# Zriadiť dvojfaktorovú autentifikáciu pre prístupy administrátorov

> Dvojfaktorová autentifikácia pre adminov: vhodné postupy, všetky dôležité prístupy od CMS po SSH, núdzové kódy a čisté zavedenie v tíme.

Zdroj: https://phpsos.de/sk/ratgeber/zwei-faktor-admin/  
Stav: 25.10.2026  
Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručne:** Dvojfaktorová autentifikácia pre prístupy administrátorov zaisťuje, že ukradnuté alebo uhádnuté heslo samo nestačí. Musí platiť všade, kde môže niekto zmeniť váš web alebo server: CMS, hosting, panel, SSH, doména, DNS a schránky adminov. Rovnako dôležité ako zriadenie sú núdzové kódy a jasné pravidlo, kto má na čo vlastný prístup.

## Prečo samotné heslá pre adminov nestačia

Heslá sa strácajú mnohými cestami: phishingovými e-mailmi, škodlivým softvérom na pracovnom počítači, únikmi údajov pri iných službách alebo jednoducho opakovaným použitím. Automatizované útoky neustále skúšajú ukradnuté prístupové údaje proti známym prihlasovacím stránkam.

S druhým faktorom potrebuje útočník navyše niečo, čo má iba oprávnený používateľ, napríklad smartfón s aplikáciou authenticator alebo bezpečnostný kľúč. To výrazne zvyšuje prekážku, najmä pri účtoch s rozsiahlymi právami.

Pre vedenie je dôležité vymedzenie: dvojfaktorové prihlásenie chráni prístupy, nie softvér za nimi. Zraniteľnosť ako PHP2Shell, ktorá umožňuje vykonanie kódu bez prihlásenia, sa tým neuzavrie. Oboje patrí k sebe: aktuálny softvér a dobre chránené prístupy.

## Ktoré dvojfaktorové postupy sa hodia

Postupy sa líšia bezpečnosťou a pohodlím obsluhy. Pre administrátorské účty by ste mali použiť minimálne aplikácie authenticator, pre obzvlášť kritické prístupy bezpečnostné kľúče alebo passkeys.

| Postup | Ochrana pred phishingom | Vhodnosť pre adminov |
|---|---|---|
| Kód SMS | nízka | len ako prechod |
| Aplikácia authenticator (TOTP) | stredná | dobrý štandard |
| Potvrdenie push | stredná, náchylné na útoky vyčerpaním | vhodné s porovnaním čísla |
| Bezpečnostný kľúč alebo passkey (FIDO2/WebAuthn) | vysoká | odporúčané pre kritické prístupy |
| Kľúč SSH s passphrase | vysoká | štandard pre prístupy na server |

Jednorazové kódy z aplikácie možno zachytiť na zdanlivo pravej phishingovej stránke a okamžite znova použiť. Postupy FIDO2 naopak kontrolujú adresu stránky a na sfalšovanej stránke nefungujú. To je dôvod, prečo sú pre adminov s prístupom k mnohým systémom najlepšou voľbou.

## Dvojfaktorová autentifikácia pre prístupy administrátorov: úplný zoznam

Útočníci si vyberú najslabší prístup. Preto prejdite všetky miesta, kde môže niekto zmeniť váš web, server alebo doménu:

- **CMS a backend e-shopu:** WordPress, Shopware, TYPO3 a ďalšie ponúkajú dvojfaktorové prihlásenie v jadre alebo cez udržiavané rozšírenia. Ktorý variant sa odporúča, je v dokumentácii výrobcu.
- **Zákaznícky účet hostingu:** Kto sa sem dostane, môže často obnoviť heslá, stiahnuť zálohy alebo server nainštalovať znova.
- **Panel servera** ako Plesk alebo cPanel, ak existuje.
- **SSH a SFTP:** kľúč namiesto hesla, pozri nasledujúci oddiel.
- **Registrátor domény a DNS:** Zmenené nastavenie DNS presmeruje vašich návštevníkov a poštu bez toho, aby bol dotknutý server.
- **E-mailové schránky adminov:** Cez ne prebiehajú obnovy hesiel takmer pre všetky ostatné služby.
- **Repozitár kódu a deployment:** Kto tam smie zapisovať, môže nasadiť škodlivý kód.
- **CDN, WAF, Google Search Console a poskytovatelia platieb.**

Pre každú položku určte, kto má prístup, či je druhý faktor aktívny a kde ležia obnovovacie kódy. Tento zoznam je zároveň dôležitou súčasťou vášho núdzového plánu, pretože po incidente sa musia práve tieto prístupy v krátkom čase skontrolovať a obnoviť.

## SSH: kľúč namiesto hesla

Pre prístupy na server je prihlásenie pomocou kľúča SSH obvyklou silnou ochranou. Súkromný kľúč leží na zariadení admina a je chránený passphrase; pri obzvlášť chránených serveroch môže ležať na hardvérovom kľúči. Ak je prihlásenie kľúčom zriadené a otestované pre všetkých adminov, vypnite prihlásenie heslom:

```text
# /etc/ssh/sshd_config (výťah)
PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
AuthenticationMethods publickey
```

```bash
# Skontrolovať konfiguráciu skôr, než sa služba znova načíta
sshd -t && systemctl reload ssh   # na systémoch RHEL: sshd
```

Pri prestavbe nechajte otvorenú existujúcu reláciu a prihlásenie otestujte v druhom okne. Tak sa pri chybe nevyradíte. Každý admin dostane vlastný kľúč; spoločné kľúče pre celý tím sa pri odchode jednotlivých osôb nedajú čisto odobrať. Ďalšie základy popisuje stránka [Zabezpečiť root server a vServer vlastnými silami](https://phpsos.de/sk/server/root-server-vserver/).

## Núdzový prístup a obnovovacie kódy

Dobré zavedenie počíta s výpadkom. Smartfóny sa strácajú, zamestnanci opúšťajú podnik, bezpečnostné kľúče sa pokazia. Bez plánu potom v nesprávnom okamihu nestojí nikto s prístupom.

> **Tip:**
> Pre každý kritický účet zaregistrujte dva faktory, napríklad bezpečnostný kľúč v kancelárii a aplikáciu authenticator, a obnovovacie kódy uschovajte oddelene od hesla.

Ďalšie pravidlá, ktoré sa osvedčili:

- Osobné účty namiesto spoločne používaných administrátorských prihlásení, aby boli zmeny dohľadateľné.
- Zdokumentovaný núdzový prístup s oddelene uschovanými prístupovými údajmi, ktorého použitie je nápadné a zaznamenáva sa.
- Pri odchode zamestnancov alebo dodávateľov odobrať všetky prístupy a kľúče v ten istý deň.
- Po bezpečnostnom incidente skontrolovať nielen heslá, ale aj registrované faktory a aktívne relácie.

Pri zavedení v tíme sa osvedčil jasný postup. Začnite účtami, ktoré môžu spôsobiť najväčšiu škodu: hosting, doména, DNS a e-mailové schránky adminov. Potom nasledujú servery, CMS a služby. Určite rozhodný deň, od ktorého už nie sú prihlásenia bez druhého faktora možné, a vopred zabezpečte, aby boli všetci zúčastnení nastavení.

Tímu krátko vysvetlite, prečo je prechod potrebný a ako funguje v bežnej prevádzke. Jednostranový návod so snímkami obrazovky výrazne znižuje počet otázok. Externí dodávatelia a agentúry by mali dostať vlastné, osobné prístupy s druhým faktorom namiesto spoločného prihlásenia, aby zostali prístupy priraditeľné a dali sa po skončení projektu čisto odobrať.

Ako prihlasovacie stránky navyše chrániť pred automatizovanými pokusmi, je v príručke [Chrániť prihlásenia administrátorov pred brute force](https://phpsos.de/sk/ratgeber/brute-force-login-schutz/).

## Ako konkrétne pomáha PHP SOS?

- S vami zostavíme úplný zoznam všetkých administrátorských prístupov a ukážeme, kde chýba druhý faktor.
- Prístupy na server prestavíme na kľúče SSH a prihlásenia heslom kontrolovane vypneme v rámci [spevnenia servera](https://phpsos.de/sk/leistungen/server-haertung/).
- Núdzové prístupy a cesty obnovy zdokumentujeme tak, aby fungovali v krízovej situácii.
- V [zmluve o bezpečnostnej údržbe](https://phpsos.de/sk/leistungen/security-wartungsvertrag/) prístupy pravidelne kontrolujeme a odstraňujeme osirotené účty.


## Časté otázky

**Ktorý dvojfaktorový postup je najbezpečnejší?**  
Hardvérové bezpečnostné kľúče a passkeys podľa štandardu FIDO2 sa považujú za obzvlášť odolné voči phishingu, pretože sú viazané na skutočnú adresu. Aplikácie authenticator s jednorazovými kódmi sú dobrým štandardom. SMS je lepšia než nič, ale je to najslabší variant.

**Čo sa stane, ak sa stratí smartfón s aplikáciou authenticator?**  
Na to existujú obnovovacie kódy, ktoré sa zobrazia pri zriaďovaní. Patrí sa ich bezpečne uschovať, napríklad v trezore alebo v chránenom správcovi hesiel. Navyše by mal mať aspoň druhý admin možnosť prístup obnoviť.

**Chráni dvojfaktorové prihlásenie aj pred PHP2Shell?**  
Nie. PHP2Shell umožňuje vykonanie kódu bez prihlásenia, prihlásenie sa pritom vôbec nepoužíva. Proti PHP2Shell pomáha iba aktualizácia na opravenú verziu PHP s reštartom všetkých workerov. Dvojfaktorové prihlásenie chráni pred ukradnutými alebo uhádnutými heslami.

**Stačí dvojfaktorové prihlásenie v CMS?**  
Nie, útočník si vyberie najslabší prístup. Hostingový účet, panel servera, SSH, správa domény, DNS a e-mailové schránky adminov musia byť chránené rovnako, inak sa ochrana CMS dá obísť.

## Zdroje

- [BSI: dvojfaktorová autentifikácia](https://www.bsi.bund.de/)
- [OWASP Cheat Sheet Series (Multifactor Authentication)](https://cheatsheetseries.owasp.org/)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)