# Jak zavést dvoufázové ověření pro přístupy správců

> Dvoufázové ověření pro správce: vhodné metody, všechny důležité přístupy od CMS po SSH, nouzové kódy a čisté zavedení ve vašem týmu krok za krokem.

Zdroj: https://phpsos.de/cs/ratgeber/zwei-faktor-admin/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručně:** Dvoufázové ověření pro přístupy správců zajišťuje, že odcizené nebo uhodnuté heslo samo nestačí. Musí platit všude, kde může někdo měnit váš web nebo server: CMS, hosting, panel, SSH, doména, DNS a schránky správců. Stejně důležité jako nastavení jsou nouzové kódy a jasné pravidlo, kdo má pro co vlastní přístup.

## Proč samotná hesla pro správce nestačí

Hesla se ztrácejí mnoha cestami: phishingovými e-maily, škodlivým softwarem na pracovním počítači, úniky dat u jiných služeb nebo prostě opakovaným použitím. Automatizované útoky zkoušejí odcizené přístupové údaje bez ustání proti známým přihlašovacím stránkám.

S druhým faktorem potřebuje útočník navíc něco, co vlastní jen oprávněný uživatel, například smartphone s aplikací Authenticator nebo bezpečnostní klíč. To výrazně zvyšuje překážku, zejména u účtů s rozsáhlými právy.

Pro vedení je důležité rozlišení: dvoufázové ověření chrání přístupy, nikoli software za nimi. Zranitelnost jako PHP2Shell, která umožňuje spuštění kódu bez přihlášení, se jím neuzavře. Obojí patří k sobě: aktuální software a dobře chráněné přístupy.

## Které metody dvoufázového ověření se hodí

Metody se liší bezpečností a pohodlím obsluhy. Pro účty správců byste měli nasadit alespoň aplikace Authenticator, pro mimořádně kritické přístupy bezpečnostní klíče nebo passkeys.

| Metoda | Ochrana před phishingem | Vhodnost pro správce |
|---|---|---|
| Kód v SMS | nízká | jen jako přechod |
| Aplikace Authenticator (TOTP) | střední | dobrý standard |
| Potvrzení push | střední, náchylné k útokům únavou | vhodné s porovnáním čísla |
| Bezpečnostní klíč nebo passkey (FIDO2/WebAuthn) | vysoká | doporučeno pro kritické přístupy |
| Klíč SSH s passphrase | vysoká | standard pro přístupy na server |

Jednorázové kódy z aplikace lze zachytit na klamavě věrné phishingové stránce a okamžitě znovu použít. Metody FIDO2 naproti tomu kontrolují adresu stránky a na falešné stránce nefungují. To je důvod, proč jsou pro správce s přístupem k mnoha systémům nejlepší volbou.

## Dvoufázové ověření pro přístupy správců: úplný seznam

Útočníci hledají nejslabší přístup. Projděte proto všechna místa, kde může někdo měnit váš web, server nebo doménu:

- **CMS a backend e-shopu:** WordPress, Shopware, TYPO3 a další nabízejí dvoufázové ověření v jádru nebo přes udržovaná rozšíření. Kterou variantu doporučit, uvádí dokumentace výrobce.
- **Zákaznický účet u hostingu:** Kdo se sem dostane, může často resetovat hesla, stahovat zálohy nebo server znovu nainstalovat.
- **Panel serveru** jako Plesk nebo cPanel, pokud existuje.
- **SSH a SFTP:** klíče místo hesla, viz další část.
- **Registrátor domény a DNS:** Změněné nastavení DNS přesměruje vaše návštěvníky i poštu, aniž by byl server dotčen.
- **E-mailové schránky správců:** Přes ně probíhá resetování hesel u téměř všech dalších služeb.
- **Repozitář kódu a deployment:** Kdo tam smí zapisovat, může nasadit škodlivý kód.
- **CDN, WAF, Google Search Console a poskytovatelé plateb.**

Pro každou položku si zaznamenejte, kdo má přístup, zda je druhý faktor aktivní a kde leží obnovovací kódy. Tento seznam je zároveň důležitou součástí vašeho nouzového plánu, protože po incidentu je nutné právě tyto přístupy v krátké době zkontrolovat a obnovit.

## SSH: klíče místo hesla

Pro přístupy na server je obvyklou silnou ochranou přihlášení klíčem SSH. Soukromý klíč leží na zařízení správce a je chráněn passphrase; u zvlášť chráněných serverů může ležet na hardwarovém klíči. Jakmile je přihlášení klíčem nastaveno a vyzkoušeno u všech správců, vypněte přihlášení heslem:

```text
# /etc/ssh/sshd_config (výňatek)
PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
AuthenticationMethods publickey
```

```bash
# Zkontrolovat konfiguraci dříve, než se služba znovu načte
sshd -t && systemctl reload ssh   # v systémech RHEL: sshd
```

Při přechodu nechte stávající relaci otevřenou a přihlášení vyzkoušejte ve druhém okně. Při chybě se tak nevyřadíte. Každý správce dostane vlastní klíč; společné klíče pro celý tým nelze při odchodu jednotlivých osob čistě odebrat. Další základy popisuje článek [Jak zabezpečit root server a vServer](https://phpsos.de/cs/server/root-server-vserver/).

## Nouzový přístup a obnovovací kódy

Dobré zavedení počítá s výpadkem. Smartphony se ztrácejí, zaměstnanci opouštějí firmu, bezpečnostní klíče se rozbijí. Bez plánu pak ve špatnou chvíli nikdo nemá přístup.

> **Tip:**
> Pro každý kritický účet zaregistrujte dva faktory, například bezpečnostní klíč v kanceláři a aplikaci Authenticator, a obnovovací kódy uschovejte odděleně od hesla.

Další osvědčená pravidla:

- Osobní účty místo sdílených přihlášení správců, aby byly změny dohledatelné.
- Zdokumentovaný nouzový přístup s odděleně uloženými přístupovými údaji, jehož použití je nápadné a protokolované.
- Při odchodu zaměstnanců nebo dodavatelů odebrat všechny přístupy a klíče téhož dne.
- Po bezpečnostním incidentu zkontrolovat nejen hesla, ale i registrované faktory a aktivní relace.

Při zavedení v týmu se osvědčil jasný postup. Začněte u účtů, které mohou způsobit největší škodu: hosting, doména, DNS a e-mailové schránky správců. Poté následují servery, CMS a služby. Stanovte den, od kterého už nebude přihlášení bez druhého faktoru možné, a předem zajistěte, aby měli všichni zúčastnění vše nastaveno.

Krátce týmu vysvětlete, proč je změna nutná a jak funguje v běžném provozu. Jednostránkový návod se snímky obrazovky výrazně snižuje počet dotazů. Externí dodavatelé a agentury by měli dostat vlastní osobní přístupy s druhým faktorem místo společného přihlášení, aby zůstaly přístupy přiřaditelné a po konci projektu se daly čistě odebrat.

Jak přihlašovací stránky dále chránit před automatizovanými pokusy, popisuje příručka [Ochrana přihlášení správců před brute force](https://phpsos.de/cs/ratgeber/brute-force-login-schutz/).

## Jak konkrétně pomáhá PHP SOS?

- Společně s vámi sestavíme úplný seznam všech přístupů správců a ukážeme, kde druhý faktor chybí.
- Přístupy na server převedeme na klíče SSH a přihlášení heslem řízeně vypneme v rámci [zabezpečení serveru](https://phpsos.de/cs/leistungen/server-haertung/).
- Nouzové přístupy a cesty obnovy zdokumentujeme tak, aby v kritickém případě fungovaly.
- V rámci [bezpečnostní servisní smlouvy](https://phpsos.de/cs/leistungen/security-wartungsvertrag/) přístupy pravidelně kontrolujeme a odstraňujeme osiřelé účty.


## Časté dotazy

**Která metoda dvoufázového ověření je nejbezpečnější?**  
Hardwarové bezpečnostní klíče a passkeys podle standardu FIDO2 jsou považovány za mimořádně odolné vůči phishingu, protože jsou vázány na skutečnou adresu. Aplikace Authenticator s jednorázovými kódy jsou dobrým standardem. SMS je lepší než nic, ale nejslabší varianta.

**Co se stane, když se ztratí smartphone s aplikací Authenticator?**  
Pro tento případ existují obnovovací kódy, které se zobrazí při nastavení. Patří je bezpečně uschovat, například v trezoru nebo v chráněném správci hesel. Navíc by měl alespoň jeden druhý správce umět přístup resetovat.

**Chrání dvoufázové ověření i před PHP2Shell?**  
Ne. PHP2Shell umožňuje spuštění kódu bez přihlášení, přihlášení se přitom vůbec nepoužívá. Proti PHP2Shell pomáhá jen aktualizace na opravenou verzi PHP s restartem všech workerů. Dvoufázové ověření chrání před odcizenými nebo uhodnutými hesly.

**Stačí dvoufázové ověření v CMS?**  
Ne, útočník si vybere nejslabší přístup. Hostingový účet, panel serveru, SSH, správa domény, DNS a e-mailové schránky správců musí být chráněny stejně, jinak lze ochranu CMS obejít.

## Zdroje

- [BSI: dvoufázové ověření](https://www.bsi.bund.de/)
- [OWASP Cheat Sheet Series (Multifactor Authentication)](https://cheatsheetseries.owasp.org/)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)