Kétfaktoros hitelesítés ügyfélkörnyezetben: WordPress, cPanel és Ügyfélközpont
Új ügyféllel indulsz, és három külön belépést kell rendbe tenned: WordPress, cPanel és Ügyfélközpont. A jelszavakat már összegyűjtötted, de mi történik, ha az ügyfél elveszíti a telefonját?
Ügyfélkörnyezetben a kétfaktoros hitelesítés akkor működik jól, ha a TOTP az alap, a hardveres kulcsot a kiemelt adminok használják, az SMS pedig csak tartalék. A bevezetéshez szerepkörönkénti szabály és előre kipróbált helyreállítási folyamat kell. Így az ügyfél tudja, mit tegyen, a csapat pedig követhetően kezeli a hozzáféréseket.
Melyik kétfaktoros hitelesítést válaszd: TOTP, SMS vagy hardveres kulcs?
Ügyfélkörnyezetben a TOTP legyen az általános alap, a FIDO-alapú hardveres kulcs a kiemelt adminok védelme, az SMS pedig csak átmeneti tartalék. A döntésnél a hozzáférés értéke, az adathalászat elleni védelem és a telefonvesztéskor elérhető helyreállítás számít.
A kétfaktoros hitelesítés (2FA) olyan belépési megoldás, amely két különböző kategóriába tartozó bizonyítékot kér: például egy ismert jelszót és egy birtokolt telefont vagy biztonsági kulcsot. Célja, hogy az ellopott jelszó önmagában ne legyen elég a fiók eléréséhez. A 2FA az MFA szűkebb esete, amely pontosan két tényezőt kapcsol össze.
| Módszer | Erősség | Korlát | Ajánlott használat |
|---|---|---|---|
| TOTP | Hitelesítő alkalmazás generálja, mobilhálózat nélkül is működik. | A kódot egy hamis belépési oldalon is megadhatod. | Általános alap fejlesztőknek, szerkesztőknek és ügyfeleknek. |
| SMS | Ismerős és gyorsan bevezethető. | Telefonszámhoz és mobilhálózathoz kötött, a SIM-csere kockázata is számít. | Ideiglenes tartalék, ha jobb módszer nem érhető el. |
| FIDO-alapú hardveres kulcs | A megfelelő webes protokoll a kulcsot az eredeti domainhez köti, ezért erősen ellenáll az adathalászatnak. | Külön eszköz, tartalék kulcs és szolgáltatói támogatás szükséges. | Tulajdonosoknak, rendszergazdáknak és más kiemelt adminoknak. |
A TOTP-alapú alkalmazás időalapú, rövid ideig érvényes kódot készít a regisztrációkor létrehozott titokból. A kód beírása továbbra is megtéveszthető, ezért a NIST útmutatója az egyszer használatos kódot nem tekinti adathalászat-ellenálló módszernek. A FIDO/WebAuthn kulcs a megfelelő szolgáltatásban erősebb védelmet ad, de nem minden belépési felület támogatja.
Nálunk, a Sybell Hosting Ügyfélközpontjában TOTP-, e-mailes és SMS-alapú kétlépcsős azonosítás érhető el. Ez jó példa arra, hogy a módszereket mindig az adott rendszer tényleges lehetőségeihez kell igazítani. A Sybell Ügyfélközpont kétlépcsős azonosításának beállítási lépéseit itt találod.
Hogyan vezesd be a 2FA-t szerepkör szerint WordPressben, cPanelben és az Ügyfélközpontban?
A 2FA-t szerepkörönként vezesd be, mert egy ügynökségi admin, egy fejlesztő és egy tartalomszerkesztő más jogosultságot és helyreállítási megoldást igényel. A munkát hozzáférésleltárral kezdd, majd egy tesztfiókon ellenőrizd a folyamatot, mielőtt mindenkire kiterjeszted.
1. Írd össze a belépési pontokat és a szerepköröket
Készíts táblázatot a WordPress-, cPanel- és Ügyfélközpont-fiókokról. Minden sorhoz írd oda a felhasználót, a szerepkört, a hozzáférés üzleti célját, az előírt második tényezőt, a helyreállítás felelősét és a teszt dátumát.
A közös adminfiókokat cseréld névre szóló hozzáférésekre, ahol a rendszer ezt lehetővé teszi. Ez megmutatja, ki lépett be és ki felel egy módosításért. A WordPress beépített szerepei eltérő jogosultságokat adnak, ezért a WordPress szerepkörök és képességek dokumentációja alapján válaszd szét az adminisztrátori és szerkesztői hozzáférést.
2. A kiemelt adminokkal kezdd, majd bővítsd a szabályt
A WordPressben olyan, karbantartott bővítményt vagy központi hitelesítési megoldást válassz, amely szerepkörönként képes előírni a 2FA-t. Elsőként az adminisztrátoroknál kapcsold be, utána teszteld a szerkesztői és ügyfélfiókok szabályait. A jogosultság maradjon a munkához szükséges minimumon.
cPanelben a szolgáltatónak előbb engedélyeznie kell a 2FA-funkciót WHM-ben. Ezután a felhasználók a saját cPanel-fiókjukban állítják be a hitelesítő alkalmazást. A beállítás és a kikényszerítés módja szolgáltatónként, valamint a szerverkörnyezet szerint eltérhet, ezért kérdezd meg az üzemeltetőt, mielőtt kötelezővé teszed. A cPanel és a WordPress belépés külön hozzáférés, ezért mindkettőt vedd fel a leltárba.
Az Ügyfélközpontban válassz olyan módszert, amelyet az ügyfél tényleg használni tud, és adj mellé előre egyeztetett helyreállítási elérhetőséget. Az ügyfélfiók megosztása helyett hozz létre külön felhasználókat, és csak a feladatukhoz szükséges engedélyeket add meg. A felhasználók meghívásának és jogosultságkezelésének lépései itt vannak.
3. Tesztelj, majd aktiváld fokozatosan
Először egy tesztfelhasználóval állítsd be a hitelesítést. Próbáld ki a belépést egy másik böngészőből vagy eszközről, a kijelentkezést és a visszaállítási folyamatot is. Ezután következhetnek az adminok, a fejlesztők, majd a szerkesztők és az ügyfelek.
Minden csoportnál rögzítsd, ki fejezte be a regisztrációt és ki próbálta ki a helyreállítást. Csak ezután tedd kötelezővé a szabályt.
Hogyan kezeld a visszaállítási kódokat, ha az ügyfél elveszíti a telefonját?
Telefonvesztéskor először azonosítsd az érintett felhasználót, használj fel egy előre jóváhagyott helyreállítási utat, majd vond vissza a régi eszköz hozzáférését és regisztrálj újat.
A visszaállítási kód ugyanolyan érzékeny, mint egy jelszó, ezért ne küldd el e-mailben vagy közös chatben. Tárold jelszókezelőben vagy korlátozott hozzáférésű, offline helyen. A belső leírás nevezze meg a kód felelősét, a tárolási helyet, a hozzáférésre jogosultakat és az új kód generálásának lépéseit.
Telefonvesztéskor ezt a sorrendet kövesd:
- Az ügyfél jelezze a problémát az előre egyeztetett csatornán.
- Ellenőrizd a személyazonosságát és azt, hogy valóban jogosult-e a fiókhoz.
- Használjatok fel egy még érvényes visszaállítási kódot vagy dokumentált adminisztrátori folyamatot.
- Vond vissza a régi eszközt és a felesleges munkameneteket, majd regisztráljatok új tényezőt.
- Próbáljátok ki az új belépést, és cseréljétek le a felhasznált kódot.
A folyamatot még az élesítéskor próbáld végig egy tesztfiókon. Így a csapat nem az első elveszett telefon után találja ki, ki ellenőrzi az ügyfelet és hol van a tartalék hozzáférés.
Gyakori kérdések
A 2FA megvéd, ha valaki ellopta a munkamenet-cookie-t?
Nem feltétlenül. A kétfaktoros hitelesítés a belépéskor ellenőrzi a második tényezőt, de önmagában nem von vissza egy már ellopott aktív munkamenetet. Ilyen esetben vond vissza a munkameneteket, cserélj jelszót, és vizsgáld át a fiókhoz kapcsolódó hozzáféréseket.
A 2FA minden API-hozzáférést is véd?
Nem automatikusan. cPanelben külön biztonsági szabály dönthet arról, hogy a jelszavas API-kérésekre is vonatkozzon-e a 2FA; az API-tokenek ettől külön kezelendők. Automatizmusokhoz használj korlátozott jogosultságú tokent, és vond vissza, ha már nincs rá szükség. A cPanel kiadási megjegyzései részletezik az API-kérésekre vonatkozó szabályt.
A kétfaktoros hitelesítés kiváltja az egyedi, erős jelszót?
Nem. Minden felhasználó használjon hosszú, máshol nem használt jelszót, és ne ossza meg másokkal. A 2FA egy további ellenőrzés, nem a jelszókezelés helyettesítője.
Összegzés
A jól bevezetett kétfaktoros hitelesítés szerepkörökhöz rendelt módszert, kipróbált helyreállítást és érthető ügyfélkommunikációt jelent. TOTP legyen az alap, FIDO-alapú kulcs a kiemelt adminok védelme, SMS pedig csak tartalék.
Nálunk ehhez minden adott: a kétlépcsős azonosítást a cPanelben, a webmailben és a Sybell Hosting Ügyfélközpontjában is beállíthatod. Az Ügyfélközpontban kötelező is, mert ott kezeled a szolgáltatásaidat, a domainjeidet és a számláidat, ezért ezt a belépést mindig két tényező védi. A beállítás néhány perc, a lépéseket a biztonsági beállításokról szóló útmutatónkban találod.
Ha több ügyfél weboldalát kezeled, nézd meg viszonteladói tárhelyeinket: minden ügyfeled külön cPanel-fiókot kap, így a hozzáféréseket és a kétlépcsős azonosítást ügyfelenként, átláthatóan tudod kezelni.
Nézd meg viszonteladói tárhelyeinket »