双重验证不应只在默认后台登录页测试。商城账户、定制登录表单和第三方登录扩展可能使用不同流程；应先核对当前Wordfence支持范围，再按角色分阶段启用要求，保留受控恢复方式。
画出实际登录入口
列出后台登录、商城我的账户、会员表单及外部身份提供方，标记哪些由WordPress密码处理，哪些由SSO接管。管理员能在wp-login.php登录，并不能证明客户在定制页面也能完成第二步。不要遗漏手机和密码管理器填充后的操作。
核对角色与宽限安排
查看当前版本的角色策略及用户设置状态，先选少量授权测试账号验证。要求尚未登记验证方式的人员立即强制执行，可能造成业务停摆。宽限期和启用通知应按真实人员安排，不统一猜测所有用户已经收到提示。
验证完整的第二步
在独立窗口按正常顺序输入密码和验证码，检查错误码、重试、退出及重新进入。若使用WooCommerce等集成，按官方支持的开关或短代码验证管理入口；不通过把整个客户角色加入无限制例外来解决界面不兼容。
将恢复与日常使用分开
恢复码、备用管理员和身份核实流程保存在受控位置，不公开在普通项目文档。更改强制策略前确认至少一条恢复路径确实可用。人员离职时还要处理账号、会话与第三方授权，不能只删除手机里的验证器。
关键区别
默认登录：验证后台路径；不覆盖定制表单。
角色要求：约束指定人员；先确认登记状态。
恢复方式：应急核实使用；不能公开流转。
怎样确认处理到位
约定角色从实际使用的入口均能完成登录，未完成登记的人有明确安排；退出后重登、错误验证码及恢复流程也已受控验证。
容易误判的边界
此处讨论启用策略与登录集成，区别于手机遗失后的恢复；不要把禁用所有双重验证作为长期兼容方案。
