Descrición

O plugin Two-Factor engade unha capa extra de seguridade ao acceso a WordPress ao requirir que os usuarios ofrezan unha segunda forma de identificación ademais do contrasinal. Isto axuda a protexer contra accesos non autorizados aínda que os contrasinais estean comprometidos.

Instrucións de configuración

Importante: cada usuario debe configurar individualmente os seus axustes de identificación de dous factores.

Para usuarios individuais

Vai ao teu perfil: vai a «Usuarios» «O teu perfil» no administrador de WordPress
Atopa as Opcións de dous factores: desprázate cara abaixo ata a sección «Opcións de dous factores»
Elixe os teus métodos: activa un ou varios provedores de identificación (ten en conta que o administrador do sitio pode ter ocultado algún, polo que o dispoñible pode variar):
- Aplicación de identificación (TOTP): usa aplicacións como Google Authenticator, Authy ou 1Password
- Códigos por correo electrónico: recibe códigos dun só uso por correo electrónico
- Códigos de copia de seguridade: xera códigos de copia de seguridade dun só uso para emerxencias
- Método Dummy: só para probas (require WP_DEBUG)
Configura cada método: segue as instrucións de configuración de cada provedor activado
Establecer o método principal: elixe que método usar como identificación por defecto
Gardar os cambios: fai clic en «Actualizar perfil» para gardar os teus axustes

Para administradores do sitio

Axustes do plugin: o plugin ofrece unha páxina de axustes en «Axustes Two-Factor» para configurar que provedores se deben desactivar en todo o sitio.
Xestión de usuarios: os administradores poden configurar a 2FA doutros usuarios editando os seus perfís
Recomendacións de seguridade: anima os usuarios a activar métodos de copia de seguridade para evitar bloqueos da conta

Métodos de identificación dispoñibles

Aplicación de identificación (TOTP) (recomendado)

Seguridade: alta, contrasinais dun só uso baseados no tempo
Configuración: explora o código QR coa aplicación de identificación
Compatibilidade: funciona con Google Authenticator, Authy, 1Password e outras aplicacións TOTP
Ideal para: a maioría dos usuarios, ofrece unha excelente seguridade cunha boa usabilidade

Códigos de copia de seguridade (recomendado)

Seguridade: media, códigos dun só uso
Configuración: xera 10 códigos de copia de seguridade para acceso de emerxencia
Compatibilidade: funciona en todas partes, sen necesidade de hardware especial
Ideal para: acceso de emerxencia cando outros métodos non están dispoñibles

Códigos por correo electrónico

Seguridade: media, códigos dun só uso enviados por correo electrónico
Configuración: automática, usa o teu enderezo de correo electrónico de WordPress
Compatibilidade: funciona con calquera dispositivo con acceso ao correo electrónico
Ideal para: usuarios que prefiren a identificación por correo electrónico

Chaves de seguridade FIDO U2F

Obsoleto e eliminado por perda de compatibilidade cos navegadores.

Método Dummy

Seguridade: ningunha, sempre ten éxito
Configuración: só dispoñible cando WP_DEBUG está activado
Finalidade: só para probas e desenvolvemento
Ideal para: desenvolvedores que proban o plugin

Notas importantes

Requisito de HTTPS

Todos os métodos funcionan tanto en sitios HTTP como HTTPS

Compatibilidade cos navegadores

Os métodos TOTP e de correo electrónico funcionan en todos os dispositivos e navegadores

Recuperación da conta

Activa sempre os códigos de copia de seguridade para evitar quedar bloqueado fóra da túa conta
Se perdes o acceso a todos os métodos de identificación, contacta co administrador do teu sitio

Prácticas recomendadas de seguridade

Usa varios métodos de identificación cando sexa posible
Garda os códigos de copia de seguridade nun lugar seguro
Revisa e actualiza regularmente os teus axustes de identificación

Para obter máis información sobre a identificación de dous factores en WordPress, consulta a Guía de seguridade da administración avanzada de WordPress.

Para máis antecedentes, consulta esta entrada.

Accións e filtros

Aquí hai unha lista de ganchos de acción e filtro proporcionados polo plugin:

O filtro two_factor_providers sobrescribe os provedores de dous factores dispoñibles, como correo electrónico e contrasinais dun só uso baseados no tempo. Os valores do array son nomes de clase PHP dos provedores de dous factores.
O filtro two_factor_providers_for_user sobrescribe os provedores de dous factores dispoñibles para un usuario concreto. Os valores do array son instancias de clases de provedores e o obxecto de usuario WP_User está dispoñible como segundo argumento.
O filtro two_factor_enabled_providers_for_user sobrescribe a lista de provedores de dous factores activados para un usuario. O primeiro argumento é un array con nomes de clase dos provedores activados como valores e o segundo argumento é o ID do usuario.
O filtro two_factor_is_required_for_user controla se a identificación de dous factores é obrigatoria para un usuario. Devolve false para omitir o fluxo de dous factores (p. ex. para enderezos IP de confianza). O primeiro argumento é un booleano (se o usuario ten un provedor principal configurado) e o segundo argumento é o obxecto WP_User.
O filtro two_factor_fallback_provider_for_user sobrescribe o provedor que se impón cando ningún dos provedores de dous factores almacenados dun usuario segue rexistrado (p. ex. despois de desactivar o plugin dun provedor). Por defecto é Two_Factor_Email. O primeiro argumento é o nome de clase do provedor, o segundo é o ID do usuario e o terceiro é o array de nomes de clase de provedores que estaban almacenados para o usuario pero xa non están rexistrados. O provedor devolto debe estar rexistrado e dispoñible para o usuario (is_available_for_user()); se non, móstrase un erro ao usuario en lugar de deixalo pasar cun provedor alternativo.
A acción two_factor_user_authenticated, que recibe o obxecto de conexión WP_User como primeiro argumento, para definir o usuario rexistrado xusto despois do fluxo de traballo de identificación.
O filtro two_factor_user_api_login_enable restrinxe a identificación da API REST e XML-RPC só a contrasinais de aplicación. Proporciona o ID do usuario como segundo argumento.
O filtro two_factor_email_token_ttl sobrescribe o intervalo de tempo en segundos durante o cal se considera válido un token de correo electrónico despois de xerarse. Acepta o tempo en segundos como primeiro argumento e o ID do obxecto WP_User que se está a identificar.
O filtro two_factor_email_token_length sobrescribe a lonxitude por defecto de 8 caracteres dos tokens de correo electrónico.
O filtro two_factor_backup_code_length sobrescribe a lonxitude por defecto de 8 caracteres dos códigos de copia de seguridade. Proporciona o WP_User do usuario asociado como segundo argumento.
O filtro two_factor_rest_api_can_edit_user sobrescribe se os axustes de Two-Factor dun usuario se poden editar a través da API REST. O primeiro argumento é o booleano $can_edit actual e o segundo argumento é o ID do usuario.
A acción two_factor_before_authentication_prompt recibe o obxecto do provedor e execútase antes da mensaxe mostrada no formulario de identificación.
A acción two_factor_after_authentication_prompt recibe o obxecto do provedor e execútase despois da mensaxe mostrada no formulario de identificación.
A acción two_factor_after_authentication_input recibe o obxecto do provedor e execútase despois do campo mostrado no formulario de identificación (se o formulario non contén ningún campo, a acción execútase inmediatamente despois de two_factor_after_authentication_prompt).
O filtro two_factor_login_backup_links filtra as ligazóns de copia de seguridade que se mostran no formulario de acceso de dous factores.
A acción two_factor_login_nonce_failed execútase cando falla a verificación dun nonce de acceso. Proporciona como primeiro argumento o ID do usuario para o que se presentou o nonce e como segundo o motivo: no_nonce_stored, expired ou mismatch.
O filtro two_factor_log_login_nonce_failures sobrescribe se unha verificación fallida do nonce de acceso se escribe no rexistro de erros de PHP. Por defecto é true para expired e mismatch, e false para no_nonce_stored, ao que pode chegar calquera solicitude non identificada. Proporciona o ID do usuario como segundo argumento e o motivo como terceiro.

Comandos de WP-CLI

O plugin inclúe un espazo de nome de WP-CLI wp two-factor para xestionar a identificación de dous factores desde a liña de comandos. Todos os comandos aceptan un usuario por ID, nome de usuario ou correo electrónico.

wp two-factor status <user>: mostra o estado actual da 2FA dun usuario (só lectura). Admite --format=json.
wp two-factor list-providers: lista todos os provedores de dous factores rexistrados.
wp two-factor enable <user> <provider>: activa un provedor para un usuario. Os provedores que requiren un segredo compartido (como TOTP) non se poden activar así e remitirante á páxina do perfil.
wp two-factor disable <user> [<provider>]: desactiva un só provedor, ou realiza un restablecemento completo de toda a 2FA do usuario cando non se indica ningún provedor. Ambas as formas piden confirmación salvo que se pase --yes.
wp two-factor backup-codes generate <user> [--count=<n>]: xera un novo conxunto de códigos de copia de seguridade para un usuario e substitúe os existentes. Por defecto son 10 códigos.
wp two-factor unlock <user>: baleira o límite de intentos de acceso dun usuario sen cambiar a súa configuración de 2FA.

Executa wp help two-factor para ver a lista completa, ou wp help two-factor <command> para ver as opcións e exemplos dun comando concreto.

Redirección despois do desafío de dous factores

Para redirixir os usuarios a unha URL concreta despois de completar o desafío de dous factores, usa o filtro login_redirect integrado no núcleo de WordPress. O filtro funciona igual que nun fluxo de acceso estándar de WordPress:

add_filter( 'login_redirect', function( $redirect_to, $requested_redirect_to, $user ) {
    return home_url( '/dashboard/' );
}, 10, 3 );

Capturas

Preguntas frecuentes

Que versións de PHP e WordPress admite o plugin Two-Factor?

Este plugin é compatible coas dúas últimas versións principais de WordPress e coa versión mínima de PHP compatible con esas versións de WordPress.

Como podo enviar suxestións ou pedir axuda sobre un erro?

O mellor lugar para informar de fallos, suxerir características ou dar calquera outro comentario (que non sexa de seguridade) é a páxina de incidencias de Two Factor en GitHub. Antes de enviar unha nova incidencia, busca nas existentes para comprobar se alguén xa informou do mesmo comentario.

Onde podo informar de erros de seguridade?

Os colaboradores do plugin e a comunidade de WordPress toman en serio os fallos de seguridade. Agradecemos os teus esforzos por divulgar de forma responsable o que atopes e faremos todo o posible por recoñecer as túas contribucións.

Para informar dun problema de seguridade, visita o programa WordPress HackerOne.

Que pasa se perdo o acceso a todos os meus métodos de identificación?

Se tes activados os códigos de copia de seguridade, podes usar un deles para recuperar o acceso. Se non tes códigos de copia de seguridade ou xa os usaches todos, terás que contactar co administrador do teu sitio para restablecer a túa conta. Por iso é importante activar sempre os códigos de copia de seguridade e gardalos nun lugar seguro.

Podo usar este plugin con WebAuthn?

O plugin era compatible antes con FIDO U2F, que era un predecesor de WebAuthn. Hai unha incidencia aberta para engadir compatibilidade con WebAuthn aquí.

Hai unha forma recomendada de usar chaves de acceso (passkeys) ou chaves de seguridade de hardware con Two-Factor?

Si. Para chaves de acceso (passkeys) e chaves de seguridade de hardware, podes instalar o plugin Two-Factor Provider: WebAuthn. Intégrase directamente con Two-Factor e engade a identificación baseada en WebAuthn como opción adicional de dous factores para os usuarios.

Funciona este plugin en WordPress Multisite?

Si. O plugin Two-Factor é compatible con WordPress Multisite. Cada usuario configura os seus propios axustes de 2FA no seu perfil e, como os códigos de identificación se almacenan nos metadatos de usuario de WordPress, a configuración está ligada á conta do usuario e é válida en todos os sitios da rede. Non obstante, non hai axustes a nivel de rede: un super administrador non pode impoñer nin configurar a 2FA globalmente desde o Escritorio da administración da rede. Para xestionar a 2FA dun usuario concreto, edita o seu perfil en calquera sitio onde teña unha conta.

Como desactivo a 2FA para un usuario que quedou bloqueado?

Como administrador, vai a Usuarios Todos os usuarios no administrador de WordPress, fai clic en Editar no perfil do usuario afectado, desprázate cara abaixo ata a sección Opcións de dous factores, desmarca todos os métodos activados e fai clic en Actualizar usuario. Isto eliminará a 2FA para ese usuario e permitirá que inicie sesión só co seu contrasinal. Tamén podes facelo con WP-CLI mediante wp two-factor disable –yes, que realiza un restablecemento completo (consulta a sección Comandos de WP-CLI máis arriba). Cando volva entrar, anímao a volver activar a 2FA e xerar novos códigos de copia de seguridade.

Podo esixir a 2FA a todos os usuarios ou a perfís concretos?

Non a través da interface do plugin: non hai axustes de obrigatoriedade integrados. Non obstante, os desenvolvedores poden usar o filtro two_factor_providers_for_user para controlar que provedores están dispoñibles por usuario ou perfil, e combinalo con lóxica personalizada para redirixir os usuarios que non configuraron a 2FA. A compatibilidade nativa coa obrigatoriedade é unha solicitude de característica coñecida e en seguimento: segue a conversa na incidencia #255 de GitHub.

Comentarios

jhonhorac 14 de Xuño de 2026 1 resposta

It's an excellent plugin; I use it on all my sites.

vee 10 de Xuño de 2026 1 resposta

The basic options expected:1. I must be able to use any authentication app.2. An option to use email as 2nd auth.But this plugin also have backup code.

kloproterra 28 de Maio de 2026 4 respostas

This plugin requires individual users to manage 2FA. Individual users can remove 2FA from their profile at any time leaving that account vulnerable. An admin would need to check regularly that this hasn't been removed. There is discussion about a custom function to force a user back to the profile page. I tested this. A user can still leave the account with 2FA off, albeit they cannot navigation anywhere but the profile page. However, in this state a bad actor can login with a password only to the unprotected account, then configure 2FA to their own device, this then removes the redirect and therefore undermines the entire process. This is a significant flaw. However, the plugin can protect a single admin account but any sort of user hierarchy is not protected.

bowerwebsolutions 7 de Maio de 2026 1 resposta

Not only did it work well for my use case with a customer who wanted to offer optional 2fa, but when i asked about customizing the code validation page i had a response in minutes. Very impressive. Worked well with a theme my login branded site.

aelbo 27 de Abril de 2026 1 resposta

Fonctionne parfaitement, simple et fiable

mjezegou35 23 de Abril de 2026 1 resposta

I am in version 6.6.2 of WordPress and in multisite network version. Is it possible to activate your plugin despite the constraint tested up to 6.9.1, please? I can't activate it at the network level?

Ler todas as 210 opinións

Colaboradores e desenvolvedores

“Two Factor” é un software de código aberto. As seguintes persoas colaboraron con este plugin.

“Two Factor” foi traducido a 43 idiomas. Grazas aos desenvolvedores polas súas contribucións.

Traduce “Two Factor” ao teu idioma.

Interesado no desenvolvemento?

Revisa o código, bota unha ollada aorepositorio SVN, ou subscríbete ao log de desenvolvemento por RSS.

Rexistro de cambios

0.17.0 – 2026-09-25

Correccións de seguridade: Garantido que os contrasinais normais non poidan omitir o requisito de dous factores nas solicitudes da API REST e XML-RPC por @faisalahammad en #989. Grazas a mqrble por informar do problema de forma responsable.
Correccións de seguridade: Engadido diagnóstico para as verificacións fallidas do nonce de acceso por @georgestephanis en #973. Grazas a Ananda Dhakal (Patchstack) por informar do problema de forma responsable.
Novas características: Engadida compatibilidade con WP-CLI cos comandos wp two-factor por @masteradhoc en #905
Novas características: Respecto da omisión intencionada mediante o filtro two_factor_is_required_for_user por @masteradhoc en #882
Novas características: Engadido un filtro two_factor_fallback_provider_for_user para cando os provedores almacenados dun usuario xa non están rexistrados por @masteradhoc en #882
Novas características: Engadido un aviso previo cando os códigos de recuperación están a piques de esgotarse por @masteradhoc en #907
Novas características: Engadido o rexistro do contido da política de privacidade por @masteradhoc en #869
Corrección de fallos: Fallar de forma segura cando CSPRNG non está dispoñible durante a xeración do nonce por @dknauss en #877
Corrección de fallos: Baleirar o nonce de acceso só cando caducou por @georgestephanis en #980
Corrección de fallos: Corrección da advertencia de REMOTE_ADDR sen escapar das barras no provedor de correo electrónico por @masteradhoc en #975
Corrección de fallos: Corrección do botón de verificación TOTP despois de restablecer a aplicación de identificación por @lakrisgubben en #979
Corrección de fallos: Eliminación da opción two_factor_enabled_providers ao desinstalar por @faisalahammad en #903
Corrección de fallos: Corrección dun aviso enganoso por @masteradhoc en #858
Corrección de fallos: Reformulación do aviso de fallo de acceso para público mixto para que sexa informativo por @dknauss en #922
Corrección de fallos: Reformulación do sistema de seguridade ante fallos por @masteradhoc en #927
Corrección de fallos: Engadida cobertura para os avisos de alternativa específicos de cada provedor por @dknauss en #923
Corrección de fallos: Corrección de problemas de validación HTML5 por @masteradhoc en #910
Corrección de fallos: Corrixidos os erros fatais (wp_die) na táboa de lista de usuarios cando se anula o rexistro do provedor de 2FA dun usuario por @masteradhoc en #933
Actualizacións de desenvolvemento: Preparación para a versión 7.0 de WordPress por @masteradhoc en #834
Actualizacións de desenvolvemento: Preparación para a versión 7.1 de WordPress por @masteradhoc en #900
Actualizacións de desenvolvemento: Sincronización de login_header() e login_footer() con WP 7.1 por @masteradhoc en #963
Actualizacións de desenvolvemento: Actualización de PHPStan á 2.x e exclusión de includes/ da análise por @masteradhoc en #972
Actualizacións de desenvolvemento: Validación contra as versións 3, 4 e 5 de PHPStan por @masteradhoc en #948
Actualizacións de desenvolvemento: Actualización de wp-coding-standards/wpcs á 3.4.1 por @obenland en #947
Actualizacións de desenvolvemento: Corrección de problemas de PHPCS e PHPStan en varios arquivos por @aslamdoctor en #818
Actualizacións de desenvolvemento: Eliminadas as chamadas a ReflectionProperty::setAccessible() e ReflectionMethod::setAccessible() na batería de probas por @masteradhoc en #942
Actualizacións de desenvolvemento: Corrección da acreditación de Codecov engadindo o permiso OIDC para a subida sen token por @nimesh-xecurify en #856
Actualizacións de desenvolvemento: Actualización dos fluxos de traballo de GitHub Actions por @johnbillion en #892
Actualizacións de desenvolvemento: Actualización da acción de previsualización de PR de Playground á v4 por @obenland en #985
Actualizacións de desenvolvemento: Engadidas entradas de FAQ sobre Multisite, usuarios bloqueados e obrigatoriedade por perfil por @masteradhoc en #881
Actualizacións de desenvolvemento: Actualización dos arquivos .md cos últimos cambios e requisitos de two-factor por @masteradhoc en #929
Actualizacións de desenvolvemento: Actualización do modelo de PR por @masteradhoc en #870
Actualizacións de desenvolvemento: Arranxo da CI: falso positivo de PHPStan e fail-fast da matriz por @georgestephanis en #974
Actualizacións de dependencias: Actualización da dependencia de execución qrcode-generator por @kasparsd
Actualizacións de dependencias: Actualización de qs e express por @dependabot[bot] en #895
Actualizacións de dependencias: Actualización de adm-zip e @wordpress/scripts por @dependabot[bot] en #988

0.16.0 – 2026-03-27

Cambios incompatibles: Eliminada a compatibilidade herdada co provedor FIDO U2F por #439.
Novas características: Engadida unha páxina de axustes dedicada para a configuración do plugin en wp-admin por #764.
Novas características: Engadido un filtro de ligazóns de soporte para que os consumidores poidan personalizar as ligazóns contextuais de recuperación/axuda por #615.
Novas características: Renovación do estilo e comportamento da IU dos códigos de copia de seguridade por #804.
Corrección de fallos: Eliminación dos segredos TOTP almacenados cando se desactiva o provedor TOTP por #802.
Corrección de fallos: Reforzo da xestión dos provedores para que as comprobacións de acceso/axustes non fallen en aberto cando desaparecen os provedores esperados por #586.
Corrección de fallos: Garantido que só se garden e activen os provedores configurados nos axustes do usuario por #798.
Corrección de fallos: Mellora da accesibilidade da páxina de axustes e corrección do comportamento da ligazón dos axustes do perfil por #828 e #830.
Corrección de fallos: Resolución das infraccións de PHPCS nos arquivos dos provedores por #851.
Actualizacións de desenvolvemento: Os estilos de acceso e os scripts dos provedores pasan da saída integrada a recursos en cola/externos por #807 e #814.
Actualizacións de desenvolvemento: Mellora da documentación integrada e da compatibilidade coa análise estática (WPCS/phpstan) por #810, #815 e #817.
Actualizacións de desenvolvemento: Mellora da fiabilidade das probas unitarias e integración do informe de cobertura de código na CI por #825, #841 e #842.
Actualizacións de desenvolvemento: Actualización da documentación do readme e modernización da infraestrutura do fluxo de traballo de CI por #835, #837, #843 e #849.
Actualizacións de dependencias: Actualización de qs da 6.14.1 á 6.14.2 por #794.
Actualizacións de dependencias: Actualización de basic-ftp da 5.0.5 á 5.2.0 por #816.
Actualizacións de dependencias: Aplicación de actualizacións automáticas de lint/formato e actualizacións asociadas de paquetes de Composer por #799.

0.15.0 – 2026-02-13

Cambios incompatibles: Activar o fluxo de dous factores só cando corresponda por @kasparsd en #660 e #793.
Novas características: Inclusión do enderezo IP do usuario e unha advertencia contextual nos correos electrónicos co código de dous factores por @todeveni en #728
Novas características: Optimización do texto do correo electrónico para TOTP por @masteradhoc en #789
Novas características: Engadida a ligazón de acción «Axustes» na lista de plugins para acceder rapidamente ao perfil por @hardikRathi en #740
Novas características: Hooks de formulario adicionais por @eric-michel en #742
Novas características: Compatibilidade completa con RFC6238 por @ericmann en #656
Novas características: Experiencia de usuario consistente para a configuración de TOTP por @kasparsd en #792
Documentación: Documentación de @since por @masteradhoc en #781
Documentación: Actualización da documentación de usuario e administrador, preparación para máis capturas de pantalla por @jeffpaul en #701
Documentación: Engadidos o rexistro de cambios & os agradecementos, e actualizadas as notas da versión por @jeffpaul en #696
Documentación: Limpeza de readme.txt por @masteradhoc en #785
Documentación: Engadida información de data e hora sobre as instrucións de configuración de TOTP por @masteradhoc en #772
Documentación: Aclaración das instrucións de configuración de TOTP por @masteradhoc en #763
Documentación: Actualización de RELEASING.md por @jeffpaul en #787
Actualizacións de desenvolvemento: Pausa das implantacións no trunk de SVN para as fusións en master por @kasparsd en #738
Actualizacións de desenvolvemento: Corrección das comprobacións de CI para a compatibilidade con PHP por @kasparsd en #739
Actualizacións de desenvolvemento: Corrección das referencias de Playground por @kasparsd en #744
Actualizacións de desenvolvemento: Conservar as traducións existentes ao introducir novo texto de axuda nos correos electrónicos por @kasparsd en #745
Actualizacións de desenvolvemento: Corrección de missing_direct_file_access_protection por @masteradhoc en #760
Actualizacións de desenvolvemento: Corrección de mismatched_plugin_name por @masteradhoc en #754
Actualizacións de desenvolvemento: Introdución do fluxo de traballo de Props Bot por @jeffpaul en #749
Actualizacións de desenvolvemento: Plugin Check: corrección do parámetro $domain que faltaba por @masteradhoc en #753
Actualizacións de desenvolvemento: Probas: actualización á versión 6.8 de WP compatible por @masteradhoc en #770
Actualizacións de desenvolvemento: Corrección da mensaxe obsoleta de PHP 8.5 por @masteradhoc en #762
Actualizacións de desenvolvemento: Exclusión das comprobacións de 7.2 e 7.3 contra trunk por @masteradhoc en #769
Actualizacións de desenvolvemento: Corrección dos erros de Plugin Check: MissingTranslatorsComment & MissingSingularPlaceholder por @masteradhoc en #758
Actualizacións de desenvolvemento: Engadidas probas con PHP 8.5 para a última versión e trunk de WP por @masteradhoc en #771
Actualizacións de desenvolvemento: Engadido phpcs:ignore para falsos positivos por @masteradhoc en #777
Actualizacións de desenvolvemento: Corrección(totp): ligazón otpauth na URL do código QR por @sjinks en #784
Actualizacións de desenvolvemento: Actualización de deploy.yml por @masteradhoc en #773
Actualizacións de desenvolvemento: Actualización da versión requirida de WordPress por @masteradhoc en #765
Actualizacións de desenvolvemento: Corrección: garantir que a execución se deteña despois das redireccións por @sjinks en #786
Actualizacións de desenvolvemento: Corrección dos erros WordPress.Security.EscapeOutput.OutputNotEscaped por @masteradhoc en #776
Actualizacións de dependencias: Actualización de qs e express por @dependabot[bot] en #746
Actualizacións de dependencias: Actualización de lodash da 4.17.21 á 4.17.23 por @dependabot[bot] en #750
Actualizacións de dependencias: Actualización de lodash-es da 4.17.21 á 4.17.23 por @dependabot[bot] en #748
Actualizacións de dependencias: Actualización de phpunit/phpunit da 8.5.44 á 8.5.52 por @dependabot[bot] en #755
Actualizacións de dependencias: Actualización de symfony/process da 5.4.47 á 5.4.51 por @dependabot[bot] en #756
Actualizacións de dependencias: Actualización de qs e body-parser por @dependabot[bot] en #782
Actualizacións de dependencias: Actualización de webpack da 5.101.3 á 5.105.0 por @dependabot[bot] en #780

0.14.2 – 2025-12-11

Novas características: Engadido un filtro para rest_api_can_edit_user_and_update_two_factor_options por @gutobenn en #689
Actualizacións de desenvolvemento: Eliminación das ferramentas de Coveralls e engadido un informe de cobertura integrado por @kasparsd en #717
Actualizacións de desenvolvemento: Actualización da ruta do blueprint para tomala da rama main en lugar dunha eliminada f… por @georgestephanis en #719
Actualizacións de desenvolvemento: Corrección das implantacións de blueprint e dos recursos de wporg por @kasparsd en #734
Actualizacións de desenvolvemento: Subir a versión só nos lanzamentos con etiqueta por @kasparsd en #735
Actualizacións de desenvolvemento: Actualización de playwright e @playwright/test por @dependabot[bot] en #721
Actualizacións de desenvolvemento: Actualización de tar-fs da 3.1.0 á 3.1.1 por @dependabot[bot] en #720
Actualizacións de desenvolvemento: Actualización de node-forge da 1.3.1 á 1.3.2 por @dependabot[bot] en #724
Actualizacións de desenvolvemento: Actualización de js-yaml por @dependabot[bot] en #725
Actualizacións de desenvolvemento: Marcado como probado coa última versión do núcleo de WP por @kasparsd en #730

0.14.1 – 2025-09-05

Non codificar como URI a URL de TOTP para mostrala. por @dd32 en #711
Eliminado o Security.md duplicado por @slvignesh05 en #712
Corrixidos problemas de lint por @sudar en #707
Actualización das dependencias de desenvolvemento e corrección da proba unitaria de QR que fallaba por @kasparsd en #714
Activación do evento change de JS das caixas de verificación por @gedeminas en #688

0.14.0 – 2025-07-03

Características: Activación dos contrasinais de aplicación para a identificación da API REST e XML-RPC (por defecto) por @joostdekeijzer en #697 e #698. Antes isto requiría establecer o filtro two_factor_user_api_login_enable en true, que agora é o valor por defecto durante a identificación con contrasinal de aplicación. O acceso por XML-RPC segue desactivado para os contrasinais normais de usuario.
Características: Etiquetado dos métodos recomendados para simplificar a configuración por @kasparsd en #676 e #675
Documentación: Engadida a demostración do plugin en WP.org por @kasparsd en #667
Documentación: Documentación das versións compatibles do núcleo de WP e PHP por @jeffpaul en #695
Documentación: Documentación do proceso de lanzamento por @jeffpaul en #684
Ferramentas: Eliminadas as capturas de pantalla e gráficos duplicados de WP.org do trunk de SVN por @jeffpaul en #683

0.13.0 – 2025-04-02

Engadido o filtro two_factor_providers_for_user para limitar os provedores de dous factores dispoñibles para cada usuario por @kasparsd en #669
Actualización das probas automatizadas para cubrir PHP 8.4 e usar PHP 8.3 por defecto por @BrookeDot en #665

Consulta aquí os detalles completos do rexistro de cambios.

Excellent

Work as expect

Users can undermine, only suitable for admin

worked and super fast support time.

Excellent

Version wordpress 6.9.4

Descrición

Instrucións de configuración

Para usuarios individuais

Para administradores do sitio

Métodos de identificación dispoñibles

Aplicación de identificación (TOTP) (recomendado)

Códigos de copia de seguridade (recomendado)

Códigos por correo electrónico

Chaves de seguridade FIDO U2F

Método Dummy

Notas importantes

Requisito de HTTPS

Compatibilidade cos navegadores

Recuperación da conta

Prácticas recomendadas de seguridade

Accións e filtros

Comandos de WP-CLI

Redirección despois do desafío de dous factores

Capturas

Preguntas frecuentes

Que versións de PHP e WordPress admite o plugin Two-Factor?

Como podo enviar suxestións ou pedir axuda sobre un erro?

Onde podo informar de erros de seguridade?

Que pasa se perdo o acceso a todos os meus métodos de identificación?

Podo usar este plugin con WebAuthn?

Hai unha forma recomendada de usar chaves de acceso (passkeys) ou chaves de seguridade de hardware con Two-Factor?

Funciona este plugin en WordPress Multisite?

Como desactivo a 2FA para un usuario que quedou bloqueado?

Podo esixir a 2FA a todos os usuarios ou a perfís concretos?

Comentarios

Colaboradores e desenvolvedores

Interesado no desenvolvemento?

Rexistro de cambios

0.17.0 – 2026-09-25

0.16.0 – 2026-03-27

0.15.0 – 2026-02-13

0.14.2 – 2025-12-11

0.14.1 – 2025-09-05

0.14.0 – 2025-07-03

0.13.0 – 2025-04-02

Plugin da comunidade

Meta

Valoracións

Colaboradores

Soporte