Wordfence 9 bringt kostenlose Passkeys für den WordPress-Login
Wordfence-Passkeys sind in Wordfence 9 als kostenlose Login-Option für WordPress-Sites angekommen. Ein Passkey ist ein digitaler Berechtigungsnachweis, der auf einem Gerät gespeichert ist und es einer Person ermöglicht, sich mit einem Fingerabdruck, einem Gesichtsscan, einer Geräte-PIN oder einem Passwort-Manager anzumelden, ohne sich ein Passwort merken oder eingeben zu müssen. Wordfence erklärt, dass dies für alle Reibungsverluste beseitigt: Der Site-Betreiber meldet sich mit einem Klick an, und Benutzer eines WooCommerce-Shops oder einer WordPress-basierten Website können dasselbe tun, wenn sie einen Kauf tätigen, in einem Forum posten oder einfach mit der Site interagieren möchten. Das Unternehmen weist darauf hin, dass selbst eine kleine Verringerung der Login-Reibung in großem Maßstab zu großen Gewinnen bei abgeschlossenen Checkouts, Beteiligung und wiederkehrenden Besuchen führen kann. Mark Maunder, Gründer und CEO von Wordfence, sagt, dass dies eine Funktion ist, auf die er besonders stolz ist, da die meisten Sicherheitskontrollen Reibung verursachen, während Passkeys sie beseitigen. Auf Mobilgeräten ist die Reibung sogar noch geringer, da Benutzer auf Fingerabdruck- oder Gesichtserkennung zurückgreifen können.
Wordfence beschreibt Passkeys als stärkere Anti-Phishing-Maßnahme, wenn Passwörter entfernt werden. Phishing ist ein Betrug, bei dem Angreifer versuchen, ein Passwort zu stehlen, indem sie eine Person dazu verleiten, es auf einer gefälschten Website oder in einer Nachricht einzugeben. Wenn die Passwort-Anmeldung deaktiviert ist und nur Passkeys erlaubt sind, gibt es kein Passwort, das ein Angreifer stehlen, phishen oder wiederverwenden könnte. Wordfence sagt, dass Sicherheit normalerweise Reibung verursacht, vom Einloggen über die Verwendung der Zwei-Faktor-Authentifizierung (2FA), die einen zweiten Identitätsnachweis zusätzlich zum Passwort verlangt, bis hin zu Passwortänderungen und grundlegender Hygiene. Das Unternehmen argumentiert, dass Passkeys dieses Muster umkehren: Je mehr Login-Reibung man durch die Deaktivierung von Passwörtern beseitigt, desto sicherer wird diese Login-Ebene. Wordfence positioniert dies als Teil der Defense in Depth, was bedeutet, dass eine Site mehrere unabhängige Sicherheitsebenen verwendet, sodass andere sie schützen, falls eine ausfällt. Passkeys schützen die Login-Ebene speziell dadurch, dass sie das Passwort entfernen, das ein Angreifer sonst angreifen würde.
Die Funktion ist sowohl in der kostenlosen als auch in der kostenpflichtigen Version von Wordfence verfügbar, und Wordfence sagt, dass die Aktivierung etwa eine Minute dauert. Wordfence weist darauf hin, dass Passkeys in der Vergangenheit eine Funktion waren, für die andere WordPress-Sicherheits-Plugins Gebühren erhoben haben. Die eigene Richtlinie, so das Unternehmen, besteht darin, nur dann Gebühren zu erheben, wenn die Bereitstellung einer Funktion Geld kostet; da Passkeys eine algorithmische Implementierung sind, deren Bereitstellung für Wordfence kostenlos ist, hat das Unternehmen sie vollständig kostenlos gemacht. Die Implementierung unterstützt auch mehrere Passkeys auf mehreren Geräten, was die Wahrscheinlichkeit verringert, dass sich ein Administrator aussperrt, wenn ein Gerät verloren geht. Um zu beginnen, öffnet ein Site-Betreiber Wordfence und dann Login Security. Wordfence weist darauf hin, dass die Bearbeitung der Login Security-Einstellungen in der Regel die Administratorrolle erfordert. Auf der Registerkarte "Einstellungen" schaltet der Betreiber "Passkeys aktivieren" ein. Jede Rolle ist dann standardmäßig auf "Optional" eingestellt, was bedeutet, dass Benutzer einen Passkey registrieren können, sich aber weiterhin mit einem Passwort anmelden können. Wenn eine Rolle auf "Erforderlich" gesetzt wird, wird die Passwort-Anmeldung für diese Rolle deaktiviert, was Wordfence als die stärkere Anti-Phishing-Position bezeichnet.
Nach der Aktivierung von Passkeys geht der Site-Betreiber zur Registerkarte "Meine Passkeys", gibt dem neuen Passkey einen Namen und wählt das Pluszeichen, um ihn hinzuzufügen. Das Gerät fragt dann nach einem Fingerabdruck, einem Gesichtsscan, einer PIN oder einem Passwort-Manager. Wordfence empfiehlt, auf jedem vom Betreiber verwendeten Gerät einen Passkey zu registrieren, damit der Verlust eines Geräts nicht zur Aussperrung führt. Auf demselben Bildschirm kann der Betreiber wählen, ob ein Passwort als Backup verfügbar bleibt oder ob sich das Konto nur mit Passkeys anmeldet. Wordfence warnt, dass Site-Betreiber, die "Nur Passkeys" wählen, ihre Passkeys testen sollten, bevor sie sich abmelden. Einmal eingerichtet, bietet der WordPress-Login-Bildschirm "Mit einem Passkey anmelden" an, und es gibt kein Passwort, das man sich merken, abrufen oder eingeben muss. Wordfence nennt dies passwortlose Anmeldung: sich anzumelden, ohne überhaupt ein Passwort angeben zu müssen.
Für Site-Betreiber und Administratoren besteht der praktische Nutzen in einem schnelleren Login für sie selbst und für jeden registrierten Benutzer. Wordfence empfiehlt, Passkeys zu aktivieren und bei den Benutzern zu bewerben, um die Reibung sofort zu verringern und das Engagement zu steigern. Die Funktion ersetzt nicht den Rest von Wordfence, das eine Reihe von Sicherheitskontrollen bietet; stattdessen stärkt sie eine Ebene der Defense in Depth einer Site. Da Passkeys im kostenlosen Plugin verfügbar sind, können auch kleine Site-Betreiber diese Kontrolle ohne zusätzliches Abonnement hinzufügen. Für Site-Betreiber auf verwaltetem WordPress-Hosting wie AEU Hosting ist die Aktivierung von Wordfence-Passkeys eine einfache Änderung auf Kontoebene, die neben der bestehenden serverseitigen Sicherheitshärtung, automatischen Backups, SSL und dem Experten-Support der Plattform steht und keine Änderungen an der Hosting-Konfiguration erfordert.