# Kif tistabbilixxu awtentikazzjoni b'żewġ fatturi għall-aċċessi tal-amministraturi

> Awtentikazzjoni b'żewġ fatturi għall-admins: metodi xierqa, l-aċċessi kollha mis-CMS sa SSH, kodiċijiet ta' emerġenza u introduzzjoni nadifa fit-tim.

Sors: https://phpsos.de/mt/ratgeber/zwei-faktor-admin/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Awtentikazzjoni b'żewġ fatturi għall-aċċessi tal-amministraturi tiżgura li password misruqa jew indovinata waħedha ma tkunx biżżejjed. Trid tgħodd kullimkien fejn xi ħadd jista' jibdel il-websajt jew is-server tagħkom: CMS, hosting, panel, SSH, domain, DNS u l-kaxxi postali tal-admins. Daqs l-istabbiliment importanti huma l-kodiċijiet ta' emerġenza u regola ċara dwar min għandu aċċess proprju għal xiex.

## Għaliex il-passwords waħedhom mhumiex biżżejjed għall-admins

Il-passwords jintilfu b'ħafna modi: permezz ta' e-mails ta' phishing, softwer malizzjuż fuq kompjuter tax-xogħol, tnixxijiet ta' data għand servizzi oħra jew sempliċement permezz ta' użu mill-ġdid. Attakki awtomatizzati jippruvaw kredenzjali misruqa mingħajr waqfien kontra paġni tal-login magħrufa.

B'tieni fattur l-attakkant jeħtieġ addizzjonalment xi ħaġa li jippossjedi biss l-utent awtorizzat, pereżempju telefon b'app tal-awtentikazzjoni jew ċavetta tas-sigurtà. Dan jgħolli notevolment l-ostaklu, speċjalment f'kontijiet b'drittijiet wiesgħa.

Għall-maniġment hija importanti distinzjoni: awtentikazzjoni b'żewġ fatturi tipproteġi l-aċċessi, mhux is-softwer li hemm wara. Vulnerabbiltà bħal PHP2Shell, li tippermetti eżekuzzjoni ta' kodiċi mingħajr login, ma tingħalaqx b'dan. It-tnejn jappartjenu flimkien: softwer aġġornat u aċċessi protetti sew.

## Liema metodi b'żewġ fatturi huma adattati

Il-metodi jvarjaw fis-sigurtà u fil-konvenjenza. Għal kontijiet ta' amministratur għandkom tużaw mill-inqas apps tal-awtentikazzjoni, għal aċċessi partikolarment kritiċi ċwievet tas-sigurtà jew passkeys.

| Metodu | Protezzjoni kontra phishing | Adattat għall-admins |
|---|---|---|
| Kodiċi SMS | baxxa | biss bħala tranżizzjoni |
| App tal-awtentikazzjoni (TOTP) | medja | standard tajjeb |
| Konferma push | medja, suxxettibbli għal attakki ta' għeja | adattat bi tqabbil tan-numri |
| Ċavetta tas-sigurtà jew passkey (FIDO2/WebAuthn) | għolja | rakkomandat għal aċċessi kritiċi |
| Ċavetta SSH b'passphrase | għolja | standard għall-aċċessi tas-servers |

Kodiċijiet darba biss minn app jistgħu jinqabdu fuq paġna ta' phishing li tidher awtentika u jiġu użati minnufih. Il-metodi FIDO2, min-naħa l-oħra, jivverifikaw l-indirizz tal-paġna u ma jaħdmux fuq paġna falza. Din hija r-raġuni għaliex huma l-aħjar għażla għall-admins b'aċċess għal ħafna sistemi.

## Awtentikazzjoni b'żewġ fatturi għall-aċċessi tal-admin: il-lista sħiħa

L-attakkanti jfittxu l-aċċess l-aktar dgħajjef. Għalhekk għaddu mill-postijiet kollha fejn xi ħadd jista' jibdel il-websajt, is-server jew id-domain tagħkom:

- **CMS u backend tal-ħanut:** WordPress, Shopware, TYPO3 u oħrajn joffru awtentikazzjoni b'żewġ fatturi fil-qalba jew permezz ta' estensjonijiet miżmuma. Liema varjant huwa rakkomandat jinsab fid-dokumentazzjoni tal-manifattur.
- **Kont tal-klijent tal-hosting:** Min jidħol hawn spiss jista' jerġa' jissettja passwords, iniżżel backups jew jerġa' jinstalla s-server.
- **Panel tas-server** bħal Plesk jew cPanel, jekk hemm.
- **SSH u SFTP:** Ċavetta minflok password, ara t-taqsima li jmiss.
- **Registrar tad-domain u DNS:** Issettjar DNS mibdul jindirizza lill-viżitaturi u l-mails tagħkom lil post ieħor, mingħajr ma s-server ikun affettwat.
- **Kaxxi postali tal-admins:** Permezz tagħhom jgħaddu r-reset tal-passwords għal kważi s-servizzi l-oħra kollha.
- **Repository tal-kodiċi u deployment:** Min jista' jikteb hemm jista' jqassam kodiċi malizzjuż.
- **CDN, WAF, Google Search Console u fornituri tal-ħlas.**

Għal kull entrata iffissaw min għandu aċċess, jekk it-tieni fattur huwiex attiv u fejn jinsabu l-kodiċijiet ta' rkupru. Din il-lista hija fl-istess ħin parti importanti mill-pjan ta' emerġenza tagħkom, għax wara inċident eżattament dawn l-aċċessi jridu jiġu vverifikati u mġedda fi żmien qasir.

## SSH: ċavetta minflok password

Għall-aċċessi tas-servers, il-login b'ċavetta SSH huwa l-protezzjoni b'saħħitha tas-soltu. Iċ-ċavetta privata tinsab fuq l-apparat tal-admin u hija protetta b'passphrase; għal servers partikolarment tal-protezzjoni tista' tinsab fuq ċavetta tal-hardware. Meta l-login b'ċavetta jkun stabbilit u ttestjat għall-admins kollha, itfu l-login bil-password:

```text
# /etc/ssh/sshd_config (silta)
PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
AuthenticationMethods publickey
```

```bash
# Ivverifikaw il-konfigurazzjoni qabel ma terġa' titgħabba s-servizz
sshd -t && systemctl reload ssh   # fuq sistemi RHEL: sshd
```

Waqt il-bidla ħallu sessjoni eżistenti miftuħa u ittestjaw il-login f'tieqa oħra. Hekk f'każ ta' żball ma tagħlqux lilkom infuskom barra. Kull admin jirċievi ċavetta proprja; ċwievet maqsuma għal tim sħiħ ma jistgħux jinġibdu b'mod nadif meta persuni individwali jitilqu. Aktar bażijiet tiddeskrivi [Kif tassiguraw waħedkom root server u vServer](https://phpsos.de/mt/server/root-server-vserver/).

## Aċċess ta' emerġenza u kodiċijiet ta' rkupru

Introduzzjoni tajba tippjana wkoll l-għeja. Telefons jintilfu, impjegati jitilqu mill-kumpanija, ċwievet tas-sigurtà jinkisru. Mingħajr pjan, fil-mument ħażin ħadd ma jkollu aċċess lest.

> **Suġġeriment:**
> Irreġistraw għal kull kont kritiku żewġ fatturi, pereżempju ċavetta tas-sigurtà fl-uffiċċju u app tal-awtentikazzjoni, u żommu l-kodiċijiet ta' rkupru separati mill-password.

Regoli oħra li ppruvaw ruħhom:

- Kontijiet personali minflok logins ta' amministratur maqsuma, biex il-bidliet ikunu traċċabbli.
- Aċċess ta' emerġenza dokumentat b'kredenzjali miżmuma separatament, li l-użu tiegħu jidher u jiġi rreġistrat.
- Meta impjegati jew fornituri tas-servizzi jitilqu, neħħu l-aċċessi u ċ-ċwievet kollha fl-istess jum.
- Wara inċident tas-sigurtà ivverifikaw mhux biss il-passwords, imma wkoll il-fatturi rreġistrati u s-sessions attivi.

Għall-introduzzjoni fit-tim proċess ċar ippruva ruħu. Ibdew bil-kontijiet li jistgħu jikkawżaw l-akbar ħsara: hosting, domain, DNS u l-kaxxi postali tal-admins. Imbagħad jiġu s-servers, is-CMS u s-servizzi. Iffissaw data limitu minn meta ma jibqgħux possibbli logins mingħajr it-tieni fattur, u qabel żgurawlkom li l-parteċipanti kollha huma ssettjati.

Spjegaw lit-tim fil-qosor għaliex il-bidla hija meħtieġa u kif taħdem fil-ħajja ta' kuljum. Gwida ta' paġna waħda b'screenshots tnaqqas b'mod ċar il-mistoqsijiet. Fornituri esterni u aġenziji għandhom jirċievu aċċessi proprji u personali bit-tieni fattur minflok login maqsum, biex l-aċċessi jibqgħu assenjabbli u jkunu jistgħu jitneħħew b'mod nadif wara tmiem il-proġett.

Kif tipproteġu l-paġni tal-login addizzjonalment minn tentattivi awtomatizzati tinsab fil-gwida [Kif tipproteġu l-logins tal-amministraturi minn brute force](https://phpsos.de/mt/ratgeber/brute-force-login-schutz/).

## Kif tgħin PHP SOS b'mod konkret?

- Nistabbilixxu magħkom lista kompluta tal-aċċessi kollha tal-admin u nuru fejn jonqos it-tieni fattur.
- Nibdlu l-aċċessi tas-servers għal ċwievet SSH u nitfu b'mod ikkontrollat il-logins bil-password fil-qafas tat-[Tisħiħ tas-server](https://phpsos.de/mt/leistungen/server-haertung/).
- Niddokumentaw l-aċċessi ta' emerġenza u t-toroq ta' rkupru b'mod li jaħdmu fil-każ ta' bżonn.
- Fil-[Kuntratt ta' manutenzjoni tas-sigurtà](https://phpsos.de/mt/leistungen/security-wartungsvertrag/) nivverifikaw l-aċċessi regolarment u neħħu kontijiet abbandunati.


## Mistoqsijiet frekwenti

**Liema metodu b'żewġ fatturi huwa l-aktar sikur?**  
Ċwievet tas-sigurtà tal-hardware u passkeys skont l-istandard FIDO2 jitqiesu partikolarment reżistenti kontra l-phishing, għax huma marbutin mal-indirizz veru. Apps tal-awtentikazzjoni b'kodiċijiet darba biss huma standard tajjeb. SMS huwa aħjar minn xejn, imma l-aktar varjant dgħajjef.

**X'jiġri jekk it-telefon bl-app tal-awtentikazzjoni jintilef?**  
Għal dan hemm kodiċijiet ta' rkupru li jintwerew waqt l-issettjar. Iridu jinżammu b'mod sikur, pereżempju fil-kassaforti jew f'maniġer protett tal-passwords. Barra minn hekk mill-inqas amministratur ieħor għandu jkun jista' jerġa' jissettja l-aċċess.

**Awtentikazzjoni b'żewġ fatturi tipproteġi wkoll minn PHP2Shell?**  
Le. PHP2Shell jippermetti eżekuzzjoni ta' kodiċi mingħajr login, il-login ma jintużax xejn f'dan. Kontra PHP2Shell jgħin biss l-aġġornament għal verżjoni rranġata ta' PHP bir-restart tal-workers kollha. Awtentikazzjoni b'żewġ fatturi tipproteġi minn passwords misruqa jew indovinata.

**Hija biżżejjed awtentikazzjoni b'żewġ fatturi fis-CMS?**  
Le, attakkant jagħżel l-aċċess l-aktar dgħajjef. Il-kont tal-hosting, il-panel tas-server, SSH, l-amministrazzjoni tad-domain, DNS u l-kaxxi postali tal-admins iridu jkunu protetti bl-istess mod, inkella l-protezzjoni tas-CMS tista' tiġi evitata.

## Sorsi

- [BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni): Awtentikazzjoni b'żewġ fatturi](https://www.bsi.bund.de/)
- [OWASP Cheat Sheet Series (Multifactor Authentication)](https://cheatsheetseries.owasp.org/)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)