Вот обычно почему ругают Жумлу - потому что ломают, дефейсят и так далее. Причем далеко не всегда прчиина в том, что, сцука, обновляться же надо, а порой тупо пароль подбирают.
И сейчас я вот думаю - а ничего чтов ШТАТНОЙ поставке Жумлы имеется 2FA TOTP плагин? Почему никто не пользует?
Не поймите меня неправильно, я не фоннат таких методов, но ведь Жумла это такая весчь, что лишней бзопасности не помешает.
Стандартно, из коробки Жумла имеет поддержку GA (TOTP) и Yubikey, но можно поставить Akeeba Loginguard который добавляет кучу опций - код на мыло, фиксированный пароль, PushBullet, SMS (за ваши бабки), снова TOTP и yubikey и еще U2F. Webauthn нету пока.