A proteção de domínio, hospedagem, email e CMS deve acompanhar o risco e as opções de cada fornecedor.
Antes de começar
Liste contas críticas e quem guarda os métodos de recuperação e dispositivos autorizados.
Passo a passo
- Habilite MFA individualmente, armazene códigos de recuperação em local protegido e informe responsáveis.
Faça a ativação pela área Segurança/Autenticação em duas etapas de cada provedor; nos serviços Google, o caminho atual é Conta Google > Segurança e login > Verificação em duas etapas. No WordPress, o núcleo não oferece MFA por padrão: selecione um plugin mantido e compatível, como o oficial Two-Factor, instale em staging e, para cada usuário, abra Usuários > Perfil > Two-Factor Options para escolher o método disponível. Faça primeiro numa conta administrativa de teste e mantenha uma segunda via de recuperação.
Quando disponível, prefira passkey/chave de segurança ou aplicativo autenticador TOTP a depender apenas de SMS. Ative e armazene códigos de recuperação fora do dispositivo principal, em gerenciador seguro ou cópia protegida. Repita o procedimento separadamente no registrador de domínio, hospedagem e email; cada serviço tem seus próprios controles.
- Teste recuperação numa conta de baixo risco antes de depender do método em produção.
Limites e cuidados
MFA reduz riscos, mas não substitui contas individuais, atualização e controle de permissões. Confirme que a recuperação funciona antes de exigir o segundo fator de toda a equipe; não compartilhe códigos de recuperação. Documentação: segurança em duas etapas no WordPress e plugin Two-Factor.
Continue na biblioteca
Fonte oficial: Tutoriais administrativos — Registro.br.