados de que será necessário habilitar a autenticação de dois fatores (2FA) a partir de 1º de outubro.

A medida tem o objetivo de aumentar a segurança, ajudando a evitar que hackers tenham acesso a contas através das quais código malicioso possa ser injetado no código usado por milhões de sites que executam a versão auto-hospedada do WordPress.

A ameaça representada pelos ataques à cadeia de suprimentos contra plugins e temas de terceiros do WordPress.org é considerável, uma vez que aproximadamente 40% dos sites do mundo estão usando a edição de código aberto da plataforma WordPress como seu sistema de gerenciamento de conteúdo.

Uma das coisas que tornou o WordPress uma plataforma tão popular para sites é sua configurabilidade e customização – através de complementos (conhecidos como plugins) e temas.

No entanto, a popularidade do WordPress entre os desenvolvedores da web também tornou a plataforma um alvo para ataques. Se a conta de um desenvolvedor for comprometida com sucesso, uma atualização maliciosa pode ser enviada para inúmeros sites – o que poderia levar a hackers maliciosos instalarem backdoors para obter acesso remoto a sistemas, assumir contas de administrador, roubar informações, espalhar spam, ou injetar malware ou cryptominers em páginas da web.

O problema é complicado pelo fato de que a grande maioria dos administradores de site é altamente improvável que examinem as atualizações de plugins e temas de terceiros do WordPress em busca de código malicioso, considerando-os como sendo de uma fonte confiável. De fato, muitos sites terão optado por implementar automaticamente as atualizações sem qualquer interação manual.

“Contas com acesso de commit podem enviar atualizações e alterações para plugins e temas usados por milhões de sites WordPress em todo o mundo”, disse o WordPress.org em um post de blog anunciando a introdução do 2FA obrigatório para desenvolvedores de plugins e temas. “Garantir a segurança dessas contas é essencial para prevenir o acesso não autorizado e manter a segurança e confiança da comunidade WordPress.org.”

Reconhecendo a ameaça, o WordPress.org tem incentivado ativamente os autores de plugins e temas a habilitar o 2FA em suas contas. Existem opções para adotar o 2FA através de um aplicativo de autenticação ou através de uma chave de hardware.

Uma vez habilitado, o 2FA significa que um hacker precisará de mais do que apenas um nome de usuário e senha para entrar em uma conta. Eles precisariam de um “fator” adicional (como uma chave ou um código único gerado por um aplicativo em seu smartphone) para obter acesso.

A autenticação de vários fatores não torna impossível invadir contas. Mas o que faz é tornar muito mais difícil comprometer contas, o que significa que um hacker precisará investir muito mais esforço se quiser ter alguma chance de ser bem-sucedido.

Senhas sozinhas não são suficientes para proteger as contas online de ninguém. Adicione outra camada de proteção a todas as suas contas online que permitam, habilitando a autenticação de dois fatores.