Desenvolvedores de plugins e temas para o WordPress.org foram informados de que precisarão habilitar a autenticação de dois fatores (2FA) a partir de 1º de outubro.

A medida tem como objetivo aumentar a segurança, ajudando a evitar que hackers obtenham acesso a contas através das quais códigos maliciosos poderiam ser injetados no código usado por milhões de sites que rodam a versão auto-hospedada do WordPress.

A ameaça representada por ataques à cadeia de fornecimento contra plugins e temas de terceiros do WordPress.org é considerável, visto que cerca de 40% dos sites do mundo estão utilizando a edição de código aberto da plataforma WordPress como seu sistema de gerenciamento de conteúdo.

Uma das coisas que tornou o WordPress uma plataforma tão popular para sites é sua configurabilidade e customização – através de complementos (conhecidos como plugins) e temas.

No entanto, a popularidade do WordPress entre desenvolvedores web também tornou a plataforma um alvo para atacantes. Se a conta de um desenvolvedor for comprometida com sucesso, uma atualização maliciosa pode ser enviada para inúmeros sites – o que poderia levar a hackers maliciosos a colocar backdoors para obter acesso remoto aos sistemas, assumir contas de admin, roubar informações, espalhar spam, ou injetar malware ou criptomineradores em páginas da web.

O problema se agrava pelo fato de que a grande maioria dos administradores de sites é altamente improvável de verificar as atualizações de plugins e temas de terceiros do WordPress em busca de código malicioso, considerando-os como uma fonte confiável. De fato, muitos sites terão escolhido automaticamente implementar atualizações sem qualquer interação manual.

“Contas com acesso de commit podem enviar atualizações e alterações para plugins e temas usados por milhões de sites WordPress em todo o mundo”, disse o WordPress.org em um post de blog anunciando a introdução obrigatória do 2FA para desenvolvedores de plugins e temas. “Garantir a segurança dessas contas é essencial para prevenir acessos não autorizados e manter a segurança e a confiança da comunidade WordPress.org.”

Reconhecendo a ameaça, o WordPress.org tem incentivado os autores de plugins e temas a habilitar o 2FA em suas contas. Existem opções para adotar o 2FA através de um aplicativo autenticador ou de uma chave de hardware.

Uma vez habilitado, o 2FA significa que um hacker precisará de mais do que apenas um nome de usuário e senha para fazer login em uma conta. Eles precisarão de um “fator” adicional (como uma chave ou um código único gerado por um aplicativo em seu smartphone) para obter acesso.

A autenticação de múltiplos fatores não torna impossível invadir contas. Mas o que ela faz é tornar muito mais difícil comprometer contas, o que significa que um hacker precisará investir muito mais esforço se quiser ter uma chance de ter sucesso.

Senhas sozinhas não são suficientes para proteger as contas online de ninguém. Adicione outra camada de proteção a todas as suas contas online que permitem, habilitando a autenticação de dois fatores.